使用 Network-HSM 在 OS X 上进行代码签名答案

【问题标题】：Code-Signing on OS X with a Network-HSM使用 Network-HSM 在 OS X 上进行代码签名
【发布时间】：2011-10-07 11:15:30
【问题描述】：

我被要求重新设计我们的构建/签名/发布流程。我对 Windows 的东西非常满意，并且我已经确定了几个可以满足我们需要的联网 HSM 产品。它们基本上直接与 CryptoAPI 集成，因此进行签名的人可以正常使用 signtool.exe。

我们目前有一个单独的 Mac 团队，他们自己构建/签名/发布。这在我们的一个 DC 中的几台 Mac Mini 上运行良好。我也想保护我们的 Mac 软件密钥，因此我正在尝试找出如何将联网 HSM 集成到我们的 Mac 签名过程中。

我在任何地方都找不到关于此的任何好信息！所以我希望这里有人已经这样做了，可以减轻我的痛苦。

实际问题是；

1) 我可以将 HSM 与标准 Mac 代码签名工具一起使用吗？ 2）任何人都可以推荐上述供应商/产品吗？ 3) 谁能告诉我一些关于 Mac 代码签名和 Mac 加密基础设施内部工作的优秀文档？

干杯

BHB

【问题讨论】：

标签： macos code-signing pki codesign hsm

【解决方案1】：

我不相信任何主要的 HSM 供应商（nCipher、SafeNet 等）都与 Mac 代码签名工具挂钩，我也不相信 Apple 会公开任何挂钩。最好的办法是尝试确定由 Mac 工具执行的代码签名机制是什么样子，然后尝试自己手动复制它。但是，在我脑海中，我不记得看到主要供应商开箱即用地支持基于 OSX 的 HSM 客户端。我知道 SafeNet 通过自定义 JCE 提供程序支持 Java。如果有一个可以挂钩的 PKCS#11 接口，那么您也许可以利用 OpenSSL 或其他类似的工具包，但它会为您带来一些工作。

【讨论】：