數碼身份管理自動化——為何必不可少

甚麼是數碼身份管理？

數碼身份管理是指在安全網絡環境或線上場景中，用於管理資源與應用存取所需憑證認證的整套體系與流程。在現代企業的數碼生態中，每一位用戶、每一台設備、每一個軟件進程都擁有對應的數碼身份。數碼身份管理體系會在企業內部建立多層網絡安全協議與實務機制，保護這些數碼身份，同時防範網絡不法分子竊取敏感數據與知識產權。

數碼身份的應用透過為應用、軟件、服務的每一位終端用戶賦予數碼憑證，支撐着每天每秒發生無數次的交互行為。數碼身份管理為數碼身份提供識別、核驗能力，構建有序的管理體系，可實現高效順暢的運作。但和絕大多數系統類似，當業務規模呈指數級增長時，維持系統預期運作的難度也會指數級上升。因此，作為數碼身份管理基礎的完整身份生命週期必須得到妥善管理，確保無論身份數量多少、環境複雜度多高，存取權限都僅授予合法用戶或設備。同時，部署數碼身份平台時，必須在不影響用戶體驗的前提下提供堅不可摧的安全能力，這一點也至關重要。

數碼身份核驗是支撐零信任安全策略的核心環節，在零信任架構下，信任永遠不會被預設授予，必須持續進行評估。這種強安全機制要求為網絡中的每一位用戶、每一台設備、每一個進程配置精細化的存取控制與權限。使用公開金鑰基礎設施（PKI）證書與加密密鑰對可強化數碼身份的核驗能力，還能為防火牆網絡架構以外的實體之間的連接提供安全保護。

在數碼轉型時代，零信任模型在提升安全水平的同時，也讓業界對統一化、自動化、現代化 PKI 方案的需求更加迫切。

甚麼是數碼身份？

數碼身份遠不只是一個數碼 ID 編號，或是駕駛執照、員工證這類簡單的標識符。本質上，它是一組經過認證的憑證集合，用於證明用戶具備存取線上資源或企業網絡的授權。

但數碼身份的覆蓋範圍不止於用戶對網絡和電腦的存取控制，它還被用於標識系統或網絡中的每一個組成部分，包括每一位用戶、每一台機器、每一個應用。舉例來說，以下對象都會獲分配唯一的數碼身份：

• 流動裝置與智能手機
• 物聯網（IoT）設備
• Web 伺服器與應用伺服器
• DevOps 容器
• WiFi 與 VPN 存取權限
• 網絡設備與路由器
• 雲端應用與雲端服務

需要注意的是，數碼身份並非通用構造，任何身份標識僅在其創建所屬的網絡或系統內有效。事實上，現代電腦網絡會使用一整類軟件來管理數碼身份，這類軟件就是身份與存取管理（IAM）軟件，其核心職責就是確保所有數碼身份都得到妥善、安全的管理。

為甚麼數碼身份管理十分重要？

隨着近年來技術發展，企業安全環境變得愈發複雜。應用與數據跨多雲環境部署、workforce 分佈式辦公、創新聯網設備普及等趨勢交織，要求企業必須採用成熟的數碼身份管理方案，以抵禦持續演變的新型威脅。

當前企業普遍依賴 PKI 證書作為身份核驗的金標準。PKI 是零信任架構的基礎組件，能夠為所有終端用戶、設備、應用身份提供符合嚴格安全參數的保障。

但隨着本就複雜的IT環境進一步擴展，納入流動設備、雲端基礎設施、DevOps、物聯網等更多場景，無法有效管理 PKI 證書所帶來的財務風險已大幅上升。證書管理不當不僅會讓企業更容易遭受不法攻擊與欺詐，還會使組織面臨員工生產力受損、客戶體驗下降、合規不達標等相關風險。

