Code Signing-certifikat til AWS KMS
Signer EXE, DLL, JAR og andre artefakter direkte fra AWS Key Management Service. Ingen USB-token nødvendig. Jsign forbinder til din AWS KMS-nøgle via AWS SDK og signerer lokalt, mens den private nøgle forbliver på en FIPS 140-2 Level 3 HSM. Nøglen forlader aldrig HSM'en.
AWS KMS koster ca. 7 kr./måned per asymmetrisk nøgle. Det er en af de billigere cloud HSM-løsninger til code signing, billigere end både Azure Key Vault Premium (ca. 35 kr./måned) og Google Cloud KMS (ca. 18 kr./måned).
Hvad er AWS KMS Code Signing?
AWS KMS (Key Management Service) er Amazons administrerede nøglehåndteringstjeneste. Siden maj 2023 er alle AWS KMS HSM'er backed af FIPS 140-2 Level 3-certificeret hardware (tidligere Level 2). Denne opgradering gør AWS KMS til en gyldig mulighed for code signing uden behov for dedikeret AWS CloudHSM.
Jsign ↗ er det primære signeringsværktøj til AWS KMS. Det er open source, Java-baseret og understøtter Authenticode, JAR-signering og flere andre formater. Jsign autentificerer via AWS SDK (IAM credentials eller EC2 instance role).
Siden juni 2023 kræver alle Code Signing-certifikater (OV og EV) HSM-backed nøgleopbevaring. AWS KMS
opfylder dette krav. Software-only .pfx-filer er ikke længere tilladt af nogen Certificate Authority.
OV vs EV Code Signing med AWS KMS
| OV Code Signing | EV Code Signing | |
|---|---|---|
| Validering | Organisation | Extended (strengere) |
| SmartScreen-omdømme | Opbygges over tid med downloads | Starter med højere omdømme |
| Kernel-mode driversignering | Nej | Ja (krævet af Microsoft) |
| AWS KMS | Asymmetrisk nøgle (RSA 4096) | Asymmetrisk nøgle (RSA 4096) |
| Udstedelsestid | GlobalSign typisk samme hverdag, DigiCert typisk 2-3 hverdage | GlobalSign typisk én hverdag mere end OV, DigiCert typisk 2-3 hverdage |
| Maksimal gyldighed | 460 dage | 460 dage |
Udstedelsestiderne er typiske, ikke garanterede. De forudsætter, at vi kan få fat i jer, og at I sender de underskrevne dokumenter retur med det samme.
FIPS 140-2 Level 3 siden maj 2023
Før maj 2023 opfyldte AWS KMS kun FIPS 140-2 Level 2, som ikke var tilstrækkeligt til code signing ifølge CA/Browser Forum-reglerne. AWS opgraderede alle KMS HSM'er til Level 3 i maj 2023.
Vigtigt: Denne opgradering betyder, at AWS KMS nu er en gyldig og prisbillig cloud-baseret mulighed for code signing key storage. Du behøver ikke AWS CloudHSM.
CA/Browser Forum kræver, at den private nøgle til code signing-certifikater opbevares på hardware, der er certificeret til mindst FIPS 140-2 Level 2 (i praksis kræver de fleste CA'er Level 3). Med opgraderingen i maj 2023 opfylder standard AWS KMS dette krav uden ekstra konfiguration.
AWS KMS vs Azure Key Vault vs Google Cloud KMS
AWS KMS
- ✓ Ca. 7 kr./måned
- ✓ FIPS 140-2 Level 3 (siden maj 2023)
- ✓ Lav månedlig pris
- • Jsign (eneste signeringsværktøj)
- • AWS IAM-autentificering
Azure Key Vault
- • Ca. 35 kr./måned
- • FIPS 140-2 Level 3
- • Bredeste værktøjsunderstøttelse
- • AzureSignTool + Jsign + signtool
- • Azure AD-autentificering
Google Cloud KMS
- • Ca. 18 kr./måned
- • FIPS 140-2 Level 3
- • Mellempris
- • Jsign (eneste signeringsværktøj)
- • Google Cloud SDK-autentificering
Alle tre cloud KMS-tjenester opfylder CA/Browser Forum-kravene til code signing key storage. Valget afhænger primært af, hvilken cloud-platform du allerede bruger. AWS KMS er en af de billigere løsninger, mens Azure Key Vault har den bredeste værktøjsunderstøttelse. Se den fulde sammenligning →
AWS CloudHSM vs AWS KMS
AWS KMS (ca. 7 kr./måned)
- ✓ Delt HSM-infrastruktur, administreret af AWS
- ✓ Tilstrækkeligt til code signing
- ✓ Pay-per-key-prissætning
- ✓ FIPS 140-2 Level 3 (siden maj 2023)
AWS CloudHSM (ca. 10.000 kr./måned)
- • Dedikeret HSM-klynge
- • Fuld PKCS#11-adgang
- • Krævet for visse compliance-regimer
- • Overkill for de fleste code signing-use cases
For de fleste code signing-scenarier er standard AWS KMS tilstrækkeligt. CloudHSM er kun relevant, hvis du har specifikke compliance-krav, der kræver PKCS#11-adgang eller fuld kontrol over HSM-hardwaren.
Signeringsværktøjer til AWS KMS
Jsign ↗ er det eneste signeringsværktøj, der understøtter AWS KMS direkte. signtool.exe og AzureSignTool understøtter ikke AWS KMS.
Jsign er open source, Java-baseret og understøtter Authenticode (.exe, .dll, .msi), JAR-signering, Windows Installer (.msi), MSIX og flere andre formater. Det autentificerer via AWS SDK (IAM credentials, environment variables eller EC2 instance role).
Komplet opsætningsguide
Trin-for-trin-guide til at oprette en asymmetrisk nøgle i AWS KMS, generere CSR, indsende til CA'en og signere med Jsign fra din CI/CD-pipeline.
Læs AWS KMS-opsætningsguiden →Relaterede sider: USB-token | Azure Key Vault | Google Cloud KMS | AWS KMS | Office-makroer | Sammenlign alle →
Code Signing-certifikater til AWS KMS
OV Code Signing
DigiCert CodeSign OV
DigiCert OV Code Signing. Virker med AWS KMS.
GlobalSign CodeSign
GlobalSign OV Code Signing. Virker med AWS KMS.
EV Code Signing
Ofte stillede spørgsmål om AWS KMS Code Signing
Find svar på de mest almindelige spørgsmål om SSL certifikater og FairSSL.
Klar til at signere fra AWS KMS?
Et Code Signing certifikat kræver validering af virksomheden, så det udstedes ikke på få minutter. Vi hjælper med at vælge certifikat og nøgleopbevaring og holder jer orienteret under valideringen.