DigiCert Code Signing med USB-token: installation
Guiden går igenom hela vägen från beställning till första signering med ett DigiCert Code Signing-certifikat på en SafeNet USB-token: validering, installation av drivrutiner, DigiCerts installationsverktyg, initiering av din token och praktiska tips för signering.
Installationskoden kommer från FairSSL, inte från CertCentral
DigiCerts egna guider ber dig hämta en installationskod i DigiCert CertCentral. Det gäller inte dig: som FairSSL-kund har du inte tillgång till CertCentral. När certifikatet är utfärdat skickar FairSSL automatiskt ett mejl med din installationskod för engångsbruk och en länk till den här guiden. Allt du behöver står i mejlet.
Så går det till efter beställningen
FairSSL skapar ordern hos DigiCert
Vi skickar din beställning till DigiCert och startar valideringsprocessen.
DigiCert validerar företaget
DigiCert kontaktar godkännaren som angavs i ordern. Vid EV Code Signing bekräftas även godkännarens identitet. Valideringen tar oftast 2-3 arbetsdagar för både OV och EV. Det är en normal tid och ingen garanti: den håller när godkännaren är lätt att nå per telefon och skickar tillbaka undertecknade dokument direkt.
FairSSL skickar en ny USB-token med PostNord
Har du beställt en ny token skickar FairSSL en SafeNet eToken med PostNord och leverans nästa arbetsdag. Paketet måste lämnas in före kl. 10, så räkna med att det är framme inom 2 arbetsdagar. Förnyar du på en befintlig token skickas ingenting.
Certifikatet utfärdas och FairSSL skickar installationskoden
När valideringen är godkänd utfärdas certifikatet, och vi skickar automatiskt ett mejl med installationskoden och stegen i den här guiden.
Steg 1: Installera SafeNet Authentication Client
SafeNet Authentication Client är drivrutinen som gör att datorn kan kommunicera med din USB-token. Installera den på den dator där certifikatet ska installeras, och senare på alla datorer där du ska signera med din token.
Ladda ner den senaste versionen från DigiCerts nedladdningssida för SafeNet Authentication Client ↗ (Windows, macOS och Linux).
Viktigt: Installera drivrutinen innan du kör DigiCerts installationsverktyg. Vid förnyelse uppdaterar du först drivrutinen till den senaste versionen.
Steg 2: Hämta DigiCert Hardware Certificate Installer
DigiCert Hardware Certificate Installer är verktyget som installerar certifikatet på din token. Det behövs bara under installationen och kan avinstalleras efteråt.
Ladda ner verktyget här: DigiCertHardwareCertificateInstaller.zip ↗. Packa upp zip-filen och kör programmet. Windows kan visa en SmartScreen-varning eftersom verktyget laddas ner direkt. Verktyget är signerat av DigiCert och kan köras.
Steg 3: Kör verktyget med installationskoden från FairSSL-mejlet
Sätt i din USB-token och starta DigiCert Hardware Certificate Installer. Verktyget ber om en installationskod: ange engångskoden från FairSSL-mejlet. Du ska inte hämta någon kod hos DigiCert.
Verktyget ansluter till DigiCert, hämtar certifikatet och installerar det direkt på din token. Den privata nyckeln skapas i själva enheten och lämnar den aldrig.
Koden kan bara användas en gång. Har den redan använts, gått ut eller kommit bort, svara på mejlet från FairSSL eller kontakta oss, så skickar vi en ny.
Steg 4: Initiering och val av koder
På första sidan efter installationskoden visar verktyget en kryssruta för att initiera din token:
- ✓ Ny token: markera kryssrutan. Enheten återställs och du väljer nytt lösenord och ny PIN-kod.
- ✓ Befintlig token med innehåll: lämna kryssrutan omarkerad. Initiering raderar allt som finns på din token.
Välj RSA 4096 bit som nyckeltyp om verktyget frågar efter det.
Säkerhetskoder
- Token Password / PIN: koden du anger varje gång du signerar. På de flesta modeller är lösenordet och PIN-koden samma kod.
- PUK: låser upp PIN-koden om den har spärrats.
- Administrator Password: används bara, tillsammans med PUK-koden, för att radera och återställa enheten. Vi rekommenderar att du inte ändrar det.
Nya koder ska vara 8-16 tecken långa. Verktyget kan godta en längre kod som sedan inte fungerar på din token.
Varning: Anges Administrator Password eller PUK fel för många gånger blir din token permanent obrukbar. Den kan inte återställas, och du måste köpa en ny.
Steg 5: Signera din kod
Certifikatet är nu installerat på din USB-token och klart att använda. Du kan använda din token på andra datorer genom att installera SafeNet Authentication Client och sätta i den.
Certifikatet och den privata nyckeln kan inte kopieras eller exporteras från din token. Certifikatet går bara att använda med just den här enheten. Förvara den säkert.
Exempel med signtool
signtool sign /fd sha256 /tr http://timestamp.digicert.com /td sha256 /a "MyApp.exe"
SafeNet-drivrutinen ber om din PIN-kod när signtool ska signera.
Tips och felsökning
Använd alltid tidsstämpling
Lägg alltid till en tidsstämpel när du signerar, så att signaturen fortsätter att gälla efter att certifikatet har gått ut. DigiCerts tidsstämpelserver är http://timestamp.digicert.com.
Single logon
I SafeNet Authentication Client: Client Settings → Advanced → Enable single logon. Då anger du PIN-koden en gång per session i stället för vid varje signering. Det är säkrare att låta inställningen vara avstängd.
Din token låses efter felaktiga koder
En token låser sig efter upprepade försök med fel kod. Viss programvara provar koder automatiskt och kan förbruka försöken. I SafeNet Authentication Client ser du hur många försök som återstår.
Installationskoden fungerar inte
Koden kan bara användas en gång och kan redan ha använts eller gått ut. Svara på mejlet från FairSSL så skickar vi en ny. Du ska inte kontakta DigiCert och inte använda CertCentral.
Automatiserad signering i CI/CD
signtool kan signera automatiskt med parametrar för tokennamn, namn på key container och lösenord. Kontakta FairSSL om du vill ha hjälp att sätta upp det.
DigiCert Code Signing-certifikat
OV Code Signing
EV Code Signing
Vanliga frågor om DigiCert USB-token
Hitta svar på de vanligaste frågorna om SSL-certifikat och FairSSL.
Redo att beställa DigiCert Code Signing?
Skapa ett gratis konto och beställ ditt första certifikat. Ett DV-certifikat utfärdas på under 2 minuter.