Sectigo 網誌
Entrust 信任移除：如何遷移至新的證書頒發機構
曾受信任的證書頒發機構（CA）Entrust 遭遇重大挫折：出於安全顧慮，谷歌與 Mozilla 已宣布將不再信任 Entrust 簽發的 SSL/TLS 證書。這一變動導致目前使用 Entrust 服務的客戶不得不緊急尋找替代 CA，以保障數碼連接安全、規避潛在網絡安全風險、確保持續的安全防護。本文將概述證書遷移步驟，重點說明主動管理與自動化在維護數碼安全中的重要性。
本文根據谷歌最新公告於2024年9月11日更新。
Entrust 曾是 SSL（安全套接層）/TLS（傳輸層安全）證書市場上眾多企業信任的品牌。作為一家致力於保障連接安全的證書頒發機構（CA），該公司原本旨在幫助構建安全數碼體驗，同時保護存在漏洞的網絡與設備。遺憾的是，Entrust 並未兌現這一承諾——隨着谷歌不再「默認信任」Entrust 的數碼證書，Mozilla 也跟進採取不信任這些證書的措施，目前使用 Entrust SSL 服務的客戶不得不緊急尋找解決方案。
對於曾依賴 Entrust 提供可靠加密與身份認證服務的用戶而言，這一事件極具警示意義。數碼領域兩大主流廠商均明確對 Entrust 的用戶防護能力提出質疑，現有客戶已清晰意識到必須探索其他替代方案。遷移至其他證書頒發機構看似流程複雜，但考慮到企業網絡安全面臨的風險，這一舉措十分必要。
選擇適配本企業需求的可信 CA 作為合作方，可簡化遷移流程、消除過程中的各類複雜問題。Sectigo 團隊十分樂意在這一過程中提供指導，幫助您在建立新的服務常態過程中獲得更高的安全感。請繼續閱讀，了解Entrust 事件的具體情況、Entrust 客戶可能面臨的網絡安全影響，以及遷移至新證書頒發機構獲取 SSL 證書服務所需完成的工作。
了解 Entrust 事件背景
谷歌在近期發布的公告中表示，該互聯網巨頭計劃正如《福布斯》的解釋，「以優先保障 Chrome 用戶的安全與私隱為由，吊銷 Entrust 簽發的傳輸層安全證書……」《福布斯》指出，這一事件影響重大，因為 CA 的核心職責是「作為用戶依賴的、網頁瀏覽器與互聯網之間加密連接的信任基礎」。
據谷歌 Chrome 瀏覽器安全團隊透露，「公開披露的事件報告[已]凸顯 Entrust 存在一系列不符合要求的問題行為」，並稱這一情況「已經削弱了公眾對[Entrust]作為公開可信 CA 的能力、可靠性與誠信度的信心」。
因此，訪問使用 Entrust 數碼證書網站的用戶最終會看到提示，表明其連接不安全或不私密。目前，在11月12日及之前簽發的 SSL/TLS 證書應仍保持有效——但11月12日情況將完全改變，屆時 Entrust 簽發的 SSL/TLS 證書將被不信任。
針對這一嚴重事件，Entrust 首席執行官 Todd Wilkinson 發布聲明解釋稱：「我們近期的錯發證書事件，源於我方對 CA/瀏覽器論壇合規要求的誤讀。在嘗試解決該問題的過程中，我們所做的變更又引發了額外的非安全相關錯發問題。」
儘管 Wilkinson 稱 Entrust 已調整核心流程和政策以解決這些問題，但核心問題仍然存在：此前對 Entrust 感到滿意的客戶，可能不再確信其 SSL 證書能提供足夠的防護。
如何遷移至新的證書頒發機構
由於2024年11月11日之後簽發的Entrust證書在Chrome中會被標記為不安全，現在正是作出變更的時機。沒錯，現有證書在技術層面或許仍然有效，但值得思考：它們目前能否提供足夠的防護？為避免證書保障出現中斷，請按照以下步驟開始遷移至新的證書頒發機構（CA），將影響減至最低：
步驟2：選擇新的證書頒發機構
目前可供選擇的證書頒發機構有很多。請做好調研，避免未來出現類似Entrust當前遭遇的這類嚴重事件。在考察各證書頒發機構時，請仔細核查多方面的資質與注意事項。價格固然重要，但不應作為首要考量因素。更確切地說，這一選擇需重點關注以下方面：
客戶支援：無論您遇到技術問題還是有合規相關顧慮，都需要確信新的證書頒發機構（CA）的專家會及時解答您的疑問、回應您的關切。請仔細核查其提供的支援工具與回應時效，確認您能持續獲得所需的協助。
整體口碑：您屬意的新證書頒發機構（CA）在業內口碑如何？若難以判斷，請選擇信譽良好的證書頒發機構（CA）。仔細查閱評價、獲獎情況及審計報告，以確認其在整個數碼生態中的受認可程度。
