機器身分及其管理詳解

如果缺乏妥善的認證管理，數碼化流程中天然存在、且數量持續增長的機器交互會給業務連續性帶來重大風險。唯一身分標識讓這些流程能夠借助加密密鑰和數碼證書判定交互是否可信。本質上，這種機器身分就是用於建立信任、認證其他機器以及加密通訊的數碼憑證或「指紋」。

必須對完整的機器身分生命週期進行妥善管理，確保無論涉及多少個機器身分、企業網絡的複雜度有多高，都僅向合法用戶或機器授予存取權限。

機器身分驗證對於支撐零信任安全策略尤為重要——在該架構下，信任永遠不會被默認授予，必須持續接受評估。這種方案會為網絡中的每台裝置、每個進程以及環境內的人員身分配置細粒度存取控制、特權存取控制和相應權限。使用公鑰基礎設施（PKI）證書和加密密鑰對可以強化驗證能力，還能為防火牆網絡架構之外的實體之間的連接提供安全保障。

在數碼化轉型的當下，零信任模型強化了機器身分保護，同時也提高了對統一、自動化、現代化的公鑰基礎設施（PKI）方案的需求。

甚麼是機器身分？

機器身分遠不只是數碼ID編號或是序號、部件號這類簡單標識符。相反，機器身分是一類經過認證的憑證集合，用於證明某台機器或用戶已獲得存取線上資源或網絡的授權。

需要注意的是，機器身分並非通用結構，任何身分僅在其建立時所屬的網絡或系統內有效。事實上，現代電腦網絡會使用一整類軟件來管理機器身分和人員身分。身分與存取管理軟件（IAM）的核心職責就是確保所有數碼身分都得到妥善、安全的管理。

機器身分示例

機器身分隸屬更廣泛的數碼身分基礎體系，該體系還涵蓋企業環境中的所有人員身分與應用程式身分。舉例來說，以下每類對象都會獲分配唯一的機器身分：

• 流動裝置與智能手機
• 物聯網（IoT）裝置
• Web 伺服器與應用程式伺服器
• 網絡裝置與路由器

隨着數碼化轉型舉措的推進，能夠支撐其價值落地的機器數量也會持續增長。企業需要同時從戰略和戰術層面落地一套有序的數碼身分體系，以可靠地保護、管控和驗證機器間通訊。

機器身分管理的重要性

近年隨着技術發展，企業安全環境變得愈發複雜。運行在雲端與多雲環境中的應用程式及數據、分佈式辦公團隊、創新的聯網裝置不斷交匯聯動，這要求企業採用健全的數碼身份方案，以抵禦持續出現的新型威脅。

必須認清的是，這類互動大多數的核心特徵是自動化：機器與機器的通信過程中沒有人工介入。這帶來的安全影響十分重大。機器交互必須安全且高速，才能提供全球範圍內實現企業級防護所需的可靠性與可擴展性。

現今企業將PKI證書作為身份校驗的黃金標準。公鑰基礎設施（PKI）是零信任架構的基礎組成部分，能夠為所有終端用戶、裝置及應用身份落實嚴格的安全參數要求。

但隨着本就複雜的環境和關鍵系統不斷擴展，將流動裝置、雲端基礎設施、DevOps、物聯網及其他實體裝置納入覆蓋範圍，未能有效管理PKI證書所帶來的固有財務風險已大幅上升。不當的證書管理不僅會令企業更容易遭受網絡罪犯、惡意軟件及欺詐攻擊，還會使機構面臨員工生產力下降、客戶體驗受損、合規缺陷及其他潛在問題的風險。

為何數碼身份管理比密碼和多因素認證更安全？

現今的IT安全團隊必須具備識別和認證企業範圍內所有身份的能力——不論這些身份屬於人、裝置、數據還是應用程式。密碼在過往曾提供一定程度的安全保障，但現今有效性已大不如前。原因在於惡意行為者已愈來愈擅長透過各類狡詐手段竊取密碼，包括：

