Bulut tabanlı kod imzalamada özel anahtar, sağlayıcının sertifikalı bir HSM'inde (Hardware Security Module) üretilir ve orada kalır. İmzalama isteği HSM'e gider, imza geri döner; anahtar hiçbir aşamada bilgisayarınıza indirilmez.
Geleneksel token modelinden farkı
- USB token ve kargo gerektirmez; teslim beklemeden süreç dijital ilerler.
- Token kaybı, bozulması veya yanlış PIN nedeniyle kilitlenme riski ortadan kalkar.
- Uzak çalışan ekipler ve derleme sunucuları için fiziksel cihaz taşıma sorunu yoktur.
Nasıl çalışır?
- Kuruluş doğrulaması tamamlanır ve sertifika bulut HSM'de oluşturulur.
- Sağlayıcının istemcisi veya API'si, sertifikayı imzalama araçlarına (SignTool gibi) sunar.
- Araç dosyanın özetini HSM'e gönderir; imza HSM içinde atılır.
- İmza atılırken zaman damgası sunucusu eklenir.
Dikkat edilecek noktalar
- İmzalama sırasında internet bağlantısı gerekir.
- Kimlik bilgilerini (kullanıcı, API anahtarı) kod deposuna koymayın; CI/CD gizli değişkenlerinde saklayın.
- Kimin imzalama yetkisi olduğunu sınırlayın ve kayıtları izleyin.
- Her imzada zaman damgası kullanın ki sertifika bitince imza geçersiz olmasın.
Kimler için uygun?
Güvenlik boyutu
Özel anahtarın kopyalanamaz bir donanım modülünde kalması, anahtarın bilgisayar ele geçirilse bile çalınmasını zorlaştırır. Yine de kimlik bilgileriniz ele geçerse saldırgan imza isteği gönderebilir; bu yüzden hesap erişimini sıkı yönetmek, yetkileri sınırlamak ve imza kayıtlarını düzenli incelemek gerekir.
Sık sürüm çıkaran ekipler, otomatik derleme hatları kullanan şirketler ve fiziksel token yönetmek istemeyen küçük firmalar için pratik bir modeldir. Hangi sertifika düzeyinin (OV/EV) gerektiğini belirlemek için kod imzalama sertifikalarını inceleyin; bulut seçeneği için Certum bulut kod imzalama sayfasına bakın.