安全與合規：鑑於Entrust當前出現的問題，顯然安全性必須是任何證書頒發機構（CA）的首要考量。驗證這一點的最佳方式是審閱CA的政策，包括其加密實踐與事件回應機制的相關說明。
自動化平台能力：一種證書生命週期管理（CLM）的自動化方案 可提升覆蓋範圍，最大限度減少手動工作量，同時降低證書過期以及相關服務中斷或停機的風險。請選擇能夠提供功能完善的自動化證書生命週期管理（CLM）解決方案、配備易於操作的集中平台的證書頒發機構（CA）。
整合能力： 根據您的 DevOps 需求，您可能會傾向於選擇具備以下特性的證書頒發機構（CA）：完善的整合能力 整合至您現有的技術架構。升級您的網絡架構，在所有相關硬件、軟件及組件之間建立數碼信任。Sectigo 這類與 CA 無關的平台，應當能夠幫助您輕鬆應對多廠商的需求。
Sectigo 是一家口碑極佳的可信證書頒發機構（CA），在您部署SSL/TLS 證書的過程中能夠提供有力支援。在您推進遷移的過程中，可隨時瀏覽安全解決方案提供的其他數碼證書及其他
步驟3：規劃遷移流程
您已經找到能夠滿足未來數碼證書需求的理想證書頒發機構（CA）——現在需要規劃順暢的遷移流程。請勿在新 CA 簽發證書前移除原有 CA 的配置。您或許迫切想要切換到選定的 CA，但請緊記：單個域名可以同時取得多個供應商簽發的證書。
好消息是，現有證書在被移除前會持續有效。在遷移周期內，您可以向選定的 CA 申請新證書，這些證書可覆蓋相同的伺服器和域名。之後您可以自行安排舊證書的替換時機：部分用戶會在 CA 遷移成功後隨即完成替換，也可以選擇在舊證書臨近到期時再進行替換。
無論您選擇何種遷移方式，所有受影響的持份者都必須清晰傳達該流程的相關細節，即需要將計劃告知 IT 團隊、管理層及其他利益相關方。
步驟4：購買新證書
來到這一階段，您不僅應當已經掌握原有數碼證書的資產清單（即步驟1流程中整理得出的結果），也應當明確未來的 SSL/TLS 證書需求。現在，您需要從新 CA 處實際選擇對應的證書。這一步需要完成新的驗證流程——理想情況下，新 CA 會引導您完成這些關鍵步驟。
步驟5：生成證書簽名請求（CSR）
請準備好為每張新SSL 證書生成一份新的證書簽名請求（CSR）。所有 CSR 必須包含準確資訊：您機構的法定名稱、完全限定域名（FQDN）、負責證書管理的部門以及所在地區。建立 CSR 時會生成新的公鑰——即後續證書密鑰對的其中一半，這是數碼信任的基礎，也是公鑰基礎設施（PKI）框架的關鍵組成部分。
步驟6：安裝新證書
有多種方法可用於安裝數碼證書。此外，您的證書頒發機構（CA）可協助您完成該流程，不過具體操作很大程度上取決於所用伺服器或應用程式的類型。此流程可能涉及上傳證書檔案、編輯配置檔案，或匯入並綁定證書。請務必驗證安裝結果，檢查所有數碼證書是否已正確部署。
步驟7：監控與管理
不要想當然地認為您的數碼證書會始終持續提供您預期的可靠安全防護。主動監控與管理至關重要，必須開展定期審計與合規檢查。
除此之外，保持資訊同步也十分必要：請重點關注可信新聞來源，及時了解整個網絡安全加密與認證領域是否即將發生重大變化。
考慮實現證書生命週期管理自動化
“證書有效期縮短至90天的政策調整」的落地可能近在眼前——提前準備自動化方案以應對證書續期及證書生命週期管理工作，永遠為時不早。自動化證書生命週期管理（CLM）可降低管理負擔，同時提升證書生命週期各環節的效率與準確性。若沒有自動化解決方案，證書過期的風險將大幅升高。
Sectigo 可助您輕鬆切換至新的證書頒發機構（CA）
繼續信任 Entrust 證書可能已不再可行，所幸目前還有其他可選方案。現在正是切換至 Sectigo 這類高信譽替代方案的好時機，同時您還可部署自動化證書生命週期管理這類實用解決方案。請務必在 Google 設定的11月12日停止信任 Entrust 證書的截止日期前，落實合適的解決方案。
Sectigo Certificate Manager (SCM)是一款與 CA 無關的證書生命週期解決方案，可透過自動化處理所有核心證書流程——發現、資產清點、監控、替換、吊銷與續期——銜接過渡階段的需求。在您推進這項重要切換過程中，我們的端到端解決方案可為您提供更多安心保障。 立即預約示範，查看 Sectigo Certificate Manager 的實際應用。