• 誘導用戶在釣魚網站輸入密碼。
• 從互聯網傳輸中的交易鏈路竊取用戶身份信息。
• 從密碼儲存庫中盜取密碼。
• 查找已泄露密碼被重複使用的場景。
• 透過暴力破解獲取密碼。

現時在用戶身份認證層面，不少機構已採用雙因素認證（2FA）、多因素認證（MFA），部分場景下還會使用基於生物特徵的認證。多因素認證方案常被宣傳為可替代密碼、手機驗證和一次性密碼OATH令牌的安全方案，但實際存在大量已被披露的網絡安全漏洞，而且已被證實易遭受知名攻擊，這類攻擊實施簡單、可規模化展開，和竊取密碼的難度相當。此外，員工使用啟用MFA的應用程式時需要付出更多操作成本——遠比單純記住密碼繁瑣——這進一步增加了員工和IT管理員的負擔。

在機器身份認證場景下，密碼和MFA還存在另一類問題。如前文所述，機器間通信的核心特徵是自動化。機器無法操作智能手機或物聯網裝置來獲取一次性密碼。在自動化通信流程中儲存或傳輸密碼會引入漏洞隱患。隨着數碼化轉型的全面推進，機構需要一種從根本上更優、更適配的機器身份認證方法。

與這兩種方式不同，數碼身份管理基於公鑰基礎設施（PKI）無需依賴需要共享（或可能被網絡罪犯截獲）的密鑰信息。當用戶或機器證明其持有私鑰時，認證即完成。後續交易由私鑰簽名，透過公鑰完成驗證。這類公私密鑰對由多種強加密算法之一生成。

相較於基於密碼的認證，這一流程可提供更出色的數據保護能力和抵禦黑客攻擊的能力，原因如下：

• 私鑰永遠不會離開客戶端。 密碼很容易因用戶主動分享、或遭受釣魚攻擊等非主觀原因泄露，私鑰則不存在這類問題。
• 私鑰不會在傳輸過程中被竊取，因為它永遠不會被發送傳輸。密碼可在互聯網傳輸過程中被竊取，而私鑰永遠不會被傳輸。
• 私鑰無法從伺服器儲存庫中被盜取。 儲存在中央伺服器儲存庫中的密碼可能被盜；私鑰僅保存在用戶裝置上，不會進行集中儲存。
• 用戶無需記憶密碼或輸入用戶名。 用戶裝置僅儲存私鑰，在需要時完成驗證即可，可提供更流暢的用戶體驗。

為何要實現機器身份管理自動化？

儘管公鑰基礎設施（PKI）提供的數碼身份是目前安全性最高、最易用的認證與加密解決方案，但對於工作繁忙的IT團隊而言，手動部署和管理證書非常耗時，還可能帶來不必要的風險。核心結論是：手動密鑰管理既不具備可持續性，也無法規模化推廣。

不論企業是為Web伺服器部署單張SSL證書，還是在所有聯網裝置身份中管理數百萬張證書，證書簽發、配置和部署的端到端流程都可能耗費數小時。手動管理證書還會使企業面臨重大風險：被疏漏的證書意外過期，以及所有權歸屬出現缺口——這些疏漏可能導致與證書相關的服務中斷、關鍵業務系統故障，以及安全漏洞和攻擊。

客戶和內部用戶依賴關鍵業務系統時刻維持可用。但近年來，證書過期已導致多起廣受關注的網站及服務中斷事故，造成數十億美元的收入損失、合約違約金、訴訟，以及品牌聲譽受損、客戶信任流失等難以估量的代價。

機構必須遵守法規要求，否則將面臨巨額處罰

身份安全不足無疑會令機構面臨攻擊及敏感數據外洩的風險。但安全漏洞還可能令企業陷入不符合監管要求的危險境地。HIPAA/HITECH、GDPR以及美國聯邦政府DFARS等私隱法規，明確訂明需要透過加密來紓緩或盡量減低外洩後果的場景和用例——所有這些規定均旨在防範資訊竊取漏洞。

