Sectigo 網誌
公開金鑰基礎設施（PKI）如何強化零信任網絡安全
隨着基礎設施規模不斷擴張，網絡安全複雜度持續上升。了解零信任與公開金鑰基礎設施（PKI）如何結合以提升安全水平，加固機構防禦體系。
公開金鑰基礎設施（PKI）如何成為零信任架構的基礎
網絡安全對各類機構和企業至關重要。然而，受基礎設施快速擴張、攻擊手段日益複雜等因素影響，訪問控制執行與敏感數據保護的難度持續提升。越來越多機構在落地零信任戰略的同時，配套部署公開金鑰基礎設施（PKI），以支援用戶與設備身份認證、保障通訊安全。
本文將介紹這些核心原則的相關知識，說明零信任與公開金鑰基礎設施（PKI）如何協同提升網絡安全水平，以及如何借助二者強化機構的安全態勢。
公開金鑰基礎設施（PKI）與零信任的區別
公開金鑰基礎設施（PKI）是一套使用數碼密鑰與證書（例如SSL/TLS 證書、程式碼簽署證書）的框架，用於在互聯網等網絡中實現身份管理與安全數據交換。它基於非對稱加密技術實現：每個參與方持有一個可廣泛分發的公開密鑰用於信息加密，以及一個私密保存的私密密鑰用於信息解密。數碼證書數碼證書將公開密鑰與特定個人或實體綁定，以實現其身份認證。
零信任網絡架構（ZTNA）零信任網絡架構（ZTNA）採用多層訪問控制機制，在授予用戶和設備數據及應用訪問權限前執行持續校驗，其核心前提是「永不信任，始終驗證」。機構會結合持續身份校驗、設備健康狀態及其他上下文因素分配訪問權限。零信任方法的核心原則包括身份驗證、最小權限、持續監控與微分段。
公開金鑰基礎設施（PKI）與零信任的側重點不同：公開金鑰基礎設施（PKI）透過加密和身份驗證建立安全通訊框架，維持數碼通訊中的信任關係；而零信任強調基於持續驗證的訪問管理模型，以支援上下文感知的決策制定。不過二者都透過認證流程等可靠機制提升整體網絡安全水平，保障數據機密性，防範未經授權的訪問、數據篡改、數據洩露及其他安全威脅。
公開金鑰基礎設施（PKI）是零信任架構的關鍵組成部分，96%的IT安全高管的受訪者表示它是構建零信任網絡架構（ZTNA）不可或缺的要素。它透過數碼證書實現可靠的用戶與設備認證，降低弱密碼、憑據洩露帶來的風險。同時，公開金鑰基礎設施（PKI）透過加密能力支援安全通訊，防止敏感信息被未經授權的訪問，為落地零信任「傳輸中數據加密」的要求提供了可行路徑。
公鑰基礎設施（PKI）與零信任如何協同強化網絡安全
公鑰基礎設施（PKI）是彈性零信任模型的基礎。具體而言，這種基於數碼證書的存取控制可支援無密碼解決方案，彌補許多多重認證（MFA）方案的不足，例如：
- MFA 令牌容易遭受釣魚攻擊和社會工程攻擊。攻擊者可能誘騙用戶提供其憑證及 MFA 令牌。
- 如果威脅行為人透過物理或遙距方式控制用戶設備，可能會截獲 MFA 令牌。由公鑰基礎設施（PKI）支援的 ZTNA 可持續評估設備可信度，以紓緩該風險。
- 黑客可能偽造或複製用於 MFA 的生物識別數據，以獲取未授權存取權限。公鑰基礎設施（PKI）與零信任支援分層安全機制，結合上下文因素為存取決策提供支援。
企業可透過以下方式結合公鑰基礎設施（PKI）與零信任，提升安全能力：
用戶認證
認證機制可確保只有合法用戶能夠存取企業的系統、應用或數據，防止敏感資料被未授權存取，幫助避免數據外洩、經濟損失及聲譽損害。
私有公鑰基礎設施（PKI） 向用戶頒發唯一的數碼證書，支援用戶使用密鑰存取受保護資源，紓緩憑證外洩帶來的風險。
設備認證
透過該流程，只有受信任的已授權設備能夠存取企業資源。在大量設備從多個位置接入企業網絡的複雜環境中（例如物聯網設備).
ZTNA 透過動態存取控制完成設備認證，而公鑰基礎設施（PKI）透過數碼證書管理確保證書身份核驗的安全性，並持續監控證書有效性，對上述防護措施形成增強。
安全通信
安全數碼通信對保護敏感數據至關重要。這類通信機制可保障資訊完整性，維持數碼交互中的信任，降低數據外洩風險。
零信任預設假設訊息接收方（即位於內部網絡中）在完成驗證前均不可信。公鑰基礎設施（PKI）採用非對稱加密技術，每個實體擁有唯一的公私鑰對，確保只有受信任的指定實體能夠解密加密訊息。
數據完整性
數據完整性指實體間共享的資訊在整個生命週期內保持準確、未被篡改、可信賴。保障數據完整性可防範經濟損失、聲譽損害或錯誤資訊傳播風險。
由公鑰基礎設施（PKI）支援的加密技術可保護數據在傳輸過程中不被未授權修改，確保數據完整性。同時，ZTNA 的持續監控與動態存取控制能力可檢測到失陷用戶或設備，並及時吊銷其對敏感數據的存取權限。
基於公鑰基礎設施（PKI）落地零信任模型
落地公鑰基礎設施（PKI）以支援 ZTNA 時，需重點考慮以下事項：
- 平衡安全性與可用性： 部署易用的認證與存取控制工作流，盡可能降低使用阻礙，確保安全措施不會影響用戶接受度與工作效率。採用單一登入（SSO）方案與無密碼認證，在不降低安全性的前提下提升用戶體驗。
零信任安全與自動化
自動化是零信任安全體系的關鍵支撐，可應對持續擴張的基礎設施帶來的規模與複雜度管理難題。透過自動化，存取權限配置、監控、策略執行等工作可維持一致性與高效率。在動態環境中，自動化還可針對用戶行為、裝置健康狀態、安全態勢的變化作出實時回應。
自動化解決方案可實現快速威脅偵測與即時事件回應。例如，它可在無人為干預延遲的情況下隔離受感染裝置、撤銷存取權限。自動化還有助維持安全策略落地與執行的一致性，確保存取控制、加密配置及其他安全措施統一應用，減少合規違規問題。
此外，自動化可透過持續監控、自適應存取控制、實時威脅情報整合，為零信任架構落地提供支撐。它是大規模推行證書生命週期管理（CLM）、充分發揮公鑰基礎設施（PKI）價值的必要基礎，可減輕管理負擔，防範安全漏洞，避免因證書過期引發的服務中斷、故障與數據泄露事件。
基於零信任與公鑰基礎設施（PKI）構建安全企業架構
公鑰基礎設施（PKI）是驗證用戶或裝置身分的最安全方案，可為零信任環境下的可靠存取控制提供支撐。證書生命週期管理（CLM）自動化可讓您以高性價比方式實現基礎設施、安全策略與策略執行能力的規模化擴展，同時避免可能引發數據泄露與服務中斷的人為錯誤或疏漏。
Sectigo Certificate Manager (SCM) 是一款與證書頒發機構（CA）解耦的平台，可對您所有的公有和私有證書實現全生命週期自動化管理。了解更多並啟動免費試用 了解它如何協助您集中管理數碼證書——同時為零信任網絡存取（ZTNA）提供支援。