Firma le applicazioni in modo rapido e sicuro nel cloud

23/giu/2022 | Jindřich Zechmeister

Il componente Secure Software Manager fa parte della piattaforma DigiCert ONE, una soluzione completa e moderna per la gestione delle PKI. Ti consente di firmare software utilizzando il cloud e di connettere la firma automatica al tuo sviluppo agile e CI/CD. Finalmente puoi firmare ovunque, in qualsiasi momento, automaticamente e senza avere a disposizione il certificato e la chiave privata!

Incontra Secure Software Manager

Sei già stanco di eseguire le firme tramite certificati Code Signing su token? Di dover condividerlo in team e di dover costantemente inserire la password del token? Sei paranoico su possibile furto e uso improprio del tuo certificato Code Signing? Ora puoi dimenticare queste preoccupazioni perché Secure Software Manager arriva e risolve questi problemi abituali.

Vantaggi della firma tramite Secure Software Manager

Il vantaggio principale della firma tramite Secure Software Manager è la posizione delle chiavi (chiave privata e certificato) nel cloud DigiCert. Sulla sicurezza delle chiavi quindi non ci possono essere dei dubbi e la chiave privata non verrà rivelata mai.

Un altro grande vantaggio è la possibilità di utilizzare il certificato Code Signing EV in piena libertà e senza token. Infatti, il token ti impedisce di automatizzare (ad ogni firma è necessario inserire la password), così come il darlo in prestito infastidisce l'eseguire delle firme all'interno di un team. Ora puoi avere sia il certificato Code Signing EV che la chiave privata nel cloud e inoltre puoi anche decidere quando il certificato potrà essere utilizzato. Non mancano gli altri elementi di sicurezza, come la gestione degli utenti o l'organizzazione di “release".

Secure Software Manager ti consente ad eseguire sia una chiara gestione delle chiavi che una chiara sistemazione dei diritti appartenenti ad esse. Puoi impostare i profili di chiavi e certificati in base alla lunghezza delle chiavi e agli algoritmi che desideri utilizzare. Puoi anche organizzare release e, dopo esser eseguito, vietare l'uso di chiavi specifiche, oppure impostare la rotazione automatica delle chiavi per una sicurezza ancora maggiore.

Come si firma tramite il cloud?

Secure Software Manager utilizza il cosiddetto hash signing, il cui principio è firmare un'impronta digitale del file (non il file stesso), e che non richiede avere un certificato con una chiave privata a disposizione. Così puoi continuare a firmare nello stesso modo come finora senza notare delle differenze. La sicurezza della ritenzione di certificati verrà però notevolmente aumentata, invece la possibilità del loro uso improprio sarà ridotta al minimo. Puoi leggere ulteriori informazioni sull'argomento di hash signing, ad esempio, nel documento Hash Signing with DigiCert Secure Software Manager.

Con questo metodo di firma, né i dati da firmare né la chiave privata con il certificato non circolano su internet. Solo hash (impronta digitale) del file da firmare, firmato dalla chiave privata memorizzata nel Secure Software Manager, sarà ad circolare su di esso. Il vantaggio dei file di grandi dimensioni è che non devi caricarli da nessuna parte; il file può essere di molti gigabyte, ma dipende dalla velocità di calcolo di hash (impronta digitale), che di solito viene eseguita in pochi secondi. Dopo il suo calcolo, la firma sarà ugualmente veloce per tutti i file, perché hash (impronta digitale) avrà sempre la stessa lunghezza (se utilizziamo la stessa funzione).

Le librerie installate da DigiCert creano un nuovo magazzino di chiavi (KSP - key storage provider) sul tuo computer e mediano la comunicazione con il cloud tramite API. Per l’utente quindi resta tutto semplice come prima, quando il certificato era archiviato sul computer. DigiCert ha le librerie per tutti i maggioritari sistemi e quindi non devi preoccuparti. Puoi automatizzare la firma grazie all'ampio supporto per gli strumenti, tra cui Azure DevOps, Jenkins, ANT, Gradle e Apache Maven.

Su Windows, le librerie funzionano con Authenticode e Windows Sign Tool, ma anche con gli strumenti Mage, Nuget, Clickonce, HLK o HCK. Questi rendono possibile firmare non solo applicazioni, ma anche librerie, driver e praticamente qualsiasi tipo di file. La libreria PKCS11 è poi destinata alle piattaforme Java, Android, Linux, Docker, OpenSSL; è compatibile con gli strumenti e i formati Docker Notary, APIKSigner per Android, OpenSSL, GPG, Debian, XML, JSign, osslsigncode ed altri.

Di DigiCert ONE

DigiCert ONE è una piattaforma per una gestione moderna di PKI. Copre ogni aspetto di cui potresti aver bisogno: dalla tua CA nel cloud alla firma di file ed applicazioni. La piattaforma è stata sviluppata in modo che possa essere utilizzata nell'automazione e integrata in CI/CD. Puoi scoprire come integrare DC ONE in DevOps, ad esempio, in questo documento. Butta via i token con i certificati Code Signing EV, il futuro è qui!

La piattaforma DigiCert ONE DigiCert ONE include i seguenti componenti, il cui nome è autoesplicativo:

• DigiCert® Secure Software Manager
• DigiCert® IoT Device Manager
• DigiCert® Enterprise PKI Manager
• DigiCert® Document Signing Manager
• DigiCert CertCentral® TLS Manager

Come ottenere Secure Software Manager e DigiCert ONE

Puoi ottenere la licenza dei singoli componenti insieme all'accesso a DigiCert ONE tramite noi, il partner platino di DigiCert. Basta contattarci con una richiesta sulla nostra e-mail di contatto. Di seguito ti contatteremo subito, discuteremo il metodo di utilizzo e, basandosi su questo, creeremo un'offerta di prezzo non vincolante.