Há algum tempo, comprei um certificado EV de assinatura de código da DigiCert. Eu já tinha um eToken USB, então selecionei um método de entrega onde o baixei do site deles. O pedido exigiu que eu anexasse um CSR, que gerei por meio do Certificate Utility para Windows. Em nenhum momento houve qualquer interação usando o eToken de hardware existente e ele nem estava conectado, então sei que a chave privada deve ter sido armazenada na máquina Windows, que gerou o CSR, e não no eToken USB.
Quando eles me enviaram os links de download, eu simplesmente os importei para o DigiCert Certificate Utility deles. O que significa que o certificado e a chave privada agora residem no meu PC, não no meu eToken USB.
Parece que nem preciso que o dispositivo eToken assine o código, o que me faz pensar, qual era o objetivo do eToken em primeiro lugar para esse método de entrega específico? Eu deveria exportar a chave privada e o certificado e importá-los para o eToken USB e depois excluí-los da minha máquina? Supondo que o único trabalho do eToken seja armazenar uma chave privada que não pode ser exportada facilmente, por que há uma opção para entregar um certificado EV por meio de um link de download e por que consegui gerar CSR com um programa utilitário sem anexar o eToken USB?
