svn - 您将代码签名证书的私钥存储在哪里？

Question

我最近为我的雇主获得了一个代码签名证书，但我不是在分发之前签署二进制文件的 InstallShield 开发人员。我知道我可以将证书连同它的私钥一起导出，但是我应该将它存储在哪里，以便 InstallShield 开发人员可以将它安装在他的机器上？一旦我把它交给签字的人，我应该把它从我的机器上取下来吗？我在哪里存储主副本？显然，源代码管理不是最好的地方，除非我在 SVN 中锁定了那个目录。

Answer 1

为私钥实现安全策略
请记住:与已发布的签名二进制文件一起使用的私钥是您公司的身份。处理此类 key 的策略不够严格。
强制执行 你 是您公司中唯一能够(并且负责)签署可执行文件的人员。
如果这不是一个选项，那么让所有参与 PKI 的员工签署一份明确的保密协议(protocol)，并处以高额罚款——结果应该是更高的责任感。
key 转移

使用可移植媒体(如专用 USB 内存棒或 CD-ROM)- 我更喜欢只读媒体

让另一名员工见证收据

让收件人和见证人签署一份关于 key 收据的表格

主副本的存储
将主副本冗余存储在您可以独占访问的不同地理位置的至少 3 个驱动器上。还可以考虑使用 AES-256 等强加密算法(例如，在 7z 文件中)对副本进行加密。