Sectigo 網誌
AWS 證書與公共 CA 證書對比
現今的現代企業必須保護其在 Amazon Web Services（AWS）上運行及託管的數據與應用程式安全。建基於公鑰基礎設施（PKI）的數碼證書（例如 SSL/TLS 證書及程式碼簽署證書），是雲端數據與應用程式進行身份認證及加密的黃金標準。不過使用 AWS 的企業可選擇由不同的證書頒發機構（CA）簽發證書。本文將協助您了解公共 CA 證書與亞馬遜提供的證書之間的分別。
甚麼是證書頒發機構？
證書頒發機構（CA）是透過公鑰基礎設施（PKI）簽發數碼證書，為數據、設備及應用程式提供認證與加密服務的組織。證書頒發機構是公鑰密碼技術得以廣泛應用的關鍵基礎。其作為受信任的權威方，會儲存及發布與對應私鑰關聯的公鑰，讓發送方可確認自己使用的公鑰與接收方的私鑰正確配對。如果沒有證書頒發機構，就可能出現傳輸資訊被截獲、敏感資訊被竊取的風險。
證書頒發機構只會向提交了證書簽署請求（CSR）的特定域名簽發證書。證書簽署請求會提交至註冊機構，當中包含公鑰、身份標識資訊，以及數碼簽署或其他真實性校驗憑證。身份標識資訊通常包括組織名稱、組織單位、國家/地區、省份、城市以及通用名稱，當中通用名稱一般對應域名或對應網站的 IP 地址。
當域名展示由 Google Chrome、Mozilla Firefox、Microsoft Edge 等現代瀏覽器認可的受信任證書頒發機構簽發的證書時，用戶會預設該連線是安全的。
Sectigo 這類受信任的公共證書頒發機構是 CA/瀏覽器論壇的合規成員，該論壇專為證書簽發相關事務設立。CA/Browser Forum 是證書頒發機構行業的自律監管組織，負責制定及更新證書使用、簽發及過期相關的規則。
公共證書頒發機構每年簽發數百萬張證書，這些證書有多種用途，包括透過SSL/TLS, 數碼簽署, 程式碼簽署證書，以及 S/MIME電郵證書.
保障安全通訊。當中，SSL/TLS 證書可透過正確的身份校驗，協助現代網頁瀏覽器與網頁伺服器建立加密的 SSL/TLS 協定連線。這類證書建基於公鑰基礎設施（PKI）使用；當通訊雙方都信任所使用的證書頒發機構時，公鑰基礎設施即可為雙方提供身份確認機制。
公共與私有證書頒發機構對比
如前文所述，公共受信任證書頒發機構是獨立實體，已獲得主流網頁瀏覽器的信任認定，且遵循 CA/Browser Forum 制定的證書標準與指引。公共受信任 CA 在簽發證書前會執行多項校驗步驟，包括核驗 CSR 中提供的資訊，核心是 DNS 資訊核驗。公共證書頒發機構使用特定的加密密鑰為自己簽發的證書簽名，這類密鑰檔案通常被系統識別為屬於受信任 CA，因此通訊會被直接判定為安全可信。公共證書最常用於需要與用戶通訊的公網端點，一般不用於內部/測試環境。
私有證書頒發機構與公共證書頒發機構有不少相似之處：兩者基礎設施架構相近，承擔的職能也類似。分別在於，公共證書頒發機構面向整個互聯網上的主體簽發證書，而私有證書頒發機構只為私有網絡簽發證書。私有證書頒發機構簽發並校驗的證書檔案會上傳至內部公鑰基礎設施（PKI），而非受信任第三方的基礎設施。這類證書的信任範圍通常僅限於網絡所屬的組織內部，常見於大型組織或機構。
公共證書頒發機構簽發的證書可被瀏覽器和應用直接識別並信任，而私有證書頒發機構簽發的數碼證書不具備這一特性。私有數碼證書需要由管理員對所有會接觸到該證書的系統進行專門配置，才能讓系統識別並校驗該證書。
此外，公共證書頒發機構（CA）必須遵守嚴格要求、符合廠商制定的安全標準，並達到一定的透明度水平。若未滿足這些要求，它們可能失去受信任狀態，其證書也將無法被即時驗證。這些限制不適用於私有CA。私有CA的管理員可以自行制定證書頒發規則，包括CSR中需提供的信息以及證書中需包含的內容。
AWS是證書頒發機構（CA）嗎？
Amazon Web Services（AWS）是一家商業私有CA。由於它不是CA/瀏覽器論壇的成員，目前不被視為受信任的公共證書頒發機構。AWS客戶可以將AWS Certificate Manager（ACM）證書部署到各類AWS服務中，包括AWS Elastic Load Balancing、Amazon CloudFront、Amazon API Gateway、Amazon EC2實例，以及其他由AWS Management Console管理的集成服務。借助ACM，您可以預置和管理特定類型的公共與私有證書。
在部署來自ACM這類商業私有CA的證書時，需要深入核查證書頒發方，因為您必須對環境做大量調整才能正確接受所有私有證書。此外，管理員必須顯式配置應用程式，使其信任新頒發的證書。其中一個關鍵步驟是將證書文件上傳到AWS Identity and Access Manager（IAM）。
AWS提供SSL證書嗎？
AWS Certificate Manager（ACM）可預置、存儲和續期符合X.509標準的公共與私有SSL/TLS證書，這些操作可在所有與ACM集成的Amazon服務上完成。ACM會自動續期和更新即將過期的ACM證書。關於AWS伺服器證書，有幾點需要注意：
- ACM不提供擴展驗證證書或組織驗證證書，僅提供域名驗證證書
- ACM僅提供適用於SSL/TLS協議的證書
- ACM不可用於電郵加密
ACM證書指由AWS Certificate Manager（ACM）直接頒發、可用於AWS集成服務的所有數碼證書。您可以將第三方證書導入ACM，也可以在AWS內部搭建公鑰基礎設施（PKI），創建內部私有證書。AWS客戶可以使用ACM，在多種AWS資源上申請和部署證書，包括使用API Gateway的API、Amazon CloudFront分發和Elastic Load Balancers。
公共CA頒發的證書可以在AWS上使用嗎？
來自Sectigo等公共CA的證書可以部署在AWS服務中，您可以通過ACM部署，也可以通過對應的CA證書管理平台部署，例如Sectigo Certificate Manager.
