Base de Connaissances

À compter du 1er juin 2023 à 00:00 UTC, les normes de l’industrie exigeront que les clés privées des certificats de signature de code standard soient stockées sur un matériel certifié FIPS 140 niveau 2, Common Criteria EAL 4+ ou équivalent. Cette évolution renforce la protection des clés privées des certificats de signature de code et l’aligne sur celle des certificats de signature de code EV (Extended Validation).

Comment ces nouvelles exigences affectent-elles mon processus de certificat de signature de code?

La nouvelle exigence relative au stockage des clés privées s’applique aux certificats de signature de code émis à partir du 1er juin 2023 et a un impact sur les aspects suivants de votre processus de signature de code:

• Stockage de la clé privée et installation du certificat
  Cette nouvelle exigence signifie que les autorités de certification (CA) ne peuvent plus prendre en charge la génération de clés basée sur le navigateur ni l’installation de certificats via navigateur, ni tout autre processus impliquant la création d’une CSR (Certificate Signing Request) et l’installation du certificat sur un ordinateur portable ou un serveur. Les clés privées et les certificats doivent être stockés et installés sur des jetons matériels ou des modules matériels de sécurité (HSM) certifiés au minimum FIPS 140-2 niveau 2 ou Common Criteria EAL 4+.
• Signature du code
  Pour utiliser un certificat de signature de code basé sur un jeton, vous devez avoir accès au jeton ou au HSM ainsi qu’aux identifiants nécessaires pour utiliser le certificat qui y est stocké. Par exemple, pour signer du code avec un certificat basé sur un jeton, vous devez connecter le jeton à votre ordinateur. Vous devez ensuite disposer du mot de passe permettant d’utiliser le certificat de signature de code stocké sur ce jeton.
• Commande et renouvellement de certificats de signature de code après le 1er juin 2023
  Lors de la commande ou du renouvellement d’un certificat de signature de code standard, vous devez sélectionner une méthode d’approvisionnement. En d’autres termes, vous devez choisir le matériel sur lequel la clé privée sera stockée. Comme pour les certificats EV Code Signing, trois options d’approvisionnement sont disponibles:
  
  - Jeton matériel fourni par DigiCert
  - Jeton matériel compatible existant
  - Module matériel de sécurité (HSM)
  
  Les jetons matériels et les dispositifs HSM doivent être certifiés FIPS 140 niveau 2, Common Criteria EAL 4+ ou équivalent. Pour utiliser un HSM, vous devez respecter les exigences décrites dans la section 13 (Sécurité et utilisation des ensembles de clés) des Conditions d’utilisation des certificats numériques DigiCert.
  
• Réémission des certificats après le 1er juin 2023
  Lors de la réémission de certificats de signature de code, vous devez installer le certificat sur un jeton matériel compatible ou sur un HSM. Si vous ne disposez pas d’un jeton, vous pouvez en acheter un auprès de DigiCert.

Vous souhaitez éliminer le besoin de jetons matériels? 

DigiCert® KeyLocker: disponibilité générale à partir du 30 mai 2023

Vous souhaitez éliminer les jetons de votre processus de certificats de signature de code? DigiCert commencera à proposer sa nouvelle solution cloud, KeyLocker, qui vous permettra de générer une clé privée et une CSR pour les certificats de signature de code et EV Code Signing. Plus d’informations seront bientôt disponibles….

DigiCert® Software Trust Manager

Vous recherchez une solution plus complète? Passez à DigiCert® Software Trust Manager afin de renforcer la sécurité de vos logiciels grâce à l’automatisation des flux de travail de signature de code. Cette solution réduit les points de vulnérabilité grâce à une sécurité et un contrôle de bout en bout à l’échelle de l’entreprise dans le processus de signature de code, sans ralentir vos opérations.

Principales fonctionnalités:

• Stockage des clés dans un HSM — conforme aux normes de l’industrie
• Application des politiques de sécurité
• Gestion centralisée
• Intégration avec les pipelines CI/CD
• Et bien plus encore

Pour en savoir plus sur la manière dont DigiCert® Software Trust Manager a aidé d’autres organisations, consultez notre étude de cas: La signature automatisée accélère les temps de compilation tout en améliorant l’expérience utilisateur.

Veuillez contacter le support DigiCert pour obtenir une assistance supplémentaire.