把握明日：2019 年互聯網安全的未來走向

網絡安全是全球變化最快的行業之一，對於任何致力於防範我們持續在新聞頭條中看到的大規模數據泄露事件（包括近期的萬豪與 Quora 事件）的企業而言，預判未來發展趨勢的能力對成功至關重要。

這是一個由創新獨特驅動的行業——網絡罪犯與企業網絡安全專家都在努力創造或識別下一項重大進展，以期獲得相對於對方的優勢。因此，預測網絡安全領域的下一步發展，既讓我們得以窺見未來，也為觀察當前威脅態勢提供了一個有趣的視角。

本週，Sectigo 的多位管理層成員共同探討了行業未來以及 Sectigo 在其中的定位。行政總裁 Bill Holtz、企業銷售高級副總裁 Jennifer Binet 與高級研究員 Tim Callan 復盤了 2018 年部分最重要的行業進展，並預測了來年行業的應對方向。

數碼證書領域將持續演進

Tim Callan，Sectigo 高級研究員：隨着我們邁入 2019 年，數碼證書的未來是一個值得審慎思考的話題。隨着免費Domain Validation (DV) SSL certificates的普及，利用證書發起的釣魚攻擊呈指數級增長——欺詐者現在可以將其仿冒網站顯示為「安全」狀態，企圖誘使受害者認為該網站是安全可靠的。

但瀏覽器對「安全」的定義與大眾認知中「安全可靠」的含義並不相同。通過在瀏覽器界面中展示網站營運者真實身份的標識，Extended Validation (EV) SSL complicates the phisher’s task大幅提升了釣魚攻擊的實施難度，也讓用戶能夠區分真實網站與仿冒網站。因此，明年我們將持續看到企業通過部署 EV 證書，同時提升在線消費者的保護水平與信任度。

Bill Holtz，Sectigo 行政總裁：我同意這一觀點。在自動化與創新的推動下，數碼證書將不斷演進。歸根結底，安全始終是分層防護的解決方案，數碼證書是其中重要的一層。不存在萬能的銀彈，但用戶安全、安全教育與真實性保障，將在保護網絡用戶方面發揮長遠作用。

S/MIME 將成為標準的電郵安全工具

Jennifer Binet，Sectigo 企業銷售高級副總裁：隨着商業電郵泄露（BEC）與釣魚詐騙的增多，企業保護自身數據、抵禦電郵攻擊的需求只會持續增長。事實上，美國聯邦調查局（FBI）報告顯示，2016 年 12 月至 2018 年 5 月間，已確認的全球公開損失增長了 136%。

IT 團隊將借助 S/MIME 對電郵進行數碼簽署與加密，確認電郵發件人身份並保障電郵數據完整性。Zero-touch deployment與直觀的用戶功能，將讓企業比以往更輕鬆地利用 S/MIME 保護關鍵電郵信息。

Holtz：私有、公有及S/MIME certificates——基於其已被驗證的對組織與用戶的重要價值——將成為常態。這意味着企業將尋求通過單一管理平台管理所有證書的生命週期，同時行業必須致力於快速識別並停用被用於惡意目的的證書。

Binet：公開金鑰基礎設施（PKI）勢必成為企業必備的能力——就目前而言，大部分企業已經有相關需求。隨著企業部署的非Windows電腦與裝置（Android、iOS等）持續增加，單靠Microsoft CA保障整個網絡的安全變得愈來愈困難。隨著聯網裝置及流動辦公人員的規模增長，「免費」或捆綁式的PKI方案往往不足以充分保障企業安全，亦無法提供所需的靈活性。

我完全認同Bill的觀點。為應對持續增長的互聯需求，企業需要一個統一控制台來管理public SSL或S/MIME數碼證書，以及Private CA。需要敏捷管理框架的企業會為所有物聯網裝置及網絡採用可信的雙向認證方案，從而安全搭建、擴展自身生態系統，並管理裝置生命週期。

威脅格局將持續演變

Holtz：2019年，勒索軟件、數據外洩及電郵仿冒攻擊將持續增加——這就是我們當下身處的現實環境。我認為2019年不會出現全新的攻擊類型，但現有威脅的實質危害會更為嚴重。

Callan：抵禦這些威脅需要採取主動策略，現有防護體系亦需要同步升級。IT系統需要順暢同時支援傳統及新型加密方式，以降低加密要求突然變更帶來的風險。根據NIST指南，對於準備應對量子計算時代的企業而言，保持加密敏捷性至關重要。

下周預告：Sectigo管理層將展望物聯網（IoT）安全的未來發展方向。