SSL證書(shū)新要求：最小密鑰長(cháng)度將于6月增強至307

近日，CA/B論壇對代碼簽名ssl/' target='_blank'>證書(shū)提出新要求：從2021年6月1日起，代碼簽名證書(shū)的最小密鑰長(cháng)度將從2048位增強至3072位。為了遵從新規，Digicert，Entrust等國際CA紛紛調整策略以應對密鑰長(cháng)度的變化帶來(lái)的影響。

為了提高證書(shū)安全性，提前為未來(lái)先進(jìn)技術(shù)做好準備，作為全球網(wǎng)絡(luò )安全行業(yè)國際組織，CA/B論壇發(fā)布了如下通知：從2021年6月1日起，代碼簽名證書(shū)的最小密鑰長(cháng)度將從2048位增強至3072位。

代碼簽名證書(shū)（Code Signing Certificate）是軟件開(kāi)發(fā)商的理想解決方案。有了代碼簽名證書(shū)他們就可以對自己的產(chǎn)品（如應用程序、驅動(dòng)程序、可執行文件或者其他程序）進(jìn)行數字簽名，保證軟件代碼和內容的安全性。簽名后的軟件可以標識開(kāi)發(fā)者的真實(shí)身份，如果在傳輸過(guò)程中被第三方修改，將自動(dòng)提醒最終用戶(hù)以免被欺騙。

雖然數字簽名可以在很長(cháng)一段時(shí)間內保持有效（代碼簽名有效期是3年）。但與此同時(shí)，技術(shù)的進(jìn)步容易使這些相對較老的、較弱的密鑰受到暴力破解。因此，將來(lái)驗證這些簽名的一種方法是提高代碼簽名證書(shū)的最小密鑰長(cháng)度。

那么，密鑰長(cháng)度到底是什么？代碼簽名證書(shū)的密鑰長(cháng)度發(fā)生了什么變化？最重要的是，這將對代碼簽名證書(shū)的客戶(hù)有什么影響？

什么是密鑰長(cháng)度

密鑰長(cháng)度是證書(shū)關(guān)聯(lián)密鑰對中的位數，用于簽名和加密。密鑰長(cháng)度通常設置了一個(gè)加密算法的安全性上限，密鑰長(cháng)度越長(cháng)，意味著(zhù)更強的數字簽名，也就更安全。理論上說(shuō)，任何一種加密算法都可能被超強計算機通過(guò)暴力破解，但是在密鑰長(cháng)度越長(cháng)的情況下，暴力破解的時(shí)間也會(huì )越長(cháng)。所以理想情況下，在相當長(cháng)一段時(shí)間內通過(guò)暴力破解密鑰不是那么容易的。

但是隨著(zhù)科學(xué)技術(shù)的進(jìn)步，攻擊者在無(wú)人知曉的情況下惡意篡改應用程序也只是時(shí)間問(wèn)題。為了確保當前的數字簽名能在未來(lái)幾年內可繼續使用，提高密鑰長(cháng)度是一個(gè)很好的辦法。

代碼簽名證書(shū)密鑰長(cháng)度發(fā)生了什么變化

在八年前，證書(shū)的密鑰長(cháng)度被要求從1024位調整至2048位。所以，現在代碼簽名證書(shū)的最小密鑰長(cháng)度是2048位，并且是非常安全的。但是，隨著(zhù)時(shí)間的推移，目前的安全加密簽名在未來(lái)可能會(huì )受到威脅攻擊，鑒于此問(wèn)題，美國國家標準與技術(shù)協(xié)會(huì )（NIST）發(fā)布了NIST SP 800-57密鑰管理建議：基于安全性考慮，建議在2030年之后不再使用RSA算法2048位密鑰。

專(zhuān)注于CA和瀏覽器的安全技術(shù)與標準的討論與制定的CA/B論壇在分析了NIST的建議之后，投票決定從2021年6月1日起，代碼簽名證書(shū)最小密鑰長(cháng)度為RSA3072位。

密鑰長(cháng)度的變化會(huì )產(chǎn)生什么影響

2021年6月1日之后頒發(fā)的代碼證書(shū)將自動(dòng)鏈接到3072位的根證書(shū)，因此您不用購買(mǎi)其他產(chǎn)品或重新定向3072位信任鏈。

在2021年6月1日之前簽發(fā)的2048位代碼簽名證書(shū)，仍然可以有效使用。如果是在6月1日之后重簽或續費代碼證書(shū)，需要在生成CSR時(shí)選擇RSA3072加密位數。但即使是在6月1日之前簽發(fā)的2048位證書(shū)，為了遵循行業(yè)標準、提高安全性，銳成信息還是建議您盡快重簽切換到3072位代碼簽名證書(shū)。

如何查看證書(shū)密鑰長(cháng)度

如果不知道自己現有證書(shū)的密鑰長(cháng)度，可通過(guò)以下幾個(gè)簡(jiǎn)單的操作步驟就可以查看。例如，在Windows中找到您的證書(shū)文件，右鍵單擊證書(shū)，選擇【屬性】，點(diǎn)擊證書(shū)的【詳細信息】選項卡，在【公鑰】里即可查看到密鑰長(cháng)度，如下圖：

Windows 10中的代碼簽名證書(shū)的屬性窗口

如果您的代碼簽名證書(shū)是2048位，建議您在6月1日之后重簽切換到3072位代碼簽名證書(shū)。

為了遵從CA/B論壇對代碼簽名證書(shū)的新規要求，Digicert，Entrust等國際CA紛紛調整策略。Digicert宣布2021年5月27日之后簽發(fā)的代碼簽名證書(shū)必須支持RSA算法3072位或更強的密鑰長(cháng)度。2021年上半年，Entrust已發(fā)布RSA算法4096位的根證書(shū)，新簽的代碼簽名證書(shū)密鑰長(cháng)度將為RSA 3072位或4096位。如果Entrust代碼簽名需帶有時(shí)間戳，那么就需要選擇4096位的RSA密鑰。具體變更詳情可前往各自官方網(wǎng)站查詢(xún)。

發(fā)布者：水橋丶帕露西