YubiKey 与云 HSM：DevOps 代码签名的最佳选择是什么？

代码签名是为软件和移动应用程序应用数字签名的过程。这对于大规模构建DevOps中的信任至关重要。不断上升的软件供应链攻击使得这种保护变得迫切。企业在2025年无法忽视数据安全。尤其是当代码签名证书也因安全密钥管理和存储受到攻击而面临问题时。

另一个挑战是CA/B论坛提出的新的460天有效期强制规定。这意味着需要更频繁的代码签名认证，而此前有效期长达39个月。因此，希望在开发和生产团队中安全访问证书和安全密钥的企业需要制定战略方法。

有两种基于硬件的方法经常用于保护私有签名密钥。一种是YubiKey，另一种是云HSM。每种方法都为签名工作流程提供强大、不可导出的密钥保护。

本文比较了YubiKey和云HSM在DevOps代码签名中的应用，重点关注CI/CD中的自动化、可扩展性、协作性、合规性和运维开销，以帮助团队为其流水线选择合适的方案。

什么是代码签名？

代码签名利用公钥密码学将发布者的身份与软件或应用程序绑定。然后，证书颁发机构（CA）根据证书链检查签名，并拒绝被更改或未签名的制品，从而保持从构建到生产过程的完整性。

在CI/CD中，变更快速且频繁地发布，集成自动化代码签名可确保只有经过验证的制品才能通过各个阶段，从而在供应链威胁激增的情况下，减少因依赖风险或构建系统受损而造成的影响范围。

为什么它在 DevOps 中至关重要？

团队对广泛的资产进行签名，包括可执行文件、安装程序、脚本、容器和库，通常利用基于PKCS#11的工具，使签名成为流水线中的标准控制。

因为持续构建意味着持续风险，将签名嵌入流水线可提供机器速度的验证和可追溯性，及早发现篡改，并在审计期间提供监管链证据。

随着交付规模的扩大，DevOps需要签名实现自动化、安全和弹性；云的采用和不断提高的发布速度，倾向于支持具有API集成和集中策略、基于硬件的密钥，同时仍能满足开发者在边缘的、以开发人员为中心的使用场景。

YubiKey和云HSM已成为流行的选择：YubiKey为本地开发者和发布任务提供基于智能卡/PIV/OpenPGP的、不可导出的密钥存储；而云HSM为企业级、多团队CI/CD签名提供可管理的、可集群的、API驱动的密钥托管服务。

DevOps 安全中的 YubiKey 和云 HSM

YubiKey和云HSM都是解决同一基本问题的方案，即保持私钥的私密性，确保它们不被泄露或滥用；然而，两者在DevOps流水线中的使用场景完全不同。

什么是 YubiKey？

YubiKey是一种硬件安全密钥，旨在保护您的系统免受网络钓鱼攻击，提供双因素和无密码身份验证。它通过要求点击或物理触摸来帮助您保护账户、设备和身份。YubiKey可用作插入设备USB端口的物理设备。

您还可以用它创建一个通过NFC进行验证的系统，提供比短信验证码或验证器应用程序更安全、更便捷的替代方案。它为代码签名提供了个人身份验证（PIV）智能卡和OpenPGP功能。

PIV协议允许YubiKey充当智能卡，存储和保护代码签名证书。它还使YubiKey能够通过PKCS#1标准无缝进行代码签名。

YubiKey的一些日常用例包括：

• 双因素身份认证（2FA） – YubiKey主要用于多因素身份认证中的2FA。它与FIDO2/WebAuthn、U2F等协议以及一次性密码（OTP）兼容。
• SSH 身份验证 – YubiKey可以通过存储密钥来帮助保护SSH访问，并可与基于PIN或触摸的身份验证一起使用。
• Git 提交签名 – 具有OpenPGP功能的YubiKey有助于维护系统中代码变更的完整性和真实性。
• S/MIME – 它帮助您存储私钥和S/MIME证书，通过加密确保安全的电子邮件通信。
• 代码签名 – 使用PIV或OpenPGP功能，YubiKey为代码签名证书提供存储和管理能力。

什么是云 HSM？

云HSM基本上是一种基于云基础设施的硬件安全模块服务，为安全密钥管理提供一个专用且安全的平台。它使企业能够在云中管理证书、安全密钥并执行基于硬件的加密操作。

云HSM是一种托管服务，由亚马逊网络服务（AWS）和微软Azure等服务提供商提供，用于处理管理HSM的管理任务，例如：

• 资源调配
• 打补丁
• 备份
• 合规性管理

云 HSM 的用例

云HSM的一些关键用例包括：

• 保护敏感数据 – 保护用于代码签名、数据库加密和保护敏感文件的加密密钥。
• 数字签名 – 高效生成和管理用于数字签名的安全密钥。
• 合规管理 – 满足数据法规和行业标准对数据保护和隐私的要求。
• 云原生安全 – 通过强大的密钥管理提升云原生应用程序和工作负载的安全态势。

比较 DevOps 代码签名中的 YubiKey 与云 HSM

YubiKey和云HSM有特定的用例，特别是对于利用DevOps方法的代码签名过程。虽然两者都为代码签名证书提供基于硬件的安全性，但它们的实现方法差异显著。

以下是详细比较。

YubiKey 与云 HSM 的适用场景

根据团队规模、自动化需求和合规要求，您应该选择其中之一。

YubiKey 适用于以下场景：

• 小型或中型团队处理有限数量的应用程序。每位开发者可以拥有一把YubiKey，在本地对Git提交、二进制文件或应用捆绑包进行签名。这种方法确保了个体责任。
• 遵循手动或半手动的发布管理，其中代码签名无需在无头CI/CD流水线中自动化。
• 存在离线签名需求，例如在隔离网络（air-gapped）系统或互联网访问受限的安全实验室中。YubiKey作为独立设备能有效工作。
• 团队希望获得前期成本低、基础设施开销最小，并能轻松集成到日常开发者工作流程中的工具。

云 HSM 适用于以下场景：

• 大型DevOps团队管理高频率的构建和部署流水线。云HSM通过API和PKCS#11接口支持完全自动化，确保签名成为CI/CD过程的一部分，没有人工瓶颈。
• 组织必须满足严格的合规要求（如PCI DSS、HIPAA或GDPR），其中集中式签名、审计日志和托管服务可降低监管风险。
• 需要跨分布式团队协作，因为云HSM允许共享访问策略和集中式密钥可见性，而无需物理分发设备。
• 需要高可扩展性以支持动态工作负载。像AWS CloudHSM或Azure Managed HSM这样的云HSM支持节点集群，允许每秒处理数千笔交易。

适用于 DevOps 工作流程的热门代码签名证书

使用正确的代码签名证书将为DevOps工作流程（无论是在本地硬件如YubiKey上还是基于云的HSM上）提供安全高效的保障。以下是满足不同团队规模和企业需求的证书列表。

结论

随着DevOps实践的兴起，软件交付正变得越来越快，这就是为什么安全的代码签名不再是一种奢侈，而是软件信任的支柱。YubiKey和云HSM都为签名密钥提供基于硬件的安全性，但它们根据具体情况有不同的用途。

正确的决策将基于在安全保障、自动化需求、团队规模和合规要求之间保持平衡。云HSM是发展DevOps团队的长期投资，最终将有助于实现持续交付和零信任架构。