我注意到code signing certificates are from now on required to be paired with physical tokens。
最低要求规定 CA 应确保对私钥进行更强的保护。因此，从 2017 年 1 月 30 日起，所有代码签名证书（不仅仅是扩展验证级别）都需要 USB 令牌。这样，所有新的和续订标准代码签名订单都将发送一个 USB 令牌来存储证书并保护私钥。此外，除 EV 代码签名之外的所有标准代码签名产品都将集成到一个“多平台”代码签名证书中。 注意：重新颁发现有代码签名证书（在 2017 年 1 月 30 日之前颁发）将不需要立即提供令牌。但是，这可能会发生变化。
作为使用纯云工作流程的人，这引起了我的一个明显担忧 - 我不能只将此 USB 令牌插入“云”。
我是否理解正确，从现在开始我需要设置一个单独的本地代码签名流程？或者是否还有一些可能在云中签署代码？在新规则下工作我应该有什么期望？
【问题讨论】：
标签： code-signing policy
根据您链接的文章，听起来您绝对需要为您的构建系统提供对 USB 密钥的访问权限才能对您的工件进行签名。正如您所提到的，显而易见的解决方案（可能是微软试图鼓励的）是建立一个专门用于代码签名的本地构建系统。
从安全的角度来看，这可能是最好的选择，因为您可以在软件和硬件方面强化该机器（例如锁定在工作区的壁橱中）。但这也可能不现实，具体取决于您的构建系统是如何设置的。
您的另一个选择是使用 USB 转发解决方案将 USB 密钥转发到您的云环境。有很多方法可以做到这一点，最好的方法取决于您正在构建的内容和操作系统，但这里有一些选项的简要说明：
所有这些解决方案的问题在于，如果 USB 令牌旨在主动防止这种情况（或以某种方式与转发不兼容），则它可能无法正常工作。例如，某些许可证密钥将检查以确保进出计算机的时间在某个容差范围内。在这些情况下，从云到您的机器增加的延迟会导致令牌无法工作。这完全取决于您收到的 USB 密钥。
此类政策的全部意义在于通过向您提供您必须实际拥有的东西才能使用您的密钥，从而防止您作为密钥持有者意外失去对密钥材料的控制。云构建系统很方便，但通常具有更广泛的安全环境，这使得保护密钥比现场系统更棘手。看起来 Microsoft 和您的 CA 正在尝试规定如何处理密钥。
【讨论】：