StartCom (StartSSL) 에서 코드 서명 인증서를 받았습니다 . 나는 그들의 서비스에 매우 만족합니다. 그들의 고객 서비스는 매우 빠르고 가격도 매우 합리적입니다.

코드 서명 인증서 얻기

코드 서명 인증서를 얻으려면 클래스 2 신원 확인이 필요합니다 . StartCom은 전체 프로세스를 안내합니다 (우수한 응답률, 일반적으로 경험상 10 분 이내).
한 번에 자세한 내용을 확인하려면 이 블로그 게시물을 읽어 보세요. 한 시간 이내에 확인되었습니다 (페이팔을 통해 59.90 달러의 수수료).

유효성을 검사 한 후 새 개인 키와 CSR (인증서 서명 요청)을 생성합니다. 참고 공개 키를 제외한 모든 필드는 무시됩니다 . 인증서의 모든 정보는 CSR이 아니라 신원 확인 중에 제공 한 정보에서 유추됩니다 .

# Create key and CSR (key must be at least 2048 bit, per Policy Statement)
openssl req -nodes -newkey rsa:2048 -keyout codesigning.key -out codesigning.csr
# Add pass phrase to key (optional, but highly recommended)
openssl rsa -in codesigning.key -des3 -out codesigning2.key && \
    mv codesigning2.key codesigning.key

웹 인터페이스를 통해 제출하면 2 년 동안 유효한 새 인증서를 빠르게받을 수 있습니다 (1 시간 내에 발급 받았습니다).

문제 : 평생 서명 OID

StartCom의 클래스 2 인증서에는 평생 서명 OID가 설정되어 있습니다. 이 비트로 인해 서명 된 코드의 서명은 인증서가 만료 된 후 타임 스탬프가 찍힌 경우에도 유효하지 않게됩니다.

이 OID에 대한 이유를 Eddy Nigg (StartCom의 COO / CTO)에게 물었을 때 그는 다음과 같이 대답했습니다.

인증서가 이미 만료 된 후에도 최대 20 년 동안 CRL을 유지해야합니다. 이것은 우리가 EV 레벨 인증서 (훨씬 적은 양, 다른 지불 조건)에 대해 할 수있는 일이지만,이 혜택을 위해 클래스 2의 가격을 인상 할 것입니다 (코드 서명은이 레벨의 옵션의 일부일뿐입니다).

따라서 타임 스탬프는 EV (Extended Validation) 이후 에만 사용할 수 있으며 합법적으로 설립 된 조직에서만 사용할 수 있으며 비용은 199.90 달러입니다. 따라서 개별 개발자는 StartCom의 코드 서명 인증서로 타임 스탬프를 사용할 수 없습니다 .

오랫동안 저는이 한계를 큰 문제로 생각했습니다. 최근에 마음이 바뀌 었습니다. 2 년에 한 번만 발생하고 보안에 관심이있는 사용자는 내 소프트웨어의 최신 버전을 사용하는 경향이 더 많으며 이전 버전의 소프트웨어는 계속 작동합니다 (사용하려는 사용자를 위해; 확인 된 서명없이).

참고 : 평생 서명 플래그가 설정되어 있어도 항상 코드에 타임 스탬프를 찍으십시오 ! 타임 스탬프가있는 서명은 인증서가 해지 된 경우에도 인증서 만료일까지 유효합니다 (분명히 인증서가 해지되기 전에 서명이 생성 된 경우에만 해당).

인증서의 실제 사용

StartCom에서는 유효성 검사 비용 만 지불합니다. 신원 확인은 350 일 동안 유효하며이 기간 동안 코드 서명 인증서를 무료로 요청할 수 있습니다. 유효한 코드 서명 인증서는 하나만 가질 수 있으며 모든 코드 (MSI, DLL, XPI, ...)에 서명하는 데 사용할 수 있지만 드라이버 코드에는 서명 할 수 없습니다 (EV 필요).

인증서의 속성을 변경하려면 이전 인증서를 취소하고 새 인증서를 요청해야합니다. 인증서 취소 비용은 $ 29.90입니다. 코드 서명 인증서를 받고 하루 만에 이메일을 변경했을 때 그들은 예외적으로 수수료없이 내 인증서를 취소했습니다 (정말 놀랐습니다)!

만료

인증서가 만료 될 때 (거의 2 년 후) 알림을받습니다 (2 주 전). 확인 된 신원이 여전히 유효한 경우 (검증은 350 일 후에 만료되며 59.90 $에 대해 신원을 다시 확인해야 함) 이전 인증서를 취소하지 않고 새 인증서를 요청할 수 있습니다. 이 새 코드 서명 인증서로 서명 된 소프트웨어의 새 릴리스를 게시하는 것을 잊지 마십시오. 이전 릴리스에는 곧 "(확인되지 ​​않음)"또는 이와 유사한 내용이 표시 될 것입니다.

OCSP

인증서를 받았을 때 Firefox 애드온에 서명했습니다. 그러나 내 XPI 파일이 올바르게 서명 되었음에도 불구하고 여전히 "(저자가 확인되지 않음)"이 표시됩니다. Firefox가 StartCom의 OCSP 서버에 새 인증서의 해지 상태를 쿼리했을 때 현재 인증서 상태를 얻지 못한 것으로 나타났습니다. ^{관련 포럼 주제}

약 반나절 후에 내 인증서가 OCSP 서버에 알려졌고 내 이름이 예상대로 표시되었습니다. 교훈 : 새 인증서를 받으면 새 서명으로 소프트웨어를 게시하기 전에 하루 정도 기다리십시오.