Sectigo 網誌
甚麼是PKI？公鑰基礎設施（PKI）定義與指南
公鑰基礎設施（PKI）用於管理互聯網通訊中的身份與安全，保護人員、設備與數據。歡迎在此了解來自Sectigo®的更多相關內容。
各類機構依賴PKI解決方案，對經由Web伺服器、數碼身份、聯網設備及應用傳輸的信息進行認證與加密。隨着機構愈發依賴互聯網承載核心業務系統，建立安全通訊機制對於保障業務連續性、實施主動風險管理至關重要。
PKI是美國國家標準與技術研究院（NIST）所述零信任架構的核心組成部分；在該架構下，信任永不默認授予，必須持續接受評估。
公鑰密碼學是支撐PKI的核心技術，它通過兩個相互獨立又彼此關聯的密鑰實現加密與解密。生成的密鑰對包含用於加密訊息的公鑰，以及用於解密訊息的對應私鑰，這種機制也稱為非對稱密碼學。密鑰對通過密碼算法確保加密通訊僅能由目標接收方——即私鑰持有者解密。
基於PKI的證書如何提供安全數碼身份
國際電信聯盟（ITU）X.509標準定義了基於PKI的證書格式。數碼證書不易察覺卻無處不在，用戶在訪問網站、使用流動應用、查閱在線文檔、操作聯網設備時每天都會接觸到。一般而言，數碼證書是所有X.509證書的統稱，涵蓋SSL/TLS證書、電郵簽名證書、代碼簽名證書及文檔簽名證書。
數碼證書常被稱為「在線憑證」，它能夠：
- 驗證持有者的身份。
- 提供持有者經加密的公鑰。
- 由可信任的、負責核驗真實性的證書頒發機構（CA）簽發。
如前所述，公開密鑰透過複雜的非對稱算法生成，與對應的私密金鑰配對。在公開密鑰密碼學中，加密密鑰（可以是公開密鑰或私密金鑰）用於加密明文訊息，將其轉換為稱為密文的編碼格式；隨後另一把密鑰作為解密密鑰，對密文進行解密，讓接收方能夠讀取原始訊息。整個過程自動完成，用戶不會察覺。
由於公開密鑰是公開發布、所有人都可見的，系統會使用複雜的密碼算法生成不同長度的隨機數字組合，將公開密鑰與對應的私密金鑰配對，防止密鑰被暴力攻擊破解。與可公開存取的公開密鑰不同，私密金鑰是僅由其擁有者知曉的密鑰。私密金鑰與公開密鑰採用相同算法生成，以此建立經數學綁定的強密鑰對。
最常見密碼算法用於生成密鑰的常見密碼算法包括：
- Rivest–Shamir–Adleman（RSA）
- 橢圓曲線密碼學（ECC）
- 數碼簽署算法（DSA）
這些算法採用不同的計算方法生成不同長度的隨機數字組合。密鑰大小（即位元長度）決定了防護強度。CA/Browser Forum 這類標準組織為支援的密鑰長度制定了基線要求。例如，2048位元RSA密鑰的常見應用場景包括SSL證書、數碼簽署、程式碼簽署證書及其他數碼證書。該密鑰長度可提供足夠的密碼強度，防止駭客破解算法。
為何不使用兩把相同的密鑰，而是採用一把公開密鑰搭配一把私密金鑰的形式？雖然乍看有違直覺，但使用由兩把私密金鑰組成的密鑰對來加密及解密敏感資訊的流程（即對稱密鑰算法），並不比非對稱加密更安全。此外，使用對稱密鑰算法要求通訊雙方都能存取密鑰，由於雙方都需要保管密鑰，風險也隨之升高。最後，這類算法難以大規模應用，因為幾乎不可能協調海量連線來私密共享所有私密金鑰組合。
公開密鑰基礎建設（PKI）的優勢
密鑰提供了一種驗證機制，可保護身份和數據免遭未經授權的存取或使用。它們是企業網絡安全防護體系的必要組成部分，用於保護網站、電子商務交易、文件、電郵、伺服器及其他資產免受網絡罪犯攻擊。