需要注意的是，Amazon頒發的ACM證書僅支持域名驗證。而受公眾信任的CA頒發的SSL/TLS證書提供三種驗證等級。
- 域名驗證（DV）：CA會驗證申請人是否擁有對應域名的控制權（通常通過電郵驗證）。CA不會審核其他信息，DV證書可在數分鐘內頒發完成。
- 組織驗證（OV）：CA除了驗證申請人是否擁有對應域名的控制權外，還會對申請人所屬組織進行基礎層面的額外核查。相關信息會展示在證書中，以提升網站終端用戶的信任度。
- 擴展驗證（EV）：CA會核驗企業所有權及相關合規證明文件，申請人還需提供域名所有權證明。除確認申請人擁有對應域名的控制權外，CA還會對企業進行全面核查，相關信息會展示在證書中。此外，瀏覽器地址欄會顯示安全掛鎖標識，讓用戶更確信該網站可安全訪問。
為什麼要在AWS中實現證書管理自動化？
除非在雲環境外，在AWS環境中手動部署和管理證書非常耗時，還可能帶來不必要的風險。無論企業是為託管在AWS上的Web伺服器部署單張SSL證書，還是要管理跨所有聯網設備和用戶身份的數百萬張證書，證書頒發、配置和部署的端到端流程都可能耗費數小時。
手動管理證書還會讓企業面臨極高風險：被遺忘的證書可能意外過期，或是出現證書管理責任疏漏——這些疏忽可能導致服務突然中斷、關鍵業務系統故障，以及安全漏洞與攻擊。
客戶和內部用戶依賴託管在雲上的關鍵業務系統保持持續可用。但近年來，證書過期已導致多起廣受關注的網站和服務中斷事件，造成數十億美元的收入損失、合同違約金、訴訟，以及品牌聲譽受損、客戶信任流失等無法估量的代價。
如何在AWS中實現證書管理自動化
鑑於手動管理公鑰基礎設施（PKI）證書天然存在上述隱患與財務影響，對首席信息官（CIO）和首席安全官（CSO）而言，自動化數碼身份管理的投資回報清晰可見。各類組織需要一套自動化解決方案，確保在AWS及整個IT生態系統中，證書無需人工干預即可完成正確配置與部署。自動化不僅有助於降低風險，還能協助IT部門控制運營成本，縮短產品與服務的上市週期。
近年來，公鑰基礎設施（PKI）的應用範圍進一步擴展。互操作性、高可用性與治理能力向來是其核心優勢，時至今日，PKI解決方案更可透過以下功能優化管理流程與證書生命週期管理（CLM）：
- 自動化：在盡可能減少人手流程的前提下完成各項獨立任務。
- 協同：憑藉自動化能力管理涵蓋範圍廣泛的任務組合。
- 可擴展性：支援管理數十萬、數百萬甚至更多數量的證書。
- 密碼敏捷性：面對新增或不斷變化的威脅，可快速更新密碼強度，吊銷存在風險的證書並替換為抗量子證書。
- 可視化：透過單一統一檢視介面查看所有使用場景下的證書狀態。
儘管ACM可提供一定程度的自動化能力，但由於使用數碼證書的系統、應用程式及裝置分散且架構各異，IT團隊往往需要管理來自多間廠商的不同自動化服務，這通常會導致效率下降。相比之下，若採用統一的證書管理儀表板，橫跨所有使用場景與廠商平台實現證書發現、部署及生命週期管理的自動化，就能充分實現自動化所承諾的效率價值，同時IT團隊仍可全權掌控配置定義與規則，確保自動化操作準確執行。
Sectigo提供證書管理自動化解決方案，協助企業實現靈活、高效的營運，全面掌控其環境內的所有證書。Sectigo支援透過業界領先的協議、API與第三方集成，實現SSL/TLS證書及非SSL證書的自動化安裝、吊銷與續期，同時可避免開源替代方案中可能存在的證書數量上限問題。
總括而言，Sectigo的自動化解決方案可讓您的安全團隊輕鬆完成以下工作：
- 落實執行密碼安全策略
- 保障通訊安全
- 防範未經授權的存取導致的個人資料外洩
- 為企業範圍內的系統、應用程式及裝置建立面向未來的安全能力
如欲進一步了解如何在AWS及整個IT生態系統中實現數碼證書的自動化簽發與管理，請參閱Sectigo Certificate Manager.