8 Practical PKI Uses & Applications That Drive SMB Security

超过一半的Verizon 2025年数据泄露调查报告(DBIR)中调查的入侵事件源于系统入侵。发现每个中小型企业都可以实施的PKI用例，以最小化这些风险（和其他风险）

在我们之前的文章中，我们向您介绍了公钥基础设施(PKI)，这是一个使各种规模的组织能够预防网络安全威胁并最小化攻击风险的框架。从保护电子邮件和网站数据到为软件和网络设备添加安全层，有许多PKI用途和应用是每个中小企业都应该知道的。

现在，我们将探讨八个具体的PKI用例，展示中小企业如何利用这项技术获得优势。

8个PKI使用示例及其为组织带来的益处

PKI使用数字证书和加密密钥对来保护公共和私人资源。尽管人们通常将其与SSL/TLS证书相关联，但PKI是一套多功能工具和一个框架，可以做的远不止"仅仅"保护网站和应用程序。

以下是一些PKI用途，可以帮助您将网络安全计划付诸行动，所有这些都不会让您破产。

1. SSL证书保护您的网站数据和交易

从最明显和常见的PKI用途开始似乎很合适：安全套接字层/传输层安全(SSL/TLS)证书。这种类型的数字证书可用于保护内部和外部站点资源——例如，面向公众的网站和Web应用程序，以及内部网站点和Web应用程序。这里的区别归结为您是使用公共证书还是来自内部信任的证书颁发机构（即私有PKI）的证书。

当您在面向公众的Web服务器上安装SSL/TLS证书时，PKI将其与相关的密钥对一起使用以：

• 向客户端（即客户用于访问您网站的任何设备/浏览器）验证您网站的身份，
• 通过安全传输通道保护双方之间交换的信息（例如，密码、信用卡数据）以防止被拦截，
• 保护传输的完整性，防止恶意第三方篡改。

注意： 公开信任的SSL/TLS证书最长有效期为398天。然而，到2029年，它们的有效期将降至47天。

此PKI用例如何为您的组织工作的示例

让我们看看这个公开信任的SSL/TLS证书的PKI用例。

在客户在您网站上下订单之前，他们会想要验证您的网站是否合法。使用组织验证(OV) SSL/TLS证书（至少），他们只需单击浏览器网址栏中网站URL旁边的挂锁图标（在Firefox中）或调谐图标（在Chrome中）。这将带来选项，用户可以在其中查看您组织的站点SSL/TLS证书中的主题详细信息：

图像说明：此屏幕截图显示了Google Chrome中gordonramsayrestaurants.com的SSL/TLS证书的组织详细信息。在这种情况下，该站点使用扩展验证(EV) SSL/TLS证书来显示有关拥有该站点的公司的额外验证信息。

现在，让我们谈谈保护。客户下订单并需要登录进行在线支付。如果您已正确安装和配置证书，那么您可以利用PKI的力量（包括安全加密协议、算法和站点的SSL/TLS证书用于服务器身份验证）来确保客户端和您的Web服务器之间交换数据的机密性和完整性。

没有它，坏人可以使用中间人攻击(MiTM)来：

• 拦截传输中的数据，
• 窃取信用卡详细信息和个人身份信息(PII)，和/或
• 进行其他邪恶行为。

2. 通过端到端安全对电子邮件进行数字签名和保护

PKI的用途和应用不仅限于保护网站。您知道PKI技术还直接为您的出站电子邮件消息添加安全层吗？以下是方式：

• 加密邮件服务器的通信通道。 您可以在电子邮件服务器上安装SSL/TLS证书，通过安全连接传输消息。这保护您的电子邮件免受MitM攻击，否则这些攻击可能使黑客能够窃取您的数据、在传输中更改数据或导致数据机密性问题。
• 证明您消息的真实性和完整性。 安装S/MIME证书（即电子邮件签名或个人身份验证证书）使您能够向电子邮件添加加密数字签名。这使用加密哈希向收件人证明自发送者签名以来您的消息未被更改。
• 在电子邮件内容离开收件箱之前保护它们。 S/MIME证书还使您能够在双方（即发送者和接收者）都使用有效S/MIME证书时加密消息。此PKI用例帮助您保护通信的机密性。

