如何与其他开发人员共享EV代码签名证书和USB令牌？

Question

我从全局签名https://www.globalsign.com/en/code-signing-certificate/获得了扩展验证代码签名证书

他们发送了一个USB令牌，我把证书安装到.或者我想我就是这么做的。

我的问题是(如何)远程开发人员可以使用该证书，还是签名现在仅限于我的计算机/ USB？

任何帮助都是非常感谢的。谢谢。

Answer 1

要签字，你需要私钥和证书。听起来好像是USB上的私钥，但我不确定。

最好的做法是保持私钥，好吧，让它非常私密。它通常只存储在一台机器上，并使用一个自动工作流将二进制文件复制到该机器上进行签名。那台机器应该尽可能的像香草一样，以减少它易受攻击的可能性。

之所以如此小心，是因为恶意软件作者非常喜欢用有效的、可信的代码签名密钥来签名他们的恶意软件。有一个名案，尽管安全性很强，但它的私钥被用来签署恶意软件。现在Adobe的代码签名密钥对攻击者来说比您的更有吸引力，因为许多人已经告诉他们的计算机要信任Adobe的密钥，但是像上面描述的那些基本的安全实践仍然是合适的。请记住，如果您最终用您的密钥签署恶意软件，这将关系到您公司的声誉。