PKI 如何加强零信任网络安全？

在当今互联网时代，如果说零信任代表新一代的网络安全防护理念，PKI则是网络安全的基石，并早已在网络安全领域广泛应用。随着基础设施的不断扩大，网络安全的复杂性也越演越烈，将PKI与零信任相结合以增强安全性并加强防御能力成为当今企业关注的重点。那么PKI 如何加强零信任网络安全呢？来自Sectigo的首席执法官Tim Callan发布了《PKI 如何加强零信任网络安全？》，很好的阐述了这一过程，以下是相关内容。

一、PKI 如何作为零信任架构的基础？

公钥基础设施（PKI）是一种使用数字密钥和数字证书（如 SSL/TLS 证书和代码签名证书）进行身份管理和在互联网等网络上安全交换数据的框架。它利用非对称加密技术，每个参与者都有一个广泛分布的用于加密信息的公共密钥和一个秘密保存的用于解密信息的私人密钥。数字证书将公共密钥与特定个人或实体绑定，以验证其身份。

零信任网络架构（ZTNA）使用多层访问控制和持续验证，然后才允许用户和设备访问数据和应用程序。它以 "绝不信任，始终验证 "为前提。组织根据持续的身份验证、设备健康状况和其他上下文因素允许访问和权限。零信任方法的原则包括身份验证、最小特权、持续监控和微分段。

• PKI和零信任的重点不同：PKI 建立了一个安全通信框架，通过加密和身份验证来维持对数字通信的信任。零信任则强调基于持续验证的访问管理模式，以支持情境感知决策。
• PKI和零信任的共同之处：PKI和零信任都通过强有力的措施（如身份验证流程）来加强整体网络安全，以确保数据保密性，防止未经授权的访问、数据篡改、数据泄露和其他安全威胁。

PKI是零信任架构的重要组成部分，96% 的 IT 安全管理人员认为 PKI 对建立零信任架构至关重要。它通过数字证书实现可靠的用户和设备身份验证，从而降低与弱密码和证书泄露相关的风险。此外，PKI 还可通过加密支持安全通信，防止未经授权访问敏感信息，为实现传输中数据加密的 "零信任 "要求提供了切实可行的方法。

二、PKI 和零信任如何共同加强网络安全？

PKI是弹性零信任模式的基础。特别是，这种基于认证的访问控制支持无密码解决方案，克服了许多多因素身份验证（MFA）方案的弱点，例如：

• MFA 令牌容易受到网络钓鱼和社交工程的影响。攻击者可能会诱骗用户提供他们的凭据和 MFA 令牌。
• 如果威胁者通过物理或远程方式控制了用户设备，就有可能截获 MFA 令牌。由 PKI 支持的零信任架构可以持续评估设备的可信度，以降低这种风险。
• 黑客可能会欺骗或复制用于 MFA 的生物识别数据，以获得未经授权的访问。PKI 和零信任可实现分层安全方法，利用上下文因素支持访问决策。

以下是企业如何结合 PKI 和零信任来加强安全性的方法：

1、用户身份验证

身份验证机制确保只有合法用户才能访问组织的系统、应用程序或数据，以防止未经授权访问敏感信息。它们有助于防止数据泄露、经济损失和声誉受损。

专用PKI向用户颁发独一无二的数字证书，使用户能够使用私钥访问受保护的资源，并降低与证书泄露相关的风险。

2、设备验证

通过这一流程，只有受信任和授权的设备才能访问组织的资源。在众多设备从多个地点访问企业网络（如物联网设备）的复杂环境中，设备身份验证可保护基础设施免遭端点泄露。

零信任架构通过动态访问控制对设备进行身份验证，而 PKI 则通过数字证书管理确保安全的身份验证，并持续监控证书的有效性，从而加强这些措施。

3、安全通信

安全数字通信对于保护敏感数据至关重要。它们建立了信息完整性，以维护数字互动中的信任，降低数据泄露的风险。

零信任假定任何接收信息的人，即使是在内部网络中，在验证之前都可能是不可信任的。PKI 使用非对称加密技术，即每个实体都有一个独一无二的公私密钥对，以确保只有受信任和指定的实体才能破译加密信息。

4、数据完整性

数据完整性是指实体间共享的信息在其整个生命周期内保持准确、不变和可信。确保数据完整性可以防止经济损失、声誉受损或错误信息。

由 PKI 支持的加密技术可保护数据在传输过程中不受未经授权的修改，从而确保数据的完整性。同时，零信任网络架构的持续监控和动态访问控制功能可检测到受损的用户或设备，并及时撤销对敏感数据的访问。

三、利用 PKI 实施零信任模式

以下是实施 PKI 以支持零信任网络架构时的关键考虑因素：

• 平衡安全性与可用性：实施用户友好型身份验证和访问控制工作流程，最大限度地减少摩擦，确保安全措施不会妨碍用户的采用和工作效率。使用单点登录（SSO）解决方案和无密码身份验证，在不影响安全性的前提下提升用户体验。
• 使用可信的证书颁发机构（CA）：选择 CA 对于 PKI 的可信度至关重要。考虑 CA 的声誉、是否符合行业标准以及其提供的证书类型，为您的决策提供依据。
• 根据具体要求定制解决方案：定制您的零信任网络架构和 PKI 解决方案，以满足您的安全性和合规性要求以及操作环境。进行风险评估，定制政策和控制措施以降低风险，并使实施与您的工作流程保持一致。
• 管理复杂性：随着企业的发展壮大，可扩展性将面临挑战。实施证书自动化和协调解决方案来简化证书生命周期管理。它们可帮助您管理日益增多的设备和用户，提高效率，消除因证书过期而造成的中断和破坏。

零信任安全和自动化

自动化对零信任安全至关重要，其有助于管理不断增长的基础设施的规模和复杂性。这样，访问调配、监控和策略执行等任务就能保持一致和高效。自动化还能在动态环境中实时响应用户行为、设备健康状况和安全态势的变化。

自动化解决方案可实现快速威胁检测和即时事件响应。例如，它可以隔离被入侵的设备并取消访问权限，而无需人为延迟。它还有助于保持实施和执行安全策略的一致性，确保统一应用访问控制、加密设置和其他安全措施，从而减少违规行为。

此外，自动化还能通过持续监控、自适应访问控制和实时威胁情报集成来支持零信任的实施。这对扩展证书生命周期管理以最大限度地发挥 PKI 的优势至关重要。这可以减轻管理负担，防止安全漏洞，并消除过期证书造成的中断、破坏和违规行为。

四、利用零信任和 PKI 构建安全企业

PKI为验证每个用户或设备的身份提供了最安全的选择，在零信任环境中支持强大的访问控制。实现证书生命周期管理自动化后，您就可以经济高效地扩展基础架构、安全策略和策略执行，同时避免人为错误或疏忽导致漏洞和服务中断。

资料参考来源：Sectigo