為甚麼它比密碼和多重要素認證更安全？

如今的IT安全團隊必須具備在整個企業範圍內識別並認證身份的能力——無論這些身份屬於人員、設備、數據還是應用程式。密碼在過去曾提供了一定程度的安全保障，但如今已不復往日效用。這是因為惡意行為者已愈發擅長透過各類狡詐手段竊取身份，包括：

• 誘騙用戶在釣魚網站
• 輸入密碼；從互聯網傳輸過程中的交易裡竊取用戶身份；
• 從密碼儲存庫中竊取密碼；
• 發現被盜密碼的重用場景；
• 透過暴力破解獲取密碼。

此外，在數碼身份管理中依賴密碼，會讓個人用戶承擔記憶、更新密碼以及管理自身安全的責任。IT團隊則會被耗時的密碼重設請求淹沒。更糟的是，員工為了避免影響工作效率，往往會採取權宜之計，或是直接繞過安全解決方案的使用。這自然會導致安全疏漏，給網絡犯罪分子可乘之機。

許多機構已經採用了雙因素認證（2FA）、多因素認證（MFA），部分場景下還使用了基於生物特徵的認證。基於手機和一次性密碼OATH令牌的多因素認證方案常被宣傳為密碼的安全替代方案，但這類方案存在大量已被記錄的漏洞，且已被證實易遭受與竊取密碼一樣簡單、可大規模實施的知名攻擊。此外，員工使用搭載MFA的應用程式所需付出的精力遠比單純記憶密碼繁瑣，這進一步增加了員工和IT管理員的負擔。

與密碼和MFA不同，基於公鑰基礎設施（PKI）的數碼身份管理無需依賴需要共享（或可能被網絡犯罪分子截獲）的私密資訊。認證在用戶證明其持有密鑰時完成，隨後交易由密鑰簽名、公鑰驗證。相比基於密碼的認證，該流程能提供更優異的數據保護和身份盜用防禦能力，原因如下：

• 密鑰永遠不會離開客戶端。 與密碼不同——密碼很容易被有意分享，或是在釣魚攻擊中被無意洩露。
• 密鑰無法在傳輸過程中被盜，因為它從未被傳輸。 與可在互聯網傳輸過程中被盜的密碼不同，密鑰永遠不會被傳輸。
• 密鑰無法從伺服器儲存庫中被盜。 儲存在中央伺服器儲存庫中的密碼可能被盜；而密鑰僅對用戶設備可見，不會被集中儲存。
• 用戶無需記憶密碼或輸入用戶名。 用戶設備僅儲存密鑰，在需要時出示即可，能提供更流暢的用戶體驗。

為何要實現數碼身份管理自動化？

儘管公鑰基礎設施（PKI）提供的數碼身份是目前最強大、最易用的認證與加密解決方案，但對於繁忙的IT團隊而言，手動部署和管理數碼證書十分耗時，還可能帶來不必要的風險。

無論企業是為Web伺服器部署單張SSL/TLS證書，還是管理所有聯網設備和用戶身份對應的數百萬張數碼證書，證書簽發、配置和部署的端到端流程都可能耗費數小時。手動管理數碼證書還會讓企業面臨重大風險：被疏忽的數碼證書意外過期，或是出現證書歸屬權空缺——這類疏漏可能導致突發服務中斷、關鍵業務系統故障，以及安全漏洞和攻擊事件。

客戶和內部用戶都依賴關鍵業務系統保持持續可用。但近年來，證書過期已導致多起知名網站和服務中斷事件，造成了數十億美元的收入損失、合同違約金、訴訟，以及品牌聲譽受損、客戶信任流失這類無法估量的代價。

機構必須合規，否則將面臨巨額處罰

身份安全防護不足無疑會讓機構面臨攻擊和數據泄露風險，但安全漏洞還可能讓企業因無法滿足監管要求而陷入合規危機。HIPAA/HITECH、GDPR以及美國聯邦政府DFARS等私隱法規，明確了需要透過加密來緩解或降低泄露後果的場景和用例——所有這些規定都旨在防範信息竊取漏洞。

