GlobalSign 博客

理解公钥基础设施：概述与核心概念

在数字领域，万物皆有身份。从基础层面而言，数字身份可定义为IP地址或其他可识别数字数据，如姓名或电子邮箱地址，但数字身份实则存在于组织、个人及设备之中。

数字身份如同指纹般独一无二，如同个人社保信息般私密，因此必须确保其隐私性与安全性。公钥基础设施（PKI）在保障数字身份安全方面发挥着关键作用，但该领域涵盖范围极其广泛，存在多种解决方案、应用场景及实践方式。因此在构建PKI安全基础设施时，往往难以确定实施起点或最佳实践方案。

本博客将涵盖公钥基础设施（PKI）的核心概念与组成部分，同时探讨PKI管理的优势、应用场景及最佳实践，并阐述其如何融入您的企业安全体系。

  • 什么是公钥基础设施（PKI）？
  • PKI的工作原理：核心概念与流程
  • PKI的组成部分
  • PKI的优势
  • PKI的应用
  • 实施PKI的最佳实践

什么是公钥基础设施（PKI）？

公钥基础设施（PKI）是所有数字证书的基础加密系统。通过结合使用公钥和私钥进行加密，PKI为数据传输创建了安全环境，确保发送方与接收方之间的信任关系。

PKI通过保护隐私并确保组织数据、通信及数字身份的真实性，对各行业、组织及政府机构建立信任与安全至关重要。

PKI通过数字证书的形式保障数据安全并建立信任。证书颁发机构在接收组织提交的证书签名请求（CSR）后，会向其签发数字证书。当CSR获得批准且证书成功签发后，只要使用的是正确证书且在有效期内，相关组织或实体即可对其通信、网站域名或文档进行身份验证与安全防护。

PKI的工作原理：核心概念与流程

如何使用PKI对数据进行加密？

PKI的功能是通过加密手段保障数据传输安全。简而言之，两个或多个通信方在交换数据时均持有公钥与私钥。通信方A将使用哈希算法及其私钥对数据进行加密发送，通信方B则可通过对应的公钥对加密数据进行解密。


在传输数据时，密钥对具有两项功能：

  • 通过对应方A的唯一密钥对验证其身份，使对应方B能够确信发件人的真实性
  • 确保传输中的数据安全，使只有拥有对应公钥的接收方才能访问数据

在此过程中，数字证书将验证公钥和私钥分别属于正确的接收方和发送方。

数字证书是如何创建的？

通过PKI，组织可以向CA申请数字证书。数字证书用于验证实体（如组织、个人用户或服务器）的真实性。当组织生成证书签名请求（CSR）后，该请求将提交至注册机构（RA）。注册机构通过审核流程验证组织或用户的身份，并将结果反馈给CA，由CA最终签发证书。部分CA（如GlobalSign）会采用内部审核流程。

PKI的组成部分

在将PKI集成到安全基础设施时，理解其基本组成部分至关重要。虽然PKI能促进数字证书的发放、更新和吊销，但这些证书是由CA签发的。

CA的作用在于建立并维护信任链，使组织能够确保其证书的安全性。在这条信任链中，存在两种不同类型的CA：根证书颁发机构和中间证书颁发机构。  

信任还通过证书库存管理建立，并可通过两种方式维持：

  • 证书撤销列表（CRL）: 是由证书颁发机构（CA）在证书到期前撤销的证书清单。此类撤销通常由私钥泄露等问题引发。例如，当浏览器向签发CA请求某个启用HTTPS的网页的撤销证书列表时，CA将返回包含已撤销及待处理证书的清单。
  • 在线证书状态协议（OCSP）: 在线证书状态协议可提供与证书撤销列表（CRL）类似的信息，但请求会发送至OCSP服务器，这意味着所请求的信息能够以更快的速度和更深入的细节返回。OCSP响应方将详细说明证书状态，其响应结果包含三种类型：有效（可正常使用）、已撤销（临时或永久）及未知（响应方无法识别）。

通过在CA与浏览器之间建立信任链，并借助CA实施规范的证书管理，这种协作机制使PKI成为强化安全基础设施的强有力解决方案，从而维系着网络世界的信任体系。

PKI的优势

PKI是企业增强安全态势的强大工具，为组织提供全面解决方案以提升数据安全性和运营效率。以下是PKI的6大核心优势：

1.身份验证可降低身份欺诈、数据泄露和未经授权访问的风险

2.提供增强的数据安全性通过在广泛的应用程序和环境中维护数据的机密性、完整性和真实性

3.通过改进管理流程，实现更高效率

4.精简的访问控制机制确保仅向可信实体授予访问权限

5.为多样化的企业安全需求提供更强的可扩展性

6.整合PKI可提供低成本的安全保障，企业由此能节省因安全漏洞或管理不善可能产生的罚款、法律费用及业务损失


PKI的应用

众多行业都依赖于PKI的应用来构建其安全体系，包括金融、法律、医疗、电子商务、供应链管理和政府领域，每个领域都有不同的应用场景。具体示例如下：

Blog - 1920x600.png

实施PKI的最佳实践

组织和IT团队在将PKI纳入其安全体系时，需要认真考虑如何克服面临的挑战。通过合理的规划，这些挑战可以得到解决：

  • 规范密钥管理: 在将PKI置于安全基础设施核心时，妥善管理加密密钥至关重要。托管式PKI有助于消除人为失误风险，并减少证书管理所需资源。将PKI管理解决方案集成至证书管道，可实现对各类证书的集中管控与可视化管理，同时通过API实现自动化证书配置，从而节省时间并降低总体成本。
  • 定期安全审计: 开展定期审计对于建立强大的PKI安全态势至关重要。初期审计将协助评估组织的安全需求，包括安全培训、证书需求、访问管理以及潜在风险的缓解措施。后续必须定期执行审计，以应对业务需求的变化，持续掌握不断演变的威胁、安全基础设施中的漏洞、业务与行业要求，并确保合规性维护。
  • 与可信证书颁发机构合作: 实施PKI时，务必充分考量企业对CA的核心需求。潜在的CA应具备良好声誉，展现可信赖性、完整性和安全性。这包括执行严格的审核程序，并持续维护行业标准。

最终思考

PKI的核心在于其实施过程中将安全性分散到各个组件中，例如其基于非对称加密技术的基础架构，该技术同时利用公钥和私钥。在管理PKI及证书生命周期时，还存在多个参与方共同确保浏览器和终端用户的信任机制得以维持。通过分散维护信任的责任，PKI为安全性奠定了坚实基础。

托管式PKI可建立集中化的证书库存，审计潜在安全威胁并管理证书续期，从而简化PKI管理流程，降低系统遭入侵的风险。

PKI是为组织内部提供强大安全基础设施并保护数字身份的有效解决方案。然而实施PKI并非没有挑战，因为组织自身必须确保正确的密钥和证书管理，以维持基于公钥基础设施的安全体系。尽管这可能给公司资源带来压力，且仍可能导致人为失误或安全漏洞，但通过采用CA解决方案和自动化技术，这些风险可得到有效缓解。

编者注：本文最初发表于2023年9月，此后经过修订以确保内容符合行业标准、法规及最新见解。

近期博客