Cómo asegurar un certificado internamente

"Unexportable" significa que las funciones dedicadas del sistema operativo se negarán a exportar la clave privada. Sin embargo, está por supuesto allí; esto es solo software, por lo que la clave privada, cuando se usa, necesariamente existe en algún punto de la RAM con toda su estructura. La marca de la clave como "no exportable" es un sistema de seguridad solo contra atacantes que no tienen derechos de administrador y debe actuar dentro de las restricciones de la API. De lo contrario, exportar es bastante fácil . En ese caso, una simple copia de seguridad de todo el sistema sería suficiente para obtener la clave privada.

Para hacer que el almacenamiento de claves sea robusto contra los atacantes locales (personas que tienen acceso a la máquina y son tecnológicamente competentes), necesita un Hardware Módulo de seguridad . Se trata de un hardware costoso, que nunca entregará una clave que se le ha confiado; destruirá activamente las claves si detecta una violación física. Por otra parte, registrará todos los usos de la clave privada. Alguien que acceda al HSM físicamente todavía podría obtener tantas firmas como quiera, pero todas se registrarán y no tendrán la clave en sí (por lo que no podrá firmar luego ). Una versión más barata (pero algo menos robusta) sería una tarjeta inteligente.

El método habitual para garantizar el acceso a las claves de firma de código es tener dos ; una "clave de desarrollo" que se utiliza para el desarrollo, y una "clave de producción" que se utiliza solo cuando un producto real está a punto de ser enviado. Las máquinas de los desarrolladores están configuradas para aceptar la clave de desarrollo como válida, de modo que los desarrolladores puedan trabajar con el código firmado con la clave de desarrollo, pero, por supuesto, solo la clave pública de producción se implementa en la base de usuarios. La idea es que firmar con la clave de producción debe ser lo suficientemente raro como para que pueda hacerlo de forma no automatizada, bajo el control físico de la administración y utilizando hardware dedicado (por ejemplo, una tarjeta inteligente que normalmente se guarda en una caja fuerte).

(Cuando se utiliza un hardware especial para almacenar una clave privada, las copias de seguridad pueden ser un problema. Debe tener cuidado de mantener una copia segura de la clave en algún lugar o de poder obtener una nueva en un breve aviso).