机器身份及其管理详解

如果缺乏妥善的认证管理，数字化流程中天然存在、且数量持续增长的机器交互会给业务连续性带来重大风险。唯一身份标识让这些流程能够借助加密密钥和数字证书判定交互是否可信。本质上，这种机器身份就是用于建立信任、认证其他机器以及加密通信的数字凭证或“指纹”。

必须对完整的机器身份生命周期进行妥善管理，确保无论涉及多少个机器身份、企业网络的复杂度有多高，都仅向合法用户或机器授予访问权限。

机器身份验证对于支撑零信任安全策略尤为重要——在该架构下，信任永远不会被默认授予，必须持续接受评估。这种方案会为网络中的每台设备、每个进程以及环境内的人员身份配置细粒度访问控制、特权访问控制和相应权限。使用公钥基础设施（PKI）证书和加密密钥对可以强化验证能力，还能为防火墙网络架构之外的实体之间的连接提供安全保障。

在数字化转型的当下，零信任模型强化了机器身份保护，同时也提高了对统一、自动化、现代化的公钥基础设施（PKI）方案的需求。

什么是机器身份？

机器身份远不只是数字ID编号或是序列号、部件号这类简单标识符。相反，机器身份是一类经过认证的凭证集合，用于证明某台机器或用户已获得访问在线资源或网络的授权。

需要注意的是，机器身份并非通用结构，任何身份仅在其创建时所属的网络或系统内有效。事实上，现代计算机网络会使用一整类软件来管理机器身份和人员身份。身份与访问管理软件（IAM）的核心职责就是确保所有数字身份都得到妥善、安全的管理。

机器身份示例

机器身份隶属更广泛的数字身份基础体系，该体系还涵盖企业环境中的所有人员身份与应用身份。举例来说，以下每类对象都会被分配唯一的机器身份：

• 移动设备与智能手机
• 物联网（IoT）设备
• Web 服务器与应用服务器
• 网络设备与路由器

随着数字化转型举措的推进，能够支撑其价值落地的机器数量也会持续增长。企业需要同时从战略和战术层面落地一套有序的数字身份体系，以可靠地保护、管控和验证机器间通信。

机器身份管理的重要性

近年来随着技术发展，企业安全环境变得愈发复杂。运行在云与多云环境中的应用和数据、分布式办公团队、创新的联网设备不断交汇联动，这要求企业采用健全的数字身份方案，以抵御持续存在的新型威胁。

需要认识到，多数这类交互的核心特征是自动化：在机器与机器的通信过程中不存在人工介入。这带来的安全影响十分重大。机器交互必须安全且高速，才能提供全球范围内实现企业级防护所需的可靠性与可扩展性。

如今企业将 PKI 证书作为身份校验的黄金标准。公钥基础设施（PKI）是零信任架构的基础组成部分，能够为所有终端用户、设备和应用身份落实严格的安全参数要求。

但随着本就复杂的环境和关键系统不断扩展，将移动设备、云基础设施、DevOps、物联网及其他物理设备纳入覆盖范围，未能有效管理 PKI 证书所带来的固有财务风险已大幅上升。不当的证书管理不仅会让企业更容易遭受网络犯罪分子、恶意软件和欺诈攻击，还会使组织面临员工生产力下降、客户体验受损、合规缺陷及其他潜在问题的风险。

数字身份管理为何比密码和多因素认证更安全？

如今的 IT 安全团队必须具备识别和认证企业范围内所有身份的能力——无论这些身份属于人、设备、数据还是应用。密码在过去曾提供一定程度的安全保障，但如今有效性已大不如前。原因在于恶意行为者已越来越擅长通过各类狡诈手段窃取密码，包括：

• 诱导用户在钓鱼网站输入密码。
• 从互联网传输中的交易链路窃取用户身份信息。
• 从密码存储库中盗取密码。
• 查找已泄露密码被重复使用的场景。
• 通过暴力破解获取密码。

在用户身份认证层面，许多组织已采用双因素认证（2FA）、多因素认证（MFA），部分场景下还会使用基于生物特征的认证。多因素认证方案常被宣传为可替代密码、手机验证和一次性密码 OATH 令牌的安全方案，但实际存在大量已被披露的网络安全漏洞，而且已被证实易遭受知名攻击，这类攻击实施简单、可规模化，和窃取密码的难度相当。此外，员工使用启用 MFA 的应用时需要付出更多操作成本——远比单纯记住密码繁琐——这进一步增加了员工和 IT 管理员的负担。

在机器身份认证场景下，密码和 MFA 还存在另一类问题。如前文所述，机器间通信的核心特征是自动化。机器无法操作智能手机或物联网设备来获取一次性密码。在自动化通信流程中存储或传输密码会引入漏洞隐患。随着数字化转型的全面推进，组织需要一种从根本上更优、更适配的机器身份认证方法。

与这两种方式不同，数字身份管理基于公钥基础设施（PKI）无需依赖需要共享（或可能被网络犯罪分子截获）的密钥信息。当用户或机器证明其持有私钥时，认证即完成。后续交易由私钥签名，通过公钥完成验证。这类公私密钥对由多种强加密算法之一生成。

