Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Beide Seiten der vorigen Revision Vorhergehende Überarbeitung
Nächste Überarbeitung		 Vorhergehende Überarbeitung
de:dfnpki:tcs:codesigning [2023/11/28 16:00] – [OV Code Signing] Juergen Brauckmannde:dfnpki:tcs:codesigning [2024/02/01 16:33] (aktuell) – Juergen Brauckmann
Zeile 6: Zeile 6:
     * Beantragung per E-Mail-Einladung aus SCM heraus     * Beantragung per E-Mail-Einladung aus SCM heraus
     * Voraussetzung: Sie müssen einen Yubikey 5 FIPS besitzen     * Voraussetzung: Sie müssen einen Yubikey 5 FIPS besitzen
 +    * Manueller Prozess auf Seiten von Sectigo mit Verzögerungen von wenigen Stunden bis mehrere Tagen. Bitte Support-Ticket mit "Order Number" erstellen.
  
   * EV Code Signing für Signaturen, die in Microsoft SmartScreen per Default ein höheres Vertrauen besitzen   * EV Code Signing für Signaturen, die in Microsoft SmartScreen per Default ein höheres Vertrauen besitzen
Zeile 53: Zeile 54:
  
 1. Yubikey vorbereiten: 1. Yubikey vorbereiten:
-  * ggf PIV anschalten +  * PIN setzen. Achtung: Es gibt Werkzeuge, die das Setzen von PINs mit einer Länge von mehr als 8 Zeichen erlauben. Diese werden von der PKCS11-Library ykcs11 **nicht** unterstützt, dort funktionieren nur PINs mit 6-8 Zeichen.
-  * PIN setzen. Achtung: Es gibt Werkzeuge, die das Setzen von PINs mit einer Länge von mehr als 8 Zeichen erlauben. Diese werden von der PKCS11-Library ykcs11 *nicht* unterstützt, dort funktionieren nur PINs mit 6-8 Zeichen.+
   * Default PIV Management Key vom Default 010203040506070801020304050607080102030405060708 auf was "richtiges" umsetzen   * Default PIV Management Key vom Default 010203040506070801020304050607080102030405060708 auf was "richtiges" umsetzen
   * PUK setzen.   * PUK setzen.
Zeile 60: Zeile 60:
 2. Schlüssel erzeugen und den öffentlichen Teil in eine Datei ausgeben: 2. Schlüssel erzeugen und den öffentlichen Teil in eine Datei ausgeben:
 <code> <code>
-yubico-piv-tool -a generate --slot=9c -k -A ECCP384 -o PublicKeyFile.key+yubico-piv-tool -a generate --slot=9c --pin-policy=once -k -A ECCP384 -o PublicKeyFile.key
 </code> </code>
 +
 +''pin-policy=once'' ermöglicht die Erstellung von mehreren Signaturen hintereinander mit nur einer PIN-Eingabe. Diese Option ist insbesondere für Windows ''signtool.exe'' notwendig, wenn MSI signiert werden.
  
 3. CSR erzeugen und in eine Datei ausgeben: 3. CSR erzeugen und in eine Datei ausgeben:
Zeile 79: Zeile 81:
 yubico-piv-tool --action=attest --slot=9c > Slot9cAttestation.pem yubico-piv-tool --action=attest --slot=9c > Slot9cAttestation.pem
 </code> </code>
-(funktioniert nur für Onboard erzeugte Keys, nicht für importierte) +(funktioniert nur für nach dieser Anleitung erzeugte Keys, nicht für anderweitig importierte) 
  
 5. Intermediate aus dem Yubikey auslesen 5. Intermediate aus dem Yubikey auslesen
Zeile 103: Zeile 105:
   * Den Inhalt der Datei attestation_bundle.b64 aus Schritt 6 in das Feld "Key Attestation" eingeben   * Den Inhalt der Datei attestation_bundle.b64 aus Schritt 6 in das Feld "Key Attestation" eingeben
  
-8. Sectigo stellt das Zertifikat aus und verschickt eine E-Mail mit Links auf Zertifikatdateien+8. Sectigo bearbeitet den Antrag. Mit Stand 2024-01 handelt es sich um einen manuellen Prozess auf Seiten von Sectigo mit Verzögerungen von wenigen Stunden bis mehreren Tagen. Bitte erstellen Sie gegebenenfalls ein Support-Ticket nach [[de:dfnpki:tcsfaq#support|Anleitung]]. Das Ticket muss die "Order Number" enthalten, die zu dem gestellten Antrag in SCM sichtbar ist.  
 + 
 +9. Sectigo stellt das Zertifikat aus und verschickt eine E-Mail mit Links auf Zertifikatdateien
  
-9. Aufspielen der von Sectigo gelieferten Zertifikatdatei aus dem Link "as Certificate only, PEM encoded:" auf den Yubikey, z.B. mit dem YubiKey Manager+10. Aufspielen der von Sectigo gelieferten Zertifikatdatei aus dem Link "as Certificate only, PEM encoded:" auf den Yubikey, z.B. mit dem YubiKey Manager
  
 ===Code Signing mit Yubikey FIPS=== ===Code Signing mit Yubikey FIPS===
  • Zuletzt geändert: vor 6 Monaten