行业新闻与博客

现在是时候更新《代码签名基准要求》了。

首先，这是一个坏消息，由于一些论坛成员之间的哲学差异，新标准未获 CA / Browser 论坛批准，他们认为代码签名不在论坛章程的范围之内。

好消息是该文档是在多方利益相关者环境中创建的，并大大改善了当前的管理流程。因此，决定将文件带出论坛，并最终确定为 CA 安全理事会的一部分。CASC 成员和其他人员将继续增强和管理该文档。Microsoft 还支持该文档，并增加了在 2017年2月1日之前将新标准用于代码签名证书的要求。

由于该文档已从 CA / Browser 论坛中撤出，因此它也已重命名为“ 发行和管理公开信任的代码签名证书的最低要求 ”，并且可以在 CA Security Council 网站上找到。

随着代码签名最低要求的实施，我们将看到对私钥有更高保护的要求。研究表明，代码签名攻击在发给不良发布者和发给密钥受损的优秀发布者之间的比例为 50/50。如果您的密钥被盗用，则攻击者可以签署恶意软件，声明该恶意软件是由您的公司发布的。因此，最好保护您的私钥，并且最佳实践是使用 FIPS 140-2 2 级 HSM 或同级产品。如果您使用较低级别的密钥保护标准并遭到破坏，那么您的 CA 将被迫将您提升到更高级别。

最低要求还增加了一个撤销过程，各方可以在该过程中要求撤销证书。最有可能的是，恶意软件研究人员或应用程序软件供应商（例如 Microsoft）将要求撤消其软件用户可能正在安装可疑代码或恶意软件的请求。在这种情况下，如果 Microsoft 要求 CA 撤销证书，则必须在两天内撤销证书，或者必须通知 Microsoft CA 已开始调查。

代码签名的时间戳也得到了改进。该标准要求 CA 提供时间戳记授权机构（TSA），并指定对 TSA 和时间戳记证书的要求。鼓励应用软件供应商允许代码签名在时间戳证书有效期内保持有效。该标准允许 135 个月的时间戳证书，因此您的代码签名签名可能有效期超过 10年。

代码签名的最低要求将提高识别发布者并验证代码未更改的能力。

本文由机器译制