此PKI用例如何为您的组织工作的示例

想象您需要通过电子邮件与另一个地理区域的同事分享潜在客户的个人信息。您希望收件人知道消息是合法且未受损害的，因此您向消息添加加密数字签名以进行身份验证并保护其完整性。

幸运的是，您的同事也有S/MIME证书，因此您要求他们发送数字签名的消息，以便您可以获取其证书公钥的副本。（这允许您使用同事的密钥加密电子邮件本身的内容以保护客户的隐私。）由于消息是通过安装了SSL/TLS证书的电子邮件服务器发送的，因此此S/MIME加密和数字签名的消息也通过安全通道传输。

总之，这些安全措施促进了端到端加密，因为电子邮件在传输中和在收件人收件箱中静止时都是安全的。

图像说明：此电子邮件屏幕截图中的挂锁图标表示电子邮件已加密；证书丝带表示消息已数字签名。

3. 保护您的软件和代码的完整性和声誉

您创建了新的软件应用程序、驱动程序或其他类型的代码吗？那是另一个完美的PKI用例。在代码签名证书及其公钥和私钥对（后者存储在安全硬件上）的支持下，PKI让您：

• 将唯一数字签名附加到您的新代码上。 把它想象成张贴一个标志，上面写着"嘿，我做了这个。因此，您可以信任它。"
• 证明没有人未经授权修改了软件。 通过使用加密数字签名保护代码的完整性，您提供了保证和验证方式，证明下载和安装是安全的。

使用代码签名证书通过保护软件应用程序产品免受篡改来提升您的声誉。

此PKI用例如何为您的组织工作的示例

假设我们的示例客户从您的网站购买了软件程序。如果您使用代码签名证书向代码添加数字签名，用户将立即知道他们是否可以信任并安装该应用程序。

简而言之，以下是PKI如何施展魔法。当客户下载您的软件时，他们的客户端生成一个新的签名哈希，并将其与您签署代码时创建的原始哈希进行比较。

• 如果哈希值匹配，则软件可以安全安装。
• 如果不匹配，用户会收到警报，并且安装被阻止。

下面的示例显示了当我的同事哈希一个.txt文件，对文件进行更改，然后使用相同命令（在这种情况下：certutil -hashfile c:\example-filepath\test_document_name.txt SHA256）重新哈希文件时会发生什么：

图像说明：显示哈希文件时发生情况的示例。如果您进行微小更改（即添加句点）然后重新哈希，哈希值完全改变。

这实现了什么？它指示您的软件应用程序或代码在签名后是否被更改。

4. 保护您的软件供应链免受网络威胁

公开信任的代码签名证书做的不仅仅是让恶意软件远离并保护其免受篡改。它还保护您的软件供应链免受攻击。如何？通过使用PKI帮助从开始到结束保护您的代码：

• 在完整的软件开发生命周期(SDLC)中签署每个组件。 它帮助您预防和识别恶意代码注入，保护您的组织和客户免受恶意软件感染。
• 培养安全开发最佳实践。 团队中的每个人都对代码的安全负责。因此，创建的每个应用程序将更稳定、更易于维护，并且对潜在攻击更具弹性。

专业提示： 软件物料清单(SBOM)列出了代码或软件应用程序中的所有组件。使用代码签名证书对其进行签名将为您的软件供应链添加另一层保护。

此PKI用例如何为您的组织工作的示例

假设您是一家小型软件发布商，客户从您那里购买的代码是由您的团队内部开发的。为了向代码添加另一层保护，您决定使用PKI。

如何？通过在构建阶段开始时签署代码。然后您自动化代码签名并将其嵌入到您的SecDevOps持续集成和持续交付(CI/CD)流程中。任何后续补丁和更新也应进行数字签名。

