021-54410609
将 PKI 描述为“网络安全”的一个方面有点用词不当。缺乏可见性和集中化、使用自签名证书、无库存的服务和设备以及其他不良 PKI 卫生的例子会造成复杂、脆弱的技术堆栈，并产生不必要的成本（包括因服务中断而造成的收入损失）。
在这方面，网络稳定性或网络弹性可能更准确地描述现代、运作良好的 PKI 的重要性。
然而，管理不善的 PKI 确实会导致实际的网络攻击。不良做法使恶意行为者更容易夺取系统和资产的密钥，而这些做法造成的盲点则为他们在组织系统内移动和驻留提供了空间。
私钥被盗
私钥用于解密信息，每个用户和机器都使用它们。相比之下，公钥可以验证加密通信的发送者是否是他们所说的人。如果这些密钥被泄露，攻击者可以进行中间人攻击，在传输过程中拦截和解密通信。或者，根据证书类型，不良行为者还可能签署恶意软件或颁发欺诈性证书，从而实现其他形式的攻击。
一旦拥有正确的钥匙，攻击者就可以打开无数扇门。针对 PKI 的攻击包括社会工程、软件漏洞、供应链攻击和侧通道攻击（等等）。
为了保护它们，私钥应存储在硬件安全模块 (HSM) 上并定期轮换。当然，它们应该仅限于那些需要根据最小权限原则访问的用户和服务。采取这些步骤后，您可以监控并记录访问尝试以检测可疑行为，同时持续监控和清点您的 PKI。集中 PKI 和证书管理、实现主动发现并定义防止影子 PKI 的策略将使组织能够更好地应对针对 PKI 的不断演变的攻击。
过时的协议和弱密钥
当加密算法、工具、最佳实践甚至供应商不再能够抵御新威胁时，它们就会失宠。毕竟，攻击者总是在升级自己的能力和工具，就像我们一样。如果 PKI 使用弱密钥或已弃用的协议，攻击者就更容易利用。
关于密钥的一句话：
密钥就像密码，我们以“位”来衡量密钥的长度。更多位更安全。想象一把只有 1 和 0 的密码锁，但有 2,048 个拨盘。
为了安全起见，不同类型的密钥有不同的建议位长度。这些都是不断变化的。
较长密钥的缺点是需要更多计算能力，这可能会影响 PKI 流程的成本和速度。
较新的算法旨在将效率与规模相结合，同时考虑后量子计算。
攻击者可以更轻松地暴力破解弱密钥，确定密钥的加密散列的冲突，或对原始密钥进行逆向工程。他们可以利用已弃用的协议和算法中的已知漏洞，并在不同级别和入侵点进行攻击。
审核您的 PKI 是否有过时的协议和弱密钥，并更新所需的内容。您应该使用 TLS 1.2 或更高版本，并且不应使用 WEP、DES、RC4 或 MD5。然后设置控件以频繁轮换密钥并限制允许尝试错误密钥输入的次数。
证书颁发机构受损
数字证书由称为证书颁发机构 (CA)的可信来源颁发。 CA 存在于信任层次结构中。顶部是根 CA，也称为信任锚。中间 CA 构成下一层，发行 CA 位于底部。组织混合使用公共和私有 CA。根据 Keyfactor 研究，平均组织使用 9 个。
与数字证书一样，CA 也有自己的私钥。攻击者可以窃取这些私钥并使用它们来颁发欺诈证书。这使他们能够进行中间人攻击。或者，他们可能使用恶意软件或其他渗透技术来获取由 CA 签名的欺诈证书，而无需其私钥。
必须不惜一切代价保护根 CA。如果有人成功破解它，整个 PKI 就必须从头开始重建。保护它的最佳方法是将其离线存储在 HSM 中。
此外，组织应该很好地构建加密敏捷性并启用批量撤销受损证书、CA 和密钥的流程。
被盗的代码签名密钥
代码签名密钥和证书可验证代码和软件未被篡改或损坏。这些密钥和证书最常被开发人员和 DevOps 团队使用。通过窃取代码签名密钥，攻击者可以签署恶意软件和虚假驱动程序，从而授予他们访问敏感资产的权限。
在没有标准化 PKI 流程或监督的组织中，开发团队通常会采购自己的 PKI 资源并签署自己的证书。这是一个完美的例子，说明安全、政策模糊性和生产力之间的紧张关系如何为各种类型的公司带来不必要的风险。
自签名证书做法不仅安全性较低，而且还常常因 PKI 卫生状况不佳（例如松散的密钥存储）而加剧。因此，它们成为攻击者唾手可得的目标。
最近，CABForum 和 Microsoft一直致力于增强代码签名证书基线要求，以包括组织审查和HSM（硬件安全模块/加密机）验证的要求。揽阁信息提供的Thales Luna HSM拥有FIPS 140-2 Level 3/FISP 140-3 Level 3、CC EAL4+认证，已经被众多PKI系统进行了集成，可使您轻松通过各类国际合规认证，欢迎与我们的安全专家交流讨论，获取我们为您提供的定制化解决方案。
CRL 操纵
证书撤销列表 (CRL) 是撤销或失效证书的清单。将 CRL 视为证书的禁飞清单；当证书过期、被吊销或因泄露而被替换时，证书就会出现在该列表中。
CRL 由 CA 维护。浏览器和应用程序检查 CRL 以确保它们遇到的证书尚未失效。黑客可以操纵 CRL 来伪装证书的吊销状态。
为了访问CRL，攻击者可能通过网络钓鱼或利用软件漏洞窃取CRL的签名私钥。这允许攻击创建一个伪造的、签名的 CRL，从而重新启用可能受损的证书。另一种方法涉及 DNS 欺骗以提供过时的 CRL。
许多组织正在转向OSCP 协议，该协议检查每个单独证书的吊销状态，而不是下载完整的 CRL。进行此转换对于您的组织来说可能是一个很好的举措。
无论如何，您可以通过安全存储密钥、维护严格的访问控制权限以及定期进行安全审核来保护 CRL。
卫生、PKI 治理和工具
PKI 并不难防御攻击者。对 PKI 进行现代化改造，使其运行更加平稳、高效，从而带来巨大的安全收益。
保管好你的钥匙。将它们存储在HSM或软件库中，或者至少存储在本地文件系统上，该文件系统可以在不涉及服务器的情况下生成和存储私钥。让你的钥匙坚固并定期轮换。限制访问并定期更新访问控制列表。
创建 PKI 策略。当有规则时，攻击者的异常行为更容易被发现。主动发现所有证书和加密资产，以便您了解需要保护的内容。将它们整合到一个通用管理平台中。从这种集中化出发，推动安全的政策和程序。
进行日常家务整理。检查错误配置和漏洞、更新访问权限、扫描可疑行为以及缓解 PKI 蔓延 — 这就是组织真正构建安全且灵活的 PKI 的方式。这是一个持续的练习，而不是每年一次的大推动。
安全、基础设施和其他管理 PKI 的团队有很多任务要做。然而，对 PKI 妥协做出反应比从一开始就阻止它的成本和强度要高得多。
揽阁信息可提供的部分安全产品和解决方案信息
联系揽阁信息，您可以获取到更多满足全球合规性要求的信息安全产品资料，以及相关的整体解决方案的相关资料。如：
-
数据库访问控制：揽阁LGPAC系统
-
通用HSM：Luna HSM、ProtectServer HSM
-
支付HSM：payShield 10K
您还可以得到揽阁信息所提供的优质服务。
揽阁信息 · 值得您信赖的信息安全顾问！
联系我们
免费试用留言
客服电话