公共密钥基础设施迁往公有云安全吗?

把诸如公共密钥基础设施这样的安全控制措施迁往云计算确实是可以实现成本节省的，但是云计算的安全措施是否强大到足以确保其安全性呢?

[[117408]]

当你在考虑一个基于PKI的基本系统的不同组成部分时，公共密钥基础设施很显然地在IT领域获得了一个意义深远的立足之地。从证书授权到证书撤销列表再到注册结构，在PKI环境内确保通信的安全性将是一项非常耗费计算资源的任务，这一点是非常显而易见的。有鉴于此，相关的成本支出就会很容易出现失控，这意味着是否需要把所有的PKI迁往云计算就成为了一个非常值得探讨的命题。

一个公共密钥基础设施可以让企业用户在一个公共的网络(例如使用加密密钥对的互联网)中实现安全的数据交换， 并向最终用户授权安全证书。把PKI迁往云计算而带来的便利性是具有深远意义的。同样出于成本方面的考虑，很多在过去回避PKI的企业现在可能会希望重新考虑他们的定位，即基础设施即服务(IaaS)已成为众多企业用户更为经济可行的选择对象。

基于PKI的系统的核心就是证书授权(CA)。CA通过一台指定的内部服务器或服务器集群向最终用户发送授权证书。在大型的全球性组织中，这一个过程可能是相当麻烦的。如果位于每个站点的CA服务器足够强大到能够正常处理CKI环境分配的日常工作负载，那么其网络性能问题就可能不是什么太大的问题。相反，如果这台CA服务器还承担着其它的任务或者它不具备能够胜任这项工作的高性能，那么可考虑采用另一种访问CA的方法。在这两种情况下，把这个任务迁往云计算可能是一个值得进一步研究的课题。

但是，当我们考虑把企业的整个公共密钥基础设施都迁往云计算(例如亚马逊网络服务AWS或谷歌云计算)时，上述的命题就显得过时了。因为我们不仅要把证书授权置于云计算中，而且要把所有的其它相关组件都迁往云计算——即注册机构、证书吊销列表、LDAP服务器等等。我们突然发现，性能方面的问题已不再是一个问题了，因为企业组织都是愿意从供应商处购买足够性能的资源的。

例如我们假设，一个系统管理员想要为他在AWS中的网络设置基本的PKI。管理员秩序配置和部署适宜数量的亚马逊机器镜像(AMI);他/她可以通过同一台显示器配置所有的服务器，其中包括：一台CA服务器、一台证书撤销列表服务器(CRL)服务器以及一台注册机构(RA)服务器。然后，管理员只需简单地把所有网络流量指向这同一组AMI就可以正常开展授权。如果由于某种原因，系统管理员需要在之后增加更多的基础设施，他就可以通过简单的操作来完成这一扩容任务。

把PKI迁往云计算的安全性陷阱

把公共密钥基础设施迁往云计算可能在经济性和操作方便性方面是具有意义的，但是这柄双刃剑的另一面又是什么呢?具有讽刺意味的是，把PKI迁往云计算的问题之一就与安全性相关。

一旦企业决定将其公共密钥基础设施迁往云计算，那么数据的所有者将不再掌握数据的物理控制权。例如，如果云计算公司被提出了一项针对性的诉讼，那么云计算供应商就有可能被迫交出本属于一个完全躺着中箭的第三方的数据——即，它的客户。因为法律对于存储在云计算中数据的实际所有者的解释存在着灰色地带，所以以上的这一情况并不是笔者信口胡诌的。还有，如果一家企业对其云计算供应商不满，那么更换供应商可能并不是一件能够顺利开展的任务。

虽然把公共密钥基础设施迁往云计算可能在很多不同层面上是一项有重大意义的决定，但是真正做出这一决策还是需要高度审慎的态度和经过深思熟虑的。

诸如Gazzang公司这样的企业已经在研究解决这类安全性问题了，如可把这些PKI使用的公共密钥分别置于不同的平台。

尽管还存在着这样那样的问题，但是把公共密钥基础设施迁往基于云计算的平台无疑是一个将发展成为行业***实践的想法。