图像说明：图形显示PKI如何与您的CI/CD流程集成。

砰。您通过确保源代码及其组件在SDLC的每一步都受到防御黑客的保护，大幅降低了漏洞风险。此外，您的开发人员可以随时验证代码的完整性和真实性，无论开发处于哪个阶段。再见，受感染或易受攻击代码的部署。

专业提示： 如果您创建Excel宏并拥有代码签名证书，您也可以对它们进行签名。

5. 证明您的文档是真实和合法的

您是否以PDF格式发送发票或在组织内交换信息？Check Point Research团队最近发现，2024年22%的恶意电子邮件附件攻击利用了常用的PDF格式。

文档签名证书是一个PKI用例，可保护您宝贵的Microsoft Office和Adobe PDF文档免受恶意软件感染。因此，每次您的签名添加到用户下载或打开的文档时，PKI：

• 断言您的数字身份。 数字签名将确认PDF是合法的，并且没有被伪造的PDF替换。
• 使他们的操作系统能够比较签名哈希。 这个简单的操作让用户验证自文档签署以来是否有人修改过它。
• 有助于您组织的声誉并建立对其产品的信任。 数字签名就像一个质量标签，让您立即建立对品牌和产品的信任。

此PKI用例如何为您的组织工作的示例

让我们回到前面示例中的您的客户。想象客户现在想注册您的一项服务。他们需要数字签署合同，而您希望他们感到自信，知道文档是合法的并且确实来自您的公司。

猜猜怎么着？PKI技术在这里也有帮助。从受信任的CA或经销商（如SectigoStore.com）购买文档签名证书，并使用它向文件应用数字签名。一旦您加密签署了PDF，事情就完成了。PKI将向任何打开它的人保证您制作了该文档，并且自您签署以来恶意第三方没有篡改它。

图像说明：图形显示PKI在确认文档真实性和完整性方面的重要性。

6. 保护和验证网络上物联网设备的身份

在2024年12月底到2025年初之间，全球关键服务通过大规模僵尸网络DDoS攻击被瘫痪，这些攻击利用了人工智能(AI)的力量并利用了物联网(IoT)设备的漏洞（例如，硬编码的默认密码）。

考虑所有连接到您组织网络的IoT和个人设备。现在，想象这样的攻击可能对您的公司造成的损害，考虑到2024年数据泄露的平均成本高达488万美元。可怕，对吧？

PKI和设备证书通过识别和验证网络内的硬件而无需物理密码和用户名，让您安心。使用我们已经探讨过的相同过程，PKI与设备证书携手合作以：

• 证明连接硬件的真实性。 IoT设备，如无线摄像头、路由器、恒温器和无线打印机。
• 管理它们的身份和安全。 每个IoT设备获得自己的数字证书，证明其身份。
• 确保只有授权和验证的设备访问您组织的资源。 当您采用这种方法时，流氓设备成为过去的问题。

专业提示： X.509证书和PKI几乎适用于任何类型的IoT设备，甚至适用于您的自动驾驶汽车、智能冰箱或监控系统。

此PKI用例如何为您的组织工作的示例

IoT设备往往比其他设备更容易受到攻击，这不是秘密。然而，这并不意味着它们对您的业务不利，或者您应该停止使用它们。例如，考虑无线安全摄像头。安装在您的场所，它们保护您的财产物理安全，只要它们不被无人管理或篡改。

因此，当您安装它们时，为每个配备一个IoT设备证书。与其他PKI证书一样，IoT设备证书包括识别信息（在这种情况下，关于特定设备）并与公钥-私钥对结合。然而，这些证书的不同之处在于，专门的IoT PKI颁发它们，并且它们通常有不同的用途和更长的寿命。当您打开无线摄像头时，设备和服务器在后台自动进行身份验证（即相互身份验证）。无需密码。现在，您可以确保只有授权的IoT设备可以访问您组织的网络及其敏感资源。

