雲端公開金鑰基礎設施（PKI）相較於地端部署 PKI 的優勢

隨著越來越多企業遷移至雲端，了解雲端公開金鑰基礎設施（PKI）相較於傳統地端部署 PKI 的優勢十分重要。雲 PKI 是指在雲端託管及維護企業的證書頒發機構（CA），以及用作證書發放和管理的 PKI 環境。與地端部署方案相比，雲 PKI 方案具備多項優勢，包括更低的總體持有成本（TCO）、更高的安全性，以及更簡便的證書管理體驗。

下文將逐一詳細說明這些優勢。

甚麼是 PKI？它的運作原理是甚麼？

PKI 是一套由數碼證書組成的體系是公認的認證與加密用戶、裝置及應用程式數碼身份的黃金標準。它在保障通訊安全、保護數據、實現存取控制方面有諸多應用場景，具體包括：

• 用於網絡伺服器的 SSL/TLS 證書
• 用於電腦、流動裝置及 IoT 裝置的裝置與端點證書
• 適用於包括 DevOps 工作流程在內的程式碼簽署證書
• 數碼簽署
• API 與 Web 服務的安全存取
• 基於證書的 VPN

PKI 以公開金鑰密碼學為基礎，這是一套可靠的加密機制，運作依賴由公鑰與私鑰組成的密鑰對。這對互相匹配的密鑰會共同用於訊息的加密與解密；兩者基於密碼學算法，保護身份與數據免受未授權存取或使用，抵禦網絡罪犯及其他惡意行為者的攻擊。

需要使用 PKI 的企業必須架設證書頒發機構（CA），及/或使用 Sectigo 這類受信任的第三方 CA。CA 負責證書的頒發、驗證、吊銷與續期，為系統內頒發的證書的真實性及可信度提供背書。

CA 必須架設及維護安全性極高的基礎設施以承載 PKI 環境。這類基礎設施包括根 CA、儲存於硬件安全模組（HSM）內的 CA 根密鑰安全儲存設施，以及證書管理伺服器。整套基礎設施必須透過完善的網絡及應用安全防護措施妥善保護。

營運 CA 代表肩負重大責任。如果黑客攻破 PKI 環境，基本上就等於取得了「城堡的鎖匙」，能夠偽造信任關係，在不被察覺的情況下存取核心業務系統。正因如此，企業一般會選擇信任專注於 PKI 領域的受信任第三方，或是自行管控私有 PKI 環境。

PKI 基礎設施主要有兩種託管方式：一種是部署在雲端，即雲 PKI；另一種是部署在企業自有的地端數據中心內。

甚麼是雲 PKI？

雲 PKI 是指在雲端託管及維護的 PKI。在雲 PKI 管理模式下，雲端服務供應商負責 PKI 部署所需的全部資源，包括硬件、軟件以及雲端環境的安全保障。供應商不單會架設及維護專用的 PKI 基礎設施，亦會配備所需的全職專業人員。

雲端基礎的 PKI 可消除 PKI 部署中的隱藏成本。實際上，軟件授權、伺服器硬件及安裝工作，通常只佔整個 PKI 環境成本的一小部分，企業還需考量以下額外關鍵要素：

• 可擴展的伺服器部署，以保障持續可用性與冗餘能力
• 生成根密鑰以建立根CA證書
• 備份軟件與故障轉移技術，確保持續運作與災難復原能力
• 定期進行安全審計，以維持合規狀態、避免產生罰款
• 由專屬公鑰基礎設施（PKI）專家負責全流程管控（這類專家的薪酬遠高於初級管理員）

並非所有雲端公鑰基礎設施（PKI）解決方案的功能都完全一致。對各類數碼身份應用場景的支援、零信任網絡存取原則IT定制化能力、證書互操作性以及密碼敏捷性——以上全部能力均建構在以易用性為導向的環境之上，僅是足以應對當前及未來威脅的先進部署方案所具備的部分特性。

另一個選擇是，企業過往會採用本地部署公鑰基礎設施（PKI）以取得更高控制權，但這類模式需要投入更多資源。部署相關的流程運作、持續維護以及專業人員配置，都會產生高昂的資本成本及持續營運開支。

雲端公鑰基礎設施（PKI）具備哪些優勢？

我們會逐一分析雲端公鑰基礎設施（PKI）相較傳統本地部署公鑰基礎設施（PKI）的各項優勢，包括更低的總擁有成本（TCO）、更高的安全性，以及更簡便的證書與密鑰管理。

更低的總擁有成本（TCO）： 雲端公鑰基礎設施（PKI）的最大優勢之一，是可協助降低總擁有成本（TCO）。這是因為它無需企業配備成本高昂的內部IT專家，同時減少與本地硬件、數據中心搭建及軟件相關的資本開支。此外，雲端環境可透過更低的服務、支援與維護成本降低持續營運開支，同時避免計劃外停機等間接成本。