公開密鑰基礎建設（PKI）可提供可擴展的數據與數碼身份安全能力，能夠保護機構每日透過自有網絡和互聯網交換的數十億條訊息。這種可擴展性的實現基礎是：公開密鑰可以廣泛、公開分發，惡意行為者無法藉此獲取解密訊息所需的私密金鑰。此外，公開密鑰基礎建設（PKI）不斷演進，適配性進一步增強，可提供互操作性、高正常運行時間與治理能力。
從核心能力來看，公開密鑰基礎建設（PKI）允許通訊雙方私密收發敏感數據，從而實現保密性。它能為機構帶來廣泛且可量化的效益，提供以下安全通訊能力：
- 保障客戶安全。
- 保護企業知識產權。
- 強化合規體系建設。
- 防範數據泄露。
- 支援規模不斷擴大的遙距、分佈式辦公團隊。
- 保護日益增多的雲端應用與物聯網（IoT）裝置。
本質上，它是保護人員、裝置及數據數碼身份的最佳防護手段，可讓個人、機構乃至裝置在數碼世界中建立信任。
公開密鑰基礎建設（PKI）的常見應用
公開密鑰基礎建設（PKI）技術有諸多應用場景，包括Web伺服器安全、數碼簽署與文件簽署，以及數碼身份管理。
Web伺服器安全
公開密鑰密碼學是安全通訊端層（SSL）和傳輸層安全（TLS）協議的基礎，而這兩類協議又是HTTPS安全網頁瀏覽器連線的基石。SSL/TLS 證書SSL/TLS 證書可加密互聯網通訊，確保可信的客戶端-伺服器連線。如果沒有這類證書，網絡犯罪分子可透過多種攻擊向量，利用互聯網或其他IP網絡攔截訊息、獲取訊息內容。
數碼簽署與文件簽署
密鑰對除可用於加密訊息外，還可用於數碼簽署及文件簽署。公開密碼匙基礎建設（PKI）會使用發送方的私密金鑰驗證其數碼身份。這種密碼學驗證透過數學方式將簽署與原始訊息綁定，確保訊息未被竄改。
程式碼簽署
程式碼簽署可協助應用程式開發者為應用程式、驅動程式及軟件程式添加一層信任保障，讓終端用戶能夠驗證所收到的程式碼未遭第三方竄改或植入惡意內容。這類數碼證書可驗證容器、容器內執行的程式碼，以及使用這類容器的生產應用程式的完整性，從而確認程式碼安全可信。
電郵證書
S/MIME 證書可驗證電郵發送方身份並加密電郵內容，抵禦日趨複雜的社會工程學攻擊及魚叉式網絡釣魚攻擊。S/MIME 電郵證書透過為電郵訊息及附件進行加解密、驗證發送方身份，讓用戶確信電郵真實且未被竄改。
SSH 密鑰
SSH 密鑰是一種 X.509 證書，可作為 Secure Shell（SSH）協議使用的安全存取憑證。SSH 協議廣泛應用於雲端服務、網絡環境、檔案傳輸工具及配置管理工具的通訊場景。
可驗證身份，保護相關服務免受非預期使用或惡意攻擊。SSH 密鑰不僅能提升安全性，還可實現互聯流程自動化、單一登入（SSO），以及滿足現時企業所需的大規模身份與存取管理需求。
數碼身份
數碼身份認證是零信任策略中用於認證人員、數據或應用程式的關鍵環節。隨着數據及應用程式從傳統網絡延伸至流動裝置、公有雲、私有雲及 IoT 裝置，使用X.509 數碼證書保障身份安全變得愈發重要。基於該標準的數碼身份證書可取代密碼，協助企業提升安全性——目前攻擊者盜取密碼的手段已日益純熟。
建立信任：證書頒發機構在公開密碼匙基礎建設（PKI）中的作用
部署 X.509 證書的核心元件之一是受信任的證書頒發機構（CA）或其代理，負責簽發證書，並發布與用戶私密金鑰對應的公開金鑰。如果沒有這類受信任的 CA，發送方將無法確認自己使用的確實是與接收方私密金鑰匹配的正確公開金鑰，而非惡意攻擊者用於攔截敏感資料、實施不法行為的偽造公開金鑰。
Sectigo 等受信任的第三方機構可作為證書頒發機構提供服務，但不少企業及技術服務商也會選擇搭建內部 CA，亦有可能選擇使用自簽名證書.