未能滿足合規要求可能導致高額罰款。例如，歐盟近期就GDPR相關違規對Google處以5000萬歐元罰款，對萬豪處以9900萬英鎊罰款，對英國航空處以1.83億英鎊罰款。GDPR明確規定，罰款金額需同時考量單次數據泄露的規模以及機構存在的過失程度。因此，為數碼證書部署強安全解決方案，不僅有助於降低泄露風險，還能證明機構已盡到合理注意義務、不存在過失——若真發生泄露，這一點或許有助於降低罰款金額。

管理成本也會快速攀升

儘管證書管理有時被視為IT或網站管理員的日常簡單工作，但逐張確保數碼證書有效性的成本非常高。透過人工流程完成機構內所有公鑰基礎設施（PKI）證書的發現、安裝、監控和續期，不僅耗費大量人力，對技術能力的要求也很高。

舉例來說，即便是在單台Web伺服器、單個域名實例的最簡場景下，人工安裝SSL證書也涉及多個步驟，單台Web伺服器的相關成本很容易超過50美元。如果將這一工作量放大到機構內數千甚至數百萬張公鑰基礎設施（PKI）證書，人工證書管理的成本會快速累積，這一點顯而易見。

如何實現自動化

鑒於人手管理公鑰基礎設施（PKI）數碼證書存在上述固有風險及財務影響，對首席資訊官（CIO）與首席安全官（CSO）而言，自動化數碼身份管理的投資回報相當清晰。

IT專業人員需要重新思考證書生命週期管理（CLM）策略。尤其是當企業越來越依賴快速迭代的DevOps環境交付服務時，機構需要一套自動化解決方案，無需人手干預即可確保數碼證書配置及實施的正確性。自動化不但有助降低風險，還能協助IT部門控制營運成本，縮短產品與服務的推出市場周期。

近年來，公鑰基礎設施（PKI）的适配性進一步提升。互操作性、高可用性與治理能力仍然是其核心優勢，而現時的公鑰基礎設施（PKI）解決方案還可透過以下能力優化管理工作及證書生命週期管理（CLM）：

• 自動化： 在盡可能減少人手流程的前提下完成各項獨立任務。
• 協同能力： 運用自動化能力管理範圍廣泛的任務組合。
• 可擴展性： 管理數百、數千甚至數百萬張數碼證書。
• 加密敏捷性： 可在新型威脅或威脅出現變化時，快速更新加密強度，吊銷存在風險的數碼證書並替換為量子安全數碼證書。
• 可視化能力： 透過統一管理界面檢視所有使用場景下的數碼證書狀態。

由於使用數碼證書的系統、應用及硬件分散各處，IT團隊往往需要管理來自多個不同廠商的獨立自動化服務。運行多套自動化平台通常會導致效率下降。而一個覆蓋所有使用場景與廠商平台、可自動完成數碼證書發現、部署及生命週期管理的統一數碼證書管理儀表板，才能真正兌現自動化承諾的效率提升。同時IT團隊仍可掌控配置定義與規則，確保自動化步驟正確執行。

Sectigo提供數碼身份管理自動化解決方案，協助企業實現敏捷、高效的營運，全面掌控自身環境內的所有數碼證書。Sectigo支援透過業界領先的協議、API及第三方集成，實現SSL/TLS證書及非SSL證書的自動安裝、吊銷與續期，同時解決了開源替代方案中可能存在的數碼證書數量上限問題。

總而言之，Sectigo的自動化解決方案可協助您的安全團隊輕鬆達成以下目標：

• 落實加密安全策略
• 保障通訊安全
• 防範未經授權存取導致的個人資料泄露
• 為企業內的系統、應用及硬件提供面向未來的長期防護

要了解更多關於如何使用公鑰基礎設施（PKI）替代密碼實現身份與存取管理的內容，請閱讀《無密碼企業》白皮書.