Где Вы храните закрытый ключ для своего сертификата для подписывания кода?
Я недавно получил сертификат для подписывания кода для своего работодателя, но я не разработчик InstallShield, который подпишет двоичные файлы перед распределением. Я знаю, что могу экспортировать сертификат наряду с его закрытым ключом, но где я храню его так, разработчик InstallShield может установить его на своей машине? Я должен удалить его из своей машины, после того как я даю его человеку, делающему подписание? Где я храню основную копию? Очевидно, управление исходным кодом не является лучшим местом, если я не блокирую вниз тот каталог в SVN.
4 ответа
Применение политик безопасности для закрытых ключей
Помните: закрытый ключ в сочетании с выпущенными подписанными двоичными файлами является идентификатором вашей компании. Политика обращения с такими ключами не может быть достаточно строгой.
Сделайте так, чтобы ВЫ были единственным персоналом в вашей компании, который был способен (и нести ответственность) подписывать исполняемые файлы.
Если это не вариант, то позвольте всем сотрудникам, участвующим в PKI, подписать явное соглашение о неразглашении информации с высоким штрафом - результатом должно стать гораздо более высокое чувство ответственности.
При передаче ключей
- используются переносные носители (например, специальный USB-накопитель или CD-ROM) - я бы предпочел носитель только для чтения
- , пусть квитанция будет засвидетельствована другим сотрудником
- , пусть получатель и свидетель подписывает форму о получении ключа
Хранение основной копии
Храните резервную копию мастер-копии как минимум на 3 дисках в разных географических точках, к которым у вас есть исключительный доступ. Также подумайте о шифровании копий с помощью надежных алгоритмов шифрования, таких как AES-256 (например, в файле 7z).
Вы правы, не желая помещать его в контроль версий.
Я бы сказал, что вы должны дать одну копию своему ИТ-отделу, чтобы они могли создать резервную копию. Дайте еще одну копию любым разработчикам, которые в ней нуждаются (звучит так, как будто она нужна только одному). Удалите ли вы его с вашей машины или нет, решать вам.
Что касается того, как перенести его между компьютерами, USB-накопитель является очевидным решением.
Если вы ожидаете, что сможете выполнять автоматическую сборку, вам придется поместить ее в то место, к которому система сборки может получить доступ.
Хорошим вариантом являются защищенные портативные носители - например, зашифрованные флешки. Если вы очень обеспокоены этим, и в случае компрометации ключа на кону стоят большие деньги, возможно, вам даже стоит обратить внимание на аппаратные модули безопасности, подобные тем, которые предоставляет SafeNet. Они хранят ключ в защищенном устройстве или приборе, чтобы гарантировать, что ключ не может быть скомпрометирован, даже если у вас есть физический доступ к нему.
Недостатком HSM является стоимость. Их стоимость может достигать десятков тысяч долларов. Но если вы рискуете потерять миллионы из-за компрометации, это может оказаться небольшой ценой.