公钥基础设施（PKI）如何强化零信任网络安全

公钥基础设施（PKI）如何成为零信任架构的基础

网络安全对各类组织和企业至关重要。然而，受基础设施快速扩张、攻击手段日益复杂等因素影响，访问控制执行与敏感数据保护的难度持续提升。越来越多组织在落地零信任战略的同时，配套部署公钥基础设施（PKI），以支撑用户与设备身份认证、保障通信安全。

本文将介绍这些核心原则的相关知识，说明零信任与公钥基础设施（PKI）如何协同提升网络安全水平，以及如何借助二者强化组织的安全态势。

公钥基础设施（PKI）与零信任的区别

公钥基础设施（PKI）是一套使用数字密钥与证书（例如SSL/TLS证书、代码签名证书）的框架，用于在互联网等网络中实现身份管理与安全数据交换。它基于非对称加密技术实现：每个参与方持有一个可广泛分发的公钥用于信息加密，以及一个私密保存的私钥用于信息解密。数字证书将公钥与特定个人或实体绑定，以实现其身份认证。

零信任网络架构（ZTNA）零信任网络架构（ZTNA）采用多层访问控制机制，在授予用户和设备数据及应用访问权限前执行持续校验，其核心前提是“永不信任，始终验证”。组织会结合持续身份校验、设备健康状态及其他上下文因素分配访问权限。零信任方法的核心原则包括身份验证、最小权限、持续监控与微分段。

公钥基础设施（PKI）与零信任的侧重点不同：公钥基础设施（PKI）通过加密和身份验证建立安全通信框架，维持数字通信中的信任关系；而零信任强调基于持续验证的访问管理模型，以支撑上下文感知的决策制定。不过二者都通过认证流程等可靠机制提升整体网络安全水平，保障数据机密性，防范未授权访问、数据篡改、数据泄露及其他安全威胁。

公钥基础设施（PKI）是零信任架构的关键组成部分，96%的IT安全高管的受访者表示它是构建零信任网络架构（ZTNA）不可或缺的要素。它通过数字证书实现可靠的用户与设备认证，降低弱密码、凭据泄露带来的风险。同时，公钥基础设施（PKI）通过加密能力支撑安全通信，防止敏感信息被未授权访问，为落地零信任“传输中数据加密”的要求提供了可行路径。

公钥基础设施（PKI）与零信任如何协同强化网络安全

公钥基础设施（PKI）是弹性零信任模型的基础。具体而言，这种基于证书的访问控制可支撑无密码解决方案，弥补许多多因素认证（MFA）方案的不足，例如：

• MFA 令牌容易遭受钓鱼攻击和社会工程攻击。攻击者可能诱骗用户提供其凭证及 MFA 令牌。
• 如果威胁行为人通过物理或远程方式控制用户设备，可能会截获 MFA 令牌。由公钥基础设施（PKI）支撑的 ZTNA 可持续评估设备可信度，以缓解该风险。
• 黑客可能伪造或复制用于 MFA 的生物识别数据，以获取未授权访问权限。公钥基础设施（PKI）与零信任支持分层安全机制，结合上下文因素为访问决策提供支撑。

企业可通过以下方式结合公钥基础设施（PKI）与零信任，提升安全能力：

用户认证

认证机制可确保只有合法用户能够访问企业的系统、应用或数据，防止敏感信息被未授权访问，帮助避免数据泄露、经济损失及声誉损害。

私有公钥基础设施（PKI） 向用户颁发唯一的数字证书，支持用户使用私钥访问受保护资源，缓解凭证泄露带来的风险。

设备认证

通过该流程，只有受信任的已授权设备能够访问企业资源。在大量设备从多个位置接入企业网络的复杂环境中（例如物联网设备).