相较于基于密码的认证，这一流程可提供更出色的数据保护能力和黑客防御能力，原因如下：

• 私钥永远不会离开客户端。 密码很容易因用户主动分享、或遭受钓鱼攻击等非主观原因泄露，私钥则不存在这类问题。
• 私钥不会在传输过程中被窃取，因为它永远不会被发送传输。密码可在互联网传输过程中被窃取，而私钥永远不会被传输。
• 私钥无法从服务器存储库中被盗取。 存储在中央服务器存储库中的密码可能被盗；私钥仅保存在用户设备上，不会进行集中存储。
• 用户无需记忆密码或输入用户名。 用户设备仅存储私钥，在需要时完成验证即可，可提供更流畅的用户体验。

为什么要实现机器身份管理自动化？

尽管公钥基础设施（PKI）提供的数字身份是当前安全性最高、最易用的认证与加密解决方案，但对于工作繁忙的 IT 团队而言，手动部署和管理证书非常耗时，还可能带来不必要的风险。核心结论是：手动密钥管理既不具备可持续性，也无法规模化推广。

无论企业是为Web服务器部署单张SSL证书，还是在所有联网设备身份中管理数百万张证书，证书签发、配置和部署的端到端流程都可能耗费数小时。手动管理证书还会使企业面临重大风险：被疏漏的证书意外过期，以及所有权归属出现缺口——这些疏漏可能导致证书相关的服务中断、关键业务系统故障，以及安全漏洞和攻击。

客户和内部用户依赖关键业务系统始终保持可用。但近年来，证书过期已导致多起备受关注的网站和服务中断事件，造成数十亿美元的收入损失、合同违约金、诉讼，以及品牌声誉受损、客户信任流失等无法估量的代价。

组织必须遵守法规要求，否则将面临巨额处罚

身份安全不足无疑会使组织面临攻击和敏感数据泄露的风险。但安全漏洞还可能使企业陷入不符合监管要求的危险境地。HIPAA/HITECH、GDPR以及美国联邦政府DFARS等隐私法规明确了需要通过加密来缓解或最小化泄露后果的场景和用例——所有这些规定都旨在防范信息窃取漏洞。

未满足合规要求可能导致巨额罚款。例如，欧盟已因GDPR相关违规对谷歌处以5000万欧元罚款，对万豪处以9900万英镑罚款，对英国航空处以1.83亿英镑罚款。GDPR明确规定，罚款金额需同时考虑单次泄露的规模以及组织表现出的过失程度。因此，为数字证书部署完善的安全解决方案有助于降低泄露风险，同时也能证明组织已尽到诚信义务、不存在过失，若发生泄露，可能有助于降低罚款金额。

管理成本也会快速攀升

尽管证书管理有时被视为IT或Web管理员的日常简单工作，但逐张确保证书有效性的成本很高。通过手动流程对组织内所有公钥基础设施（PKI）证书进行发现、安装、监控和续期，不仅耗费大量人力，还存在较高的技术门槛。

举例来说，即便是针对单台Web服务器和单个域名实例的最简手动SSL/TLS证书安装，也涉及多个步骤，单台Web服务器的相关成本很容易超过50美元。如果将这类工作量放大到组织内数千甚至数百万张公钥基础设施（PKI）证书的规模，手动证书管理的成本会快速累积这一点就显而易见了。

如何实现机器身份管理自动化

鉴于手动管理公钥基础设施（PKI）证书本身存在上述隐患和财务影响，自动化机器身份管理工具的投资回报对首席信息官（CIO）和首席安全官（CSO）而言是清晰可见的。

IT专业人员必须重新思考其证书生命周期管理策略。尤其是当企业越来越多地推出依赖快速迭代DevOps环境的服务时，组织需要一套无需人工干预即可确保证书正确配置和落地的自动化解决方案。这类解决方案有助于降低风险，同时还能帮助IT部门控制运营成本、缩短产品和服务的上市周期。

近年来，公钥基础设施（PKI）持续演进，适用性进一步提升。互操作性、高正常运行时间和治理能力仍是其核心优势。而如今的公钥基础设施（PKI）解决方案还可通过以下能力提升管理效率和证书生命周期管理（CLM）水平：

• 自动化：在尽可能减少手动流程的前提下完成各项单独任务。
• 协同能力：通过自动化管理范围广泛的各类任务。
• 可扩展性： 管理数百、数千甚至数百万张证书。
• 加密敏捷性： 针对新出现或不断变化的威胁，快速更新加密强度，撤销存在风险的证书并替换为抗量子证书。
• 可见性：通过单一管理界面查看所有用例下的证书状态。

由于使用数字证书的系统、应用和设备分散在各处，IT团队往往需要管理来自多个不同厂商的独立自动化服务。运行多套平台通常会导致效率下降。能够跨所有用例和厂商平台自动化完成发现、部署和生命周期管理的统一证书管理仪表板，可实现自动化所承诺的效率提升。同时IT团队仍可掌控配置定义和规则，确保所有步骤正确执行。

作为值得信赖的证书颁发机构（CA），Sectigo提供数字身份管理自动化解决方案 帮助企业实现敏捷、高效运营，全面管控其环境内的所有证书（包括机器身份）。Sectigo 依托行业领先的协议、API 与第三方集成能力，支持 SSL/TLS 证书及非 SSL 证书的自动安装、吊销与续期。同时，Sectigo 解决了开源替代方案可能存在的证书数量上限问题。

总而言之，Sectigo 的自动化解决方案可帮助您的安全团队轻松实现以下目标：

• 落实加密安全策略。
• 保护通信安全。
• 防止因未授权访问导致的个人数据泄露。
• 为企业内的系统、应用与设备提供面向未来的长期适配能力。

如需进一步了解如何利用公钥基础设施（PKI）在身份与访问场景中替代密码，请阅读《无密码企业白皮书》.