安全性：當前的威脅態勢將全行業關於本地部署與雲端部署安全性的討論推至新高。儘管這個話題並不新鮮，但多宗影響重大的本地部署數據泄露事件（即使已部署防火牆及其他防護措施），讓「數據中心設在本地就等於堅不可摧的防護」這一觀念受到挑戰。這類擔憂同樣適用於公鑰基礎設施（PKI）環境依賴本地部署架構的情況。如果企業認為，因為根密鑰和證書管理伺服器位於自有數據中心而非雲端，公鑰基礎設施（PKI）架構就更安全，反而可能將自身置於風險之中。雲端公鑰基礎設施（PKI）解決方案採用最高等級的網絡與應用安全防護，必須遵循SOC2、SOC3等合規規範，且需接受嚴格的外部審計。

更簡便的證書管理： 雲端公鑰基礎設施（PKI）的一大核心優勢是可簡化證書管理。借助Sectigo這類雲端服務供應商，企業可在統一的集中位置管理所有證書，不論是私有證書還是公有證書。這讓企業可以輕鬆追蹤所有證書狀態，自動化證書頒發與安裝流程，確保證書有效並在到期前完成續期，同時維護集中的證書吊銷列表（CRL）。

可擴展性：雲端公鑰基礎設施（PKI）的另一項優勢是可按業務需求輕鬆擴展。採用雲端解決方案，企業無需採購新硬件或進行硬件縮容，即可按需要輕鬆新增或移除數百、數千甚至數百萬張證書。這種靈活性可讓企業在規模增長過程中，輕鬆維持公鑰基礎設施（PKI）方案的適配性。

AWS與Azure是否提供雲端解決方案？

Amazon Web Services（AWS）和Microsoft Azure的雲端環境被廣泛應用於各類業務場景，兩者也為各自的環境提供數碼證書解決方案。不過，企業需要留意兩者存在的一些關鍵差異。

AWS屬於私有商業證書頒發機構（CA）. 由於它不是CA/瀏覽器論壇的成員，目前不被視為受信任的公有證書頒發機構（CA），而受信任的公有證書頒發機構（CA）是面向公眾的網站和應用所必需的。AWS客戶可將AWS Certificate Manager（ACM）證書部署到各類AWS服務中，包括AWS Elastic Load Balancing、Amazon CloudFront、Amazon API Gateway、Amazon EC2實例，以及其他由AWS Management Console管理的集成服務。關於AWS伺服器證書的其他注意事項包括：

• ACM不提供擴展驗證或組織驗證證書，僅提供域名驗證證書
• ACM僅提供適用於SSL/TLS協議的證書
• ACM不可用於電郵加密

與之類似，Microsoft Azure透過Microsoft CA（MSCA）提供受管公鑰基礎設施（PKI）的雲端版本，MSCA是Microsoft產品內置的證書頒發機構（CA）。儘管它在管理使用Microsoft操作系統的設備證書時較為便捷，但無法覆蓋全部場景。舉例來說，如果企業存在使用非Microsoft操作系統的設備，仍需透過其他證書頒發機構（CA）頒發和管理證書。如果證書到期，這類額外的複雜性很容易讓企業面臨服務中斷和數據泄露的風險。

Sectigo CLM提供雲端公開金鑰基礎設施（PKI）解決方案

顯而易見，雲端證書頒發機構相比本地部署 CA 具備諸多優勢。Sectigo 證書生命週期管理平台（CLM）為雲原生架構構建，旨在提供身份資訊與數據保護能力，保障您的用戶、設備與應用安全。該證書管理平台提供統一管理視圖，可自動化管理公有及私有數碼證書的端到端生命週期。此外，Sectigo CLM 具備CA 無關特性，是可管理來自 Sectigo 及其他主流 CA 的公有、私有證書的通用平台。

其最大優勢或許在於，Sectigo 雲端公開金鑰基礎設施（PKI）的安全性高於本地部署 PKI。作為擁有數十年可靠信任服務經驗的可信公有 CA，Sectigo 對雲上私有根的保護等級，與我們在全球範圍內簽發的數億張公有數碼證書所採用的保護等級一致。我們通過增強的網絡安全機制、嚴格的物理存取權限雙控措施、成熟的密鑰儲存 HSM 管理、高可用伺服器與容災方案，以及專屬安全專家團隊，提供業界領先的雲端防護能力。

Sectigo CLM 平台已通過 WebTrust 認證、符合 SOC3 合規要求，並接受嚴格的外部審計。Sectigo 與 CA/瀏覽器論壇及特定政府機構保持直接聯絡，可提前獲取所有公開金鑰基礎設施（PKI）相關安全風險預警，包括量子計算演進.

所帶來的固有風險。歡迎觀看本次網絡研討會，了解為何雲上部署 PKI 已成為當前新常態——《雲端部署還是本地部署：更新安全證書管理的認知前提》.