ZTNA 通过动态访问控制完成设备认证，而公钥基础设施（PKI）通过数字证书管理确保证书身份核验的安全性，并持续监控证书有效性，对上述防护措施形成增强。

安全通信

安全数字通信对保护敏感数据至关重要。这类通信机制可保障信息完整性，维持数字交互中的信任，降低数据泄露风险。

零信任默认假设消息接收方（即使位于内部网络中）在完成验证前均不可信。公钥基础设施（PKI）采用非对称加密技术，每个实体拥有唯一的公私钥对，确保只有受信任的指定实体能够解密加密消息。

数据完整性

数据完整性指实体间共享的信息在整个生命周期内保持准确、未被篡改、可信赖。保障数据完整性可防范经济损失、声誉损害或错误信息传播风险。

由公钥基础设施（PKI）支撑的加密技术可保护数据在传输过程中不被未授权修改，确保数据完整性。同时，ZTNA 的持续监控与动态访问控制能力可检测到失陷用户或设备，并及时撤销其对敏感数据的访问权限。

基于公钥基础设施（PKI）落地零信任模型

落地公钥基础设施（PKI）以支撑 ZTNA 时，需重点考虑以下事项：

• 平衡安全性与可用性： 部署易用的认证与访问控制工作流，尽可能降低使用阻碍，确保安全措施不会影响用户接受度与工作效率。采用单点登录（SSO）方案与无密码认证，在不降低安全性的前提下提升用户体验。

• 选择可信的证书颁发机构（CA）： 证书颁发机构（CA）的选择对公钥基础设施（PKI）的可信度至关重要。选型时需考量 CA 的行业声誉、对行业标准的合规性，以及其提供的证书类型，为决策提供依据。
• 根据具体需求定制方案： 针对自身的安全合规需求及运营环境定制 ZTNA 与公钥基础设施（PKI）方案。开展风险评估，定制策略与控制措施以缓解风险，并确保落地过程与自身工作流相适配。
• 管理复杂性： 随着组织规模扩张，可扩展性问题会逐步显现。您可部署自动化与编排解决方案简化证书生命周期管理（CLM）工作，此类方案可协助管理持续增长的设备与用户规模，提升效率，避免因证书过期导致的服务中断与故障。

零信任安全与自动化

自动化是零信任安全体系的关键支撑，可应对持续扩张的基础设施带来的规模与复杂度管理难题。借助自动化，访问权限配置、监控、策略执行等工作可保持一致性与高效率。在动态环境中，自动化还可针对用户行为、设备健康状态、安全态势的变化做出实时响应。

自动化解决方案可实现快速威胁检测与即时事件响应。例如，它可在无人工干预延迟的情况下隔离受感染设备、撤销访问权限。自动化还有助于保持安全策略落地与执行的一致性，确保访问控制、加密配置及其他安全措施统一应用，减少合规违规问题。

此外，自动化可通过持续监控、自适应访问控制、实时威胁情报集成，为零信任架构落地提供支撑。它是规模化开展证书生命周期管理（CLM）、充分发挥公钥基础设施（PKI）价值的必要基础，可减轻管理负担，防范安全漏洞，避免因证书过期引发的服务中断、故障与数据泄露事件。

基于零信任与公钥基础设施（PKI）构建安全企业架构

公钥基础设施（PKI）是验证用户或设备身份的最安全方案，可为零信任环境下的可靠访问控制提供支撑。证书生命周期管理（CLM）自动化可让您以高性价比方式实现基础设施、安全策略与策略执行能力的规模化扩展，同时避免可能引发数据泄露与服务中断的人为错误或疏漏。

Sectigo Certificate Manager (SCM) 是一款与证书颁发机构（CA）解耦的平台，可对您所有的公有和私有证书实现全生命周期自动化管理。了解更多并启动免费试用 了解它如何帮助您集中管理数字证书——同时为零信任网络访问（ZTNA）提供支持。

想了解更多？联系我们预约 Sectigo Certificate Manager 演示！

相关文章：

为什么公钥基础设施（PKI）尚未得到全面普及？

公钥基础设施（PKI）与身份和访问管理（IAM）

企业级公钥基础设施（PKI）：建设动因与落地路径