如何管理 X.509 數碼證書

X.509 證書管理是指數碼證書的簽發、安裝、續期與吊銷流程。儘管 X.509 證書提供的數碼身份是目前強度最高、最易用的認證與加密解決方案，但對工作繁忙的 IT 團隊而言，手動部署和管理這類證書耗時耗力，還可能帶來不必要的風險。為解決這些問題，企業可透過數碼證書管理平台實現全證書生命週期的管理與自動化。

借助管理平台，您可以：

• 實現證書簽發、安裝、續期與吊銷自動化
• 發現並檢索您的證書資產清單
• 查看並監控證書詳情與屬性
• 落實證書治理要求與策略
• 維護證書吊銷列表（CRL）

X.509 證書有哪些用途？

X.509 標準定義了公開金鑰基礎設施（PKI）證書的格式。公鑰證書用於驗證任意用戶、機器或進程的數碼身份。作為所有數碼身份的基礎，X.509 證書 應用範圍極廣，是所有聯網互動流程不可或缺的組成部分。

其應用場景十分廣泛，包括：

• Web 伺服器證書： SSL/TLS 證書用於保障通訊安全 Web 伺服器與 Web 瀏覽器之間的通訊。SSL 證書（安全套接層）/TLS 證書（傳輸層安全）亦用於驗證 Web 伺服器的身份。
• 文件簽署：文件簽署是確保文件真實可信、未被竄改的一種手段。該方式可用於簽署任意類型的文件，包括合約、法律文件以及電郵。
• 程式碼簽署：程式碼簽署是確保軟件未被竄改、來源可信的一種手段，亦可用於驗證軟件發布者的身份。
• 電郵安全：電郵證書用於加密電郵內容，驗證寄件人身份，亦可用於簽署電郵，方便收件人核實郵件的真實性。
• SSH 密鑰： SSH 密鑰用於驗證用戶或電腦連接遠端伺服器時的身份，亦可為兩者之間的通訊加密。

它們的頒發流程是怎樣的？

X.509標準定義了公鑰基礎設施（PKI）證書的格式。公鑰證書用於驗證任何用戶、機器或進程的數碼身份。作為所有數碼身份的基礎，X.509證書應用廣泛，是所有聯網流程不可或缺的組成部分。

X.509證書有多個應用場景，包括：

• Web伺服器證書：SSL/TLS 證書用於保障Web伺服器與Web瀏覽器之間的通訊安全，SSL（安全套接層）/TLS（傳輸層安全）證書亦可用於驗證Web伺服器的身份。
• 文檔簽名：文檔簽名可用於確保文檔真實且未被篡改，適用於為合約、法律文件、電郵等各類文檔簽名。
• 代碼簽名：代碼簽名可用於確保軟件未被篡改且來自可信來源，亦可驗證軟件發布者的身份。
• 電郵安全：電郵證書用於加密電郵並驗證發件人身份，亦可為電郵簽名，方便收件人驗證郵件真實性。
• SSH密鑰：SSH密鑰用於在連接遠端伺服器時驗證用戶或電腦的身份，亦可加密用戶與遠端伺服器之間的通訊。

如何頒發X.509證書？

X.509證書憑藉其強密碼結構與規範的頒發流程，可被信任用於數碼身份的認證與加密。X.509證書是基於國際電信聯盟（ITU）通用X.509標準的數碼證書，互聯網工程任務組（IETF）公鑰基礎設施工作組在制定自身的《互聯網X.509公鑰基礎設施證書與證書吊銷列表（CRL）配置》標準時亦採納了該標準（RFC 5280）.

該標準定義了一對關聯加密密鑰——公鑰與私鑰的使用規則。公鑰由一長串數字組成，可用於加密訊息，只有預期收件人能使用對應的私鑰解密並讀取加密訊息；私鑰同樣由一長串數字組成，屬於需保密的資料，僅由收件人持有。由於公鑰是公開對外發布的，因此公鑰需通過RSA、橢圓曲線密碼學（ECC）和數碼簽名算法（DSA）等複雜加密算法生成，通過生成不同長度的數字組合，與對應私鑰配對，避免被暴力攻擊破解。

此外，密鑰使用架構讓證書可驗證以下內容：

• 公鑰屬於證書中載明的主機名/域名、組織或個人。
• 證書由Sectigo等公開可信的證書頒發機構（CA）簽名，或為自簽名證書。

證書的頒發與公鑰的發布需由可信的證書頒發機構或代理完成。發送方需要通過CA確認自己使用的公鑰與接收方的私鑰匹配，接收方也需要通過CA驗證證書上CA的數碼簽名。證書頒發流程始於通過證書簽名請求（CSR）向CA申請私鑰。

頒發CA負責依據CA/瀏覽器論壇制定的要求，驗證只有授權實體才能獲取證書。由可信CA簽名並頒發的證書，用戶可以確信其所有者或主機名/域名已經過驗證。相比之下，自簽名證書的可信度更低，因為其所有者在頒發前未經過任何額外驗證。