图像说明：图形显示PKI IT安全如何促进网络内IoT设备和IoT服务器身份验证。

7. 提供安全的虚拟专用网络(VPN)身份验证

ZScaler ThreatLabz 2025 VPN风险报告发现，56%的受访公司难以保持其VPN连接的安全和合规。听起来熟悉吗？基于PKI证书的身份验证通过以下方式提升您的VPN安全性：

• 允许用户无风险连接。 如果您一开始不使用此类访问凭据，用户ID和密码无法通过网络钓鱼攻击或键盘记录器窃取。
• 在后台验证用户身份。 PKI过程使用受信任CA审查并嵌入到设备证书中的信息来确认用户的合法性。

图像说明：屏幕截图显示特定VPN解决方案的导入证书功能。

专业提示： VPN并不总是容易集成到安全基础设施中。然而，Sectigo Certificate Manager简化了在单一窗格中颁发和管理证书。

此PKI用例如何为您的组织工作的示例

想象一下：今天是您的休息日。您正在您最喜欢的咖啡店享用卡布奇诺。然而，像许多企业主一样，您无法不去想您和团队一直在做的那个关键项目，并觉得必须检查其状态。为了安全访问您组织的项目跟踪工具，您打开VPN，以便您的PKI客户端证书可以保护您的连接免受窥探者和MitM攻击。

而不是被提示输入用户名和密码（在使用咖啡店未受保护网络时可能被窃取或监视），PKI通过使VPN自动识别和验证您的设备来翻转脚本。瞧。您现在可以访问您的项目管理工具，查找任何更新，并最终享受您的休息日，确信一切都在正轨上。

8. 保护您的基于云的应用程序和服务

云安全联盟将身份和访问安全控制识别为2025年保持云服务安全免受当今最危险威胁（例如，数据泄露、基于AI的攻击和勒索软件）的顶级基本行动之一。为什么？因为如果没有经过验证的身份和身份验证，任何有权访问API的人都可能请求数据，导致未经授权的访问、数据泄露和一系列其他问题。

再次，PKI促进基于证书的身份验证以保护API访问和用户登录。这样，云应用程序和服务可以使用相互身份验证（即mTLS）以：

• 立即验证用户、服务和应用程序的身份。 所有这些操作都在不请求密码的情况下执行，从而降低泄露风险。
• 阻止流氓设备访问您的API。 使用mTLS，客户端和服务器必须相互验证以建立连接。这防止坏人使用没有有效证书的劣质设备破坏您的API。

图像说明：图形显示云应用程序和服务PKI身份验证的高级概述。

注意： 尽管自签名证书便宜且方便，但它们也不会（也不应该）让您访问那些使用基于证书的身份验证的应用程序和API，因为它们不受信任。

此PKI用例如何为您的组织工作的示例

假设您有一个云应用程序，其中包含仅由少数员工访问的客户敏感信息。您已经使用SSL/TLS证书保护它，以便所有交换的数据都通过超文本传输安全协议(HTTPS)连接。

您还设置了密码保护访问，并通过白名单限制对特定IP地址的访问。然而，您仍然感到不安——这是正确的，考虑到Specops的最新分析确认2.3亿个被盗密码符合标准复杂性要求。

PKI在这种情况下也有帮助吗？当然。与其让授权用户依赖可能被网络钓鱼、窃取或猜测的密码，他们可以改用服务器将识别为唯一标识符的设备证书。因此，当您的员工尝试访问应用程序时，客户端和服务器交换它们的证书并相互验证。然后客户端可以通过加密连接访问应用程序。

如果攻击者尝试在没有设备证书或使用自签名证书的情况下访问您的应用程序？连接将立即终止，他们将被拒绝访问。

关于中小企业PKI用途和应用的结语

您意识到有这么多针对中小企业的PKI用例吗？PKI和数字证书是一种令人惊讶的负担得起的方式来保护您的资产和组织。它们还将帮助您实施零信任安全策略，其中默认情况下没有人受信任，并且每个人的身份都经过验证。

是时候用企业级安全赋能您的小型企业了。选择您最喜欢的PKI用例，使用数字证书实施它们，并将您的被动组织转变为客户可以信任的主动和有弹性的公司。