您当前的位置:   首页 > 新闻中心
关于公钥基础结构(PKI)的常见问题及解答
发布时间:2019-11-27 08:16:08   阅读次数:

关于公钥基础结构(PKI)的常见问题及解答(图1)

什么是公钥基础结构(PKI)?

公钥基础结构(PKI)是创建,管理,分发,使用,存储和撤销数字证书和公钥所需的一组硬件,软件,策略,过程和过程。PKI是使大量用户可以使用诸如数字签名和加密之类的技术的基础。PKI提供了对于电子商务和不断发展的物联网(IoT)安全可靠的业务环境必不可少的要素。


PKI有助于建立人员,设备和服务的身份,从而实现对系统和资源的受控访问,数据保护以及交易的责任制。下一代业务应用程序越来越依赖PKI技术来保证高度的保证,因为不断发展的业务模型越来越依赖于需要在线身份验证并遵守更严格的数据安全法规的电子交互。


证书颁发机构(CA)的作用

为了将公钥与其关联的用户(私钥的所有者)绑定,PKI使用数字证书。数字证书是有助于验证交易中用户之间身份的凭证。就像护照证明一个国家的公民身份一样,数字证书也建立了生态系统内用户的身份。因为数字证书用于标识向其发送加密数据的用户,或者用于验证信息签名者的身份,所以保护证书的真实性和完整性对于维护系统的可信赖性至关重要。


证书颁发机构(CA)颁发用于证明用户身份的数字证书。CA支持PKI及其支持的服务的安全性,因此可能成为复杂的有针对性攻击的重点。为了减轻针对CA的攻击风险,物理和逻辑控制以及强化机制(例如硬件安全模块HSM))对于确保PKI的完整性已变得十分必要。


PKI部署

PKI提供了一个框架,该框架使诸如数字证书和签名之类的密码数据安全技术得以有效地大规模部署。PKI支持网络内部和网络之间的身份管理服务,并支持安全套接字层(SSL)和传输层安全性(TLS)固有的在线身份验证,以保护Internet流量以及文档和事务签名,应用程序代码签名和时间戳。PKI支持用于桌面登录,公民识别,公共交通,移动银行的解决方案,对于物联网中的设备凭证至关重要。设备身份认证对于为越来越多的基于云的和互联网连接的设备赋予身份越来越重要,这些设备运行从智能手机到医疗设备的整个领域。


密码安全

使用非对称和对称密码学原理,PKI有助于在用户和设备之间建立安全的数据交换,从而确保交易的真实性,机密性和完整性。用户(在PKI中也称为“订户”)可以是执行业务流程的单个最终用户、Web服务器、嵌入式系统、连接的设备或程序/应用程序。非对称密码学为生态系统内的用户,设备或服务提供了一个由公钥和私钥组成的密钥对。组中的任何人都可以使用公用密钥进行加密或验证数字签名。另一方面,私钥必须保密,并且只能由其所属的实体使用,


PKI的重要性越来越高

随着不断发展的业务模型越来越依赖于电子交易和数字文档,并且越来越多的Internet感知设备连接到公司网络,PKI的作用不再局限于隔离的系统,例如安全电子邮件,用于物理访问或加密的智能卡网络流量。当今的PKI有望支持复杂生态系统中的大量应用程序,用户和设备。随着政府和行业数据安全法规的日益严格,主流操作系统和业务应用程序比以往任何时候都更加依赖组织PKI来确保信任。


什么是证书颁发机构或根私钥盗窃?

与Stuxnet攻击一样,盗用证书颁发机构(CA)或根私钥使攻击者可以接管组织的公钥基础结构(PKI)并颁发伪造证书。任何此类妥协都可能会强制撤销和重新发行某些或所有先前颁发的证书。根泄露(例如,被盗的根私钥)破坏了PKI的信任,并很容易促使您重新建立新的根和附属发行CA基础结构。除了损害企业的公司身份之外,这可能非常昂贵。


从根到颁发CA的整个基础架构中,组织私钥的完整性为其PKI提供了核心信任基础,因此必须加以保护。保护这些关键密钥的公认最佳实践是使用FIPS 140-2 3级认证的硬件安全模块(HSM),这是一种符合最高安全性和保证标准的防篡改设备。


PKI的职责分离不充分是什么?

即使密钥本身没有受到破坏,对签名密钥的使用进行的严格控制也会使证书颁发机构(CA)被滥用。恶意行为者可能会发布恶意证书,从而使设备或用户冒充中间用户并假冒合法用户,或者进行数字签名,然后对恶意软件进行传播,因为它似乎来自受信任的来源。


设计组织的公钥基础结构(PKI)时,需要建立适当的安全控制。这包括分离CA角色和设置策略,以便在个人尝试执行多个CA角色时操作失败。制定政策和程序以确保适当的职责分离,包括在团队成员离开时确定突发事件,这对于PKI的安全性和完整性至关重要,并且必须是初始设计的一部分。最好实施一种技术,该技术能够为分工政策提供技术解决方案。例如,展示“ M of N”智能卡集可以通过简单地不允许个人在没有例如安全员在场的情况下颁发证书来实施强有力的职责分离策略。


PKI中的可伸缩性不足是什么?

不能考虑组织及其用户增长的公钥基础结构(PKI)最终将需要随着业务规模的变化而重新设计,这意味着生产力损失和客户影响降低。随着每天都有新的应用程序上线并且许多用户要求通过多个设备进行访问,良好的业务规划要求从一开始就考虑PKI可伸缩性。


许多组织将需要不止一个证书颁发机构(CA)来满足其不断增长的需求-证书用于登录身份验证,数字文档签名,电子邮件等。根CA可以充当“主”,其中包含多个涵盖各种用例的从属CA。或者,组织可以通过建立多个根CA和多个层次结构来规划规模。无论采用哪种策略,目标都是在第一时间做到正确,以确保组织的PKI能够满足其不断增长的需求。


什么是在线证书验证的颠覆?

颠覆在线证书验证过程可能会导致恶意使用已吊销的证书。可以阻止证书到达证书吊销列表的攻击者可以冒充合法行为者并执行恶意活动,而受害者则不知道自己正在与非法参与者通信。


定义证书认证策略和过程是公钥基础结构(PKI)设计的重要组成部分。此外,适当的执行和强制执行将确保吊销的证书(以及用户)被拒绝访问。尽管许多组织将使用证书吊销列表(CRL),但有些组织可能会选择其他方法,例如在线证书状态协议(OCSP)或身份验证、授权和记帐(AAA)。


根据组织的需求,此类决策应成为初始设计讨论的一部分。值得注意的是,证书吊销过程中部署的任何私钥都需要使用构成签发过程基础的密钥进行同等保护。


PKI中缺乏信任和不可否认性是什么?

如果组织不能合法地验证特定用户发送的消息,则安全性不足的公钥基础结构(PKI)(尤其是密钥管理)会使组织遭受损失或破坏。


在用户活动有争议的情况下,以安全性和完整性为核心的PKI可以为您提供法律保护。安全的数字签名提供了消息发件人以及消息发送时间的无可辩驳的证据,但是只有PKI强大时,它才具有防御性。通过证明签名密钥一直到根密钥都得到了充分的保护,您的组织可以承受有关特定用户及其操作的真实性的任何法律挑战。



揽阁信息可提供的部分安全产品和解决方案信息

联系揽阁信息,您可以获取到更多满足全球合规性要求的信息安全产品资料,以及相关的整体解决方案的相关资料。如:


您还可以得到揽阁信息所提供的优质服务。

揽阁信息 · 值得您信赖的信息安全顾问!


相关阅读

购买咨询电话
021-54410609