20170201 - Stockage de clé recommandé pour les certificats développeurs

À partir du 1er février 2017 et pour minimiser les risques de perte, vol ou compromission de clé, Symantec recommande de stocker la clé privée de votre certificat Développeur sur un token externe.

Pour quels produits ?

Cela concerne toute nouvelle demande ou renouvellement de certificat Développeur Thawte et Symantec.

Quel type de token ?

3 solutions :

• Un module de plateforme securisée(TPM) pouvant générer et sécuriser un biclé (paire de clés), et pouvant également garantir la protection de la clé privée de l’utilisateur via une clé d'attestation de module de plateforme sécurisée.
  
  
• Un module de sécurité matérielle (HSM, Hardware Security Module) certifié conforme au FIPS 140 niveau 2, Common criteria FAL 4+ ou à un standard équivalent.
  
  
• Si aucune des deux options citées ci-dessus ne sont réalisables, l’autre alternative serait de choisir un autre type de token physique : carte SD ou clé USB (pas nécessairement conforme avec le FIPS 140 niveau 2 ou Common criteria FAL 4+). Dans le cas de cette dernière solution, le token physique devra être gardé séparément de l’appareil servant à la signature des fichiers jusqu’au début du processus de signature.

Symantec ajoute également :

Les clients ne doivent en aucun cas laisser leur clés privées exposées sans sécurité dans un navigateur web ou partager ces mêmes clés privées avec une partie tierce (connue ou inconnue), étant donné que cela contribuera fortement à augmenter le risque que certaines personnes malveillantes obtiennent les capacités de compromettre votre signature et ainsi accentue la probabilité d’une éventuelle distribution de malwares signés par votre organisation.