未達到合規要求可能招致巨額罰款。例如，歐盟已就GDPR相關違規行為對谷歌處以5000萬歐元罰款，對萬豪處以9900萬英鎊罰款，對英國航空處以1.83億英鎊罰款。GDPR明確規定，罰款金額需同時考慮單次外洩的規模以及機構表現出的過失程度。因此，為數碼證書部署完善的安全解決方案有助降低外洩風險，同時也能證明機構已盡誠信義務、不存在過失，若發生外洩，或有助於減低罰款金額。

管理成本亦會快速上升

儘管證書管理有時被視為IT或Web管理員的日常簡單工作，但逐張確保證書有效性的成本高昂。透過人手流程對機構內所有公鑰基礎設施（PKI）證書進行發現、安裝、監控和續期，不單耗費大量人力，還存在較高的技術門檻。

舉例而言，即便是針對單台Web伺服器和單個域名實例的最簡單人手SSL/TLS證書安裝，也涉及多個步驟，單台Web伺服器的相關成本很容易超過50美元。如果將這類工作量放大到機構內數千甚至數百萬張公鑰基礎設施（PKI）證書的規模，人手證書管理的成本會快速累積這一點就顯而易見。

如何實現機器身份管理自動化

鑑於人手管理公鑰基礎設施（PKI）證書本身存在上述隱患及財務影響，自動化機器身份管理工具的投資回報對首席信息官（CIO）和首席安全官（CSO）而言是清晰可見的。

IT專業人員必須重新思考其證書生命週期管理策略。尤其是當企業越來越多地推出依賴快速迭代DevOps環境的服務時，機構需要一套無需人手干預即可確保證書正確配置和落實的自動化解決方案。這類解決方案有助降低風險，同時還能協助IT部門控制營運成本、縮短產品和服務的上市周期。

近年來，公鑰基礎設施（PKI）持續演進，適用性進一步提升。互操作性、高正常運行時間和治理能力仍是其核心優勢。而現今的公鑰基礎設施（PKI）解決方案還可透過以下能力提升管理效率和證書生命週期管理（CLM）水平：

• 自動化：在盡量減少人手流程的前提下完成各項獨立任務。
• 協同能力：透過自動化管理範圍廣泛的各類任務。
• 可擴展性： 管理數百、數千甚至數百萬張證書。
• 加密敏捷性： 針對新出現或不斷變化的威脅，快速更新加密強度，吊銷存在風險的證書並替換為抗量子證書。
• 可見性：透過單一管理界面檢視所有用例下的證書狀態。

由於使用數碼證書的系統、應用和設備分散各處，IT團隊往往需要管理來自多個不同廠商的獨立自動化服務。運行多套平台通常會導致效率下降。能夠跨所有用例和廠商平台自動化完成發現、部署和生命週期管理的統一證書管理儀表板，可實現自動化所承諾的效率提升。同時IT團隊仍可掌控配置定義和規則，確保所有步驟正確執行。

作為值得信賴的證書頒發機構（CA），Sectigo提供數碼身份管理自動化解決方案 幫助企業實現敏捷、高效營運，全面管控其環境內的所有證書（包括機器身份）。Sectigo 依託行業領先的協議、API 與第三方集成能力，支持 SSL/TLS 證書及非 SSL 證書的自動安裝、吊銷與續期。同時，Sectigo 解決了開源替代方案可能存在的證書數量上限問題。

總而言之，Sectigo 的自動化解決方案可協助貴企業的安全團隊輕鬆達成以下目標：

• 落實加密安全策略。
• 保障通訊安全。
• 防止因未經授權存取導致的個人資料外洩。
• 為企業內的系統、應用程式與裝置提供面向未來的長期適配能力。

如欲進一步了解如何利用公開金鑰基礎設施（PKI）在身份與存取場景中取代密碼，請參閱《無密碼企業白皮書》.