SSL信息
CA Security Council和微软公司在保护在线用户方面提出新标准
——CASC代码签名证书的最低要求为所有CA规定了一般性审查程序
2016年12月8日，旧金山。证书颁发机构安全理事会（CASC），一个致力于加强网络安全的组织，宣布证书代码签名团队就发布了一套新的最低要求标准，供所有CA使用。该标准是首个标准化的代码签名指南。代码签名是一种用基于证书的数字签名签发可执行文件及脚本文件证书以核实软件作者身份并确保代码未被修改和破坏的方法。核实软件真实性并避免下载恶意软件对于保护用户在线交互活动是至关重要的。微软公司是第一个采用该项指南的应用软件销售商，预计其他公司将会跟进。
证书代码签名团队是CA/浏览器论坛的一部分，它是一个由CA、浏览器销售商和在SSL/TLS和代码签名中使用X.509 v.3版本数字证书的其他应用软件供应商组成的志愿团队。该团队由CASC成员组成，他们用超过2年时间与CA、应用软件供应商和安全社区成员合作开发的“公共可信代码签名证书颁发和管理最低要求标准”即将面世。
“以前没有任何标准，这意味着如果一个CA拒绝了一家公司的申请，这家公司还可以向另一个CA发出同样申请，”Symantec公司商务部门的高级经理Dean J. Coclin说。“该标准将提高CA鉴别发布者身份和识别代码是否被修改的能力。”
该指南包括几个新功能，可以帮助企业保护他们的IT系统和信息仓库免受网络攻击。这包括：
- 对私钥的更强保护：最佳方案是使用FIPS 140-2标准的2级HSM或类似产品。研究表明，对好的软件发布人和坏的软件发布人的代码签名攻击数量基本相同，这些发布人的密钥在不知不觉中就被窃取了。这使得攻击者可以为恶意软件签发证书，并宣称该软件是由合法公司发布的。因此，公司必须将密钥要么存储在他们的自行管理的硬件中，要么存储在新的基于云的代码签名的云服务上。
- 证书撤销：如果发现用户可能正在安装可疑代码或恶意软件，恶意软件研究人员或者像微软公司一样的应用软件供应商都可能会发出撤销证书的请求。在CA收到请求后，它要么在两天内撤销证书，要么发起一项调查并警告请求者。
- 改善代码签名时间戳：CA现在必须提供时间戳凭证（TSA），并为该TSA和时间戳证书指定详细要求。鼓励应用软件供应商允许代码签名在时间戳证书的的有效期内保持有效。该标准允许时间戳证书的有效期达到135个月。
微软公司将要求为Windows平台颁发代码签名证书的CA从2017年2月1日起必须遵守该指南。
“各版本的微软Windows平台占桌面操作系统市场份额的近90%，所以强制CA遵守新标准的决定意义重大，”DigiCert的新兴市场部门执行副主席Jeremy Rowley说。“我们预计微软将带动其他应用软件供应商也这么做。”
“微软致力于持续提高我们产品和服务的安全性。这些新的基础性要求将确保我们的CA伙伴们在向软件开发人员颁发证书时遵从一套新的标准，从而促进我们目标的实现，”微软公司加密微系统部门的高级安全项目经理Jody Cloutier说。
关于CASC
证书颁发机构安全理事会（CASC）由一些全球领先的CA组成，他们致力于推动可提升可信SSL部署、CA运行以及互联网整体安全的最优方案。尽管CASC不是一个制定标准的机构，但它通过与其他机构协作来增进关键政策的理解，并加深其对互联网基础设施的潜在影响。更多信息请访问https://casecurity.org。