企業亦可以搭建自有私有CA，自行核查並擔保所發布公鑰對應發送方的身份，確保這些公鑰與發送方的私鑰關聯，並妥善保管私鑰。一般情況下，使用商業CA的場景更為普遍，因為商業CA具備完備的安全實踐、策略和流程來保障安全性。無論是哪種情況，都需要根CA或根證書，根證書是用於為其他所有CA證書簽名的證書。

X.509證書管理指南

隨着各類機構採用更安全高效的線上業務開展方式，數碼證書的使用量正快速增長。企業需要有效的X.509證書管理工具，以避免業務營運中斷或停擺，抵禦網絡犯罪分子日益複雜的威脅與攻擊。

數碼證書包含證書持有者的相關資訊，例如機構的可識別名稱、機構地址以及證書頒發機構的身份。

管理 X.509 證書包含五項核心要素。

• 發現： 企業必須發現並盤點已安裝的所有證書，明確其部署位置，並登記證書屬性。企業需要透過自動化、持續的發現流程，檢索並定位全網絡內的所有證書，同時主動確保每一張證書都符合策略要求。
• 簽發與安裝：企業向證書頒發機構（CA）申請證書後，必須正確完成配置與安裝。證書簽發流程需要8-10個獨立步驟，才能正確提交證書簽名請求（CSR）、將證書安裝到正確位置，並測試最終配置。證書簽發與安裝流程可能需要數小時才能完成，如果採用人工操作，每一步都存在出錯風險。
• 續期： 所有證書均設有有效期，必須在到期前完成續期。證書一旦過期即失效。如果企業使用試算表人工跟蹤證書到期情況，或僅依賴電郵提醒獲知即將到期的證書，其系統將面臨服務中斷或數據泄露的風險。
• 吊銷： 企業需要具備按需快速、便捷地吊銷和替換證書的能力，而無需等到證書有效期結束再進行更換。這對於實現最高級別的密鑰安全保障、維護客戶信任至關重要。此外，企業必須維護證書吊銷列表（CRL），以公示所有已失效的證書。
• 治理：企業需要為自身的證書和密鑰應用環境制定策略與流程，包括設置存取控制，確保僅授權人員可進行相關操作。此外，企業應定期審計證書資產清單，確認所有證書均有效，且不存在未授權簽發的證書。

為什麼自動化是關鍵

無論企業是為單台Web伺服器部署一張SSL證書，還是管理覆蓋所有用戶、設備、應用身份的數百萬張證書，證書簽發、配置、部署的端到端流程都可能耗時數小時。人工管理證書還會使企業面臨極高風險：被遺漏的證書可能意外過期，也可能出現證書權責歸屬空白。如果工作中出現疏忽，這類疏漏可能導致突發服務中斷、關鍵業務系統故障，以及造成嚴重損失的安全漏洞。

企業在管理證書時通常面對以下挑戰：

IT團隊難以避免非計劃內的服務中斷

客戶和內部用戶需要受證書保護的關鍵業務系統始終保持可用。但近年來，證書過期已導致多起備受關注的網站與服務中斷事件，造成了數十億美元的收入損失、合約違約金、訴訟，以及品牌聲譽受損、客戶信任流失等無法估量的代價。

管理成本快速攀升

儘管證書管理有時被視為IT或Web管理員的一項簡單日常工作，但逐張確認證書有效性的成本並不低。採用人工流程完成企業內所有公開金鑰基礎設施（PKI）證書的發現、安裝、監控和續期，不僅勞動強度大，對技術能力的要求也很高。

舉例來說，即便在單台Web伺服器、單域名實例上完成最基礎的人工SSL證書安裝，也涉及多個步驟，單台伺服器的相關成本很容易超過50美元。若將這一工作量放大到企業內數千甚至數百萬張公開金鑰基礎設施（PKI）證書上，人工管理的成本會快速累積，這一點顯而易見。

企業必須滿足法規合規要求——否則將面臨高額處罰

安全防護不足還可能導致企業無法滿足監管合規要求。HIPAA/HITECH、GDPR、美國聯邦政府DFARS等私隱法規，明確規定了需要透過加密來降低或最小化泄露影響的場景和用例。如果數碼證書管理不符合合規要求，企業可能被處以高額罰款。例如，歐盟近期就GDPR相關違規對谷歌處以5000萬歐元罰款、對萬豪處以9900萬英鎊罰款、對英國航空處以1.83億英鎊罰款。

如何管理證書？

上述證書管理挑戰給IT安全團隊帶來了艱巨的任務。讓問題更複雜的是，需要X.509證書的數碼身份數量呈爆發式增長，類型也不斷增多，目前新的應用場景包括混合雲與多雲環境、DevOps容器、IoT設備以及其他快速增長的企業應用。

對於安全團隊而言，高效、可靠地管理環境內每一張證書的最佳方式，是實現證書生命週期端到端自動化。證書生命週期管理（CLM） 是一套覆蓋從 provisioning、部署到吊銷全流程的自動化綜合解決方案。

證書生命週期管理（CLM）可確保所有證書得到妥善安裝、監控與續期，為機構提供所需的可擴展性、可見性與管控能力，保障數碼證書有效及環境安全。Sectigo Certificate Manager 提供單一管理門戶，可保護並管理數量不斷增長的數碼證書；該產品可與主流技術提供商的產品集成，能夠在任意 IT 環境中高效運行。