無論採用哪種部署方式，受信任的 CA 都必須履行以下職責：
- 核實並擔保其所發布公開金鑰對應的所有發送方的身份。
- 確保這類公開金鑰確實與對應發送方的私密金鑰匹配。
- 做好自身組織內部的資訊安全防護，抵禦惡意攻擊。
公開密碼匙基礎建設（PKI）自動化與證書管理的價值
數碼證書管理常被IT或網站管理員視為簡單的日常工作，但逐一確認證書有效性費時且成本高昂。舉例來說，即便只是為單個Web伺服器和單個域名實例手動簽發SSL/TLS證書這類最基礎的操作，也涉及多個步驟，很容易花費數小時，單台Web伺服器的人工成本就超過50美元。
而在全球化企業中，所有聯網裝置、用戶身份對應的PKI證書數量可達數千甚至數百萬張，上述工作量會成倍增長。除此之外，執行生命週期證書管理還需要投入人力完成證書發現、安裝、監控和續期等全流程工作。
對於工作繁忙的IT團隊而言，人工管理證書的模式成本高、耗時長，且對技術能力要求嚴格。更關鍵的是，人工管理方式可能會讓企業面臨突發服務中斷或關鍵業務系統故障，同時還可能遭遇網絡犯罪分子發起的數據泄露和攻擊。
對於希望降低風險、滿足合規要求、控制運營成本並加快服務上線速度的CIO和CSO來說，實現證書簽發、配置和部署全流程自動化，能夠帶來明確的投資回報（ROI）。
如今的公鑰基礎設施（PKI）解決方案具備相關功能，可通過以下方式優化證書管理及證書生命週期管理工作：
- 自動化能力： 在盡可能減少人工操作的前提下完成各項獨立任務。
- 協同能力： 通過自動化手段覆蓋全品類的證書管理任務。
- 可擴展性： 可管理數量達數百、數千甚至數百萬張的證書。
- 加密敏捷性： 面對新出現或不斷變化的威脅，快速更新加密強度，吊銷存在風險的證書並替換為量子安全證書 。
- 可見性： 通過統一的管理視圖查看所有場景下的證書狀態。
借助Sectigo PKI自動化能力節省時間，保持管控能力
由於使用數碼證書的系統、應用和設備分散在不同環境中，IT團隊往往需要管理來自多家不同廠商的獨立自動化服務。運行多套自動化平台通常會導致管理效率無法達到理想水平。
Sectigo提供的證書自動化解決方案可幫助企業提升敏捷性與效率，同時保持對自身環境內所有證書的管控。Sectigo支持通過行業領先的協議、API和第三方集成，實現SSL/TLS證書及非SSL證書的自動安裝、吊銷和續期。
如果證書管理控制台能夠打通所有應用場景和廠商平台，自動完成證書發現、部署及全生命週期管理工作，就能充分兌現自動化的效率價值。此外，使用Sectigo的服務不會遇到證書數量上限限制——這是部分開源替代方案可能存在的問題。Sectigo的自動化解決方案可幫助企業安全團隊輕鬆落實加密安全策略，保護通信安全，防範未授權訪問導致的數據泄露，同時為全企業範圍內的系統、應用和設備提供面向未來的安全防護能力。
進一步了解自動化數碼身份管理如何成為零信任安全架構的基礎組成部分，並探索Sectigo面向企業的證書管理解決方案.
另外，隨着居家辦公成為常態，企業必須為每一位用戶、每一台設備和每一個應用身份提供安全防護。歡迎下載我們的電子書，了解IT部門可透過身份管理自動化保障業務連續性的4項措施.