HSM/トークンでの秘密鍵保管

2023年6月1日以降のCA/Browser Forum基準により、コード署名証明書の秘密鍵をFIPS 140-2レベル2相当以上のハードウェア(HSMやUSBトークン)で生成・保管することを義務付けたもの。

概念URI

https://comcomponent.com/knowledge/hsm-key-storage/

別名・表記

FIPS 140-2レベル2

最終確認日

2026-08-01

機械可読データ

JSON-LD

この概念が関わる関係

• コード署名証明書はHSM/トークンでの秘密鍵保管を前提とします。公的に信頼されるCAが発行するコード署名証明書(OV・EV)については、2023年6月1日以降、CA/Browser Forumの基準により秘密鍵をFIPS 140-2レベル2相当以上のハードウェアで生成・保管することが必須になった。自己署名証明書や社内プライベートCAが発行する証明書はこの基準の対象外で、秘密鍵をソフトウェアで保管することもできる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• 署名鍵の分離運用はHSM/トークンでの秘密鍵保管を利用します。本番署名鍵はHSMやクラウド署名サービスなど、秘密鍵を安全に生成・保管する仕組みで保護する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• コード署名証明書はHSM/トークンでの秘密鍵保管を前提とします。2023年6月以降にCA/Browser Forumの要件に基づき新規発行される公的なOV/EV証明書は、秘密鍵をHSMまたはハードウェアトークンで保管することが必須になった。社内CA発行や既存のPFX証明書はこの要件の対象外。 / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• HSM/トークンでの秘密鍵保管はWindowsランナー(windows-latest)と両立しません。USBトークン型のハードウェア保管はGitHubホステッドランナーに物理的に挿せないため、そのままではCIでの完全自動署名ができない。CAのクラウドHSMオプションを使えばこの制約を回避できる。 / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典

この概念を扱う記事

• AppLocker・App Control for Business(WDAC)と業務アプリ配布 ── 「実行制御」でブロックされる前に(言及)
• 自動アップデートのセキュリティ設計 - HTTPSだけでは足りない理由(言及)
• WinForms / WPFアプリのCI/CD実践 ── GitHub Actionsでビルドから署名・配布まで自動化する(言及)

一次資料

• https://cabforum.org/working-groups/code-signing/requirements/

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。