9亿美元且持续增加——这是UnitedHealth集团因弱认证实践导致的数据泄露和勒索软件攻击所付出的代价。基于PKI证书的认证并非新技术，但它增加了一层保护。以下是其工作原理…
每天，新闻头条都充斥着关于恶意网站、受恶意软件感染的软件和网络钓鱼邮件骗局的丑陋而可怕的报道。那么，在线环境中，你可以信任谁或什么呢？
公钥基础设施（PKI）认证帮助你回答这个关键问题。它使你能够向客户证明什么是真实的，并在数字身份、数据完整性和真实性始终受到质疑的世界中赢得信任。
你准备好了解更多关于PKI认证的知识，并发现它如何帮助你在信任与欺骗的战争中获胜了吗？让我们开始吧。
什么是PKI认证？
基于PKI的认证是一系列旨在通过使一方或双方能够验证连接另一端实体来保护在线通信的过程、工具和策略。但基于PKI的登录功能不止于此。
当正确实施时，基于PKI的认证利用数字证书和加密密钥对（稍后会详细说明）来验证实体（即用户、服务器或设备）确实如其声称的身份。例如，它让你安全地访问虚拟专用网络（VPN）和Wi-Fi。它还在你对文档、代码和电子邮件进行数字签名时确认你的身份。
这是确保在线互动安全的基本步骤，回答了“你是谁？”这个问题。
![图片说明：截图显示了PKI认证有助于提高安全性的几个例子。]
8个你可以在组织内使用的基于PKI的认证实例
PKI认证就像咖啡一样。它如此多功能，以至于随处可见——从在线银行和电子邮件到你办公室里的智能设备。猜猜怎么着？如果你拥有一台智能咖啡机，它也在里面。让我们看看如何在你的业务中使用基于证书的认证的几个例子。
1. 网站的PKI认证
想象一下，客户想在您的在线商店下订单，但犹豫是否输入他们的信用卡详细信息和个人信息。为什么？因为用户不知道谁真正在你的在线商店背后，并且被他们网站上看到的“此连接不安全”消息吓到了。
PKI认证帮助您解决这个问题，提供保证您确实是您的保证。它允许客户的Web浏览器在建立连接之前对您的服务器进行身份验证。这样，用户可以确定他们正在访问一个合法的网站。
为了尽可能确定，客户可以手动验证您用于PKI认证的安全套接字层/传输层安全（SSL/TLS）证书中包含的组织信息。如下例所示：
![图片说明：我们在eBay.com上捕获的截图显示了Chrome浏览器显示的Sectigo SSL/TLS证书信息，确认了网站是真实的。]
2. 为您的敏感API和资源提供强大的PKI认证
应用程序编程接口（API）是允许系统和应用程序顺利通信和传输数据的粘合剂。开发团队使用它们来简化工作流程并更快地交付软件。正如您可以想象的那样，这使得API成为网络犯罪分子眼中的诱人目标。
Akamai最新的《应用和API安全状况报告》强调了这些担忧。根据调查，2024年与开放全球应用安全项目（OWASP）API安全十大清单中列出的一个或多个问题相关的网络安全事件同比增长了惊人的32%。
这就是TLS中的相互认证（mTLS）的用武之地。这种更强大的PKI认证类型包含了一个额外的步骤，以进一步保护您的API和其他敏感资源。
如何实现？当您的应用程序请求访问受PKI认证和mTLS保护的API时，API会呈现其SSL/TLS证书。但这还不够。应用程序还必须通过向API发送证书来证明其身份。只有这样，应用程序（以及随之的用户）才能获得对受保护资源的访问权限。
好的。与我们刚刚看到的经典PKI认证方法相比，这是一个额外的步骤。然而，有几家公司使用它。以万事达卡为例。他们的API利用mTLS提供的高级安全性，将敏感资源的访问权限限制在授权用户。
![图片说明：mTLS是PKI认证如何为您的API访问增加一层保护的另一个例子。]
3. 虚拟专用网络（VPN）的基于PKI登录
![图片说明：一些VPN解决方案，例如OpenVPN，允许您导入您的设备证书以提高访问安全性。] VPN允许您安全地连接到网络，隐藏您的IP地址并使用高级加密来保护传输中的数据。它保护您免受中间人（MITM）攻击和旨在窃取您通过互联网交换的信息的窥探者。但它无法做到的是保护您的凭据免受网络钓鱼和基于恶意软件的威胁。
PKI认证可以。它用由您的公司或受信任的证书颁发机构（CA）和供应商（例如SectigoStore.com）颁发的安全数字证书取代您的ID和密码。不再需要凭据，坏人也无法再尝试窃取您的用户名和密码。
这是一个非常好的消息，因为Specops研究团队在短短一年内发现了超过200万个通过恶意软件窃取的VPN密码。
4. 安全Wi-Fi访问的PKI认证
2023年，黑客通过利用一个弱密码摧毁了一家拥有158年历史的运输企业。他们猜中了一名员工的凭据，加密了公司的所有数据，锁定了系统，并要求巨额赎金。由于公司没有钱，最终倒闭了。
是的。基于非PKI的认证有时确实会给您的组织带来麻烦。假设您为Wi-Fi访问实施PKI认证。您的用户无需密码即可连接到您公司的无线网络。消除了根源，问题就解决了。如果您担心网络犯罪分子窃取其证书的私钥，请放心。它们都安全地存储在其设备的可信平台模块（TPM）中，设备用户无法访问。
5. 电子邮件和电子邮件服务器的PKI认证
每年的最后一个季度对每个人来说都是一个激动人心的时刻，尤其是对企业，当然还有黑客。网络星期一、黑色星期五、圣诞节。正如歌曲所说，“这是快乐的季节！”
PKI认证是您抵御网络钓鱼和电子邮件诈骗的最佳防御手段，否则这些可能会对您公司的声誉造成持久损害。当您发送使用安全/多用途互联网邮件扩展（S/MIME）证书签名的电子邮件和新闻稿时，PKI会将您经过验证的数字身份绑定到消息上。
这意味着您的客户和员工将始终确信您发送给他们的消息确实来自您。考虑到皮尤研究中心报告称，63%的美国成年人至少每周收到诈骗邮件（28%表示他们每天收到这些消息），这是一个改变游戏规则的因素。
![图片说明：该图形显示了公钥基础设施认证如何保护您和您的收件人免受网络钓鱼攻击和其他电子邮件诈骗。] 您想感到更安全并遵守谷歌最新的电子邮件发送者的电子邮件安全和认证要求吗？在您的电子邮件服务器上安装受信任的SSL/TLS证书以启用公钥基础设施认证。它将帮助您：
- 保护电子邮件在客户端和服务器之间传输时的安全。
- 增加您的消息成功送达收件人收件箱的机会。
- 尽量减少Gmail将您的电子邮件标记为垃圾邮件、阻止它们，甚至暂时降低您的发送速率限制的风险。
6. MSO和PDF文件的PKI认证
您是否获得了新客户并希望通过电子邮件发送具有约束力的合同或一些法律文件？让我们确保附件不会被篡改，并且客户会立即知道它们来自您（而不是冒名顶替者）。
这将向您的客户表明您非常重视安全，并且您是他可以信赖的合作伙伴。特别是考虑到Check Point报告称，2024年超过22%的恶意电子邮件附件是通过PDF传递的。
因此，购买一个Sectigo文档签名证书，并使用它为您的Microsoft Office（MSO）文件和/或PDF签名。PKI认证将通过您刚刚应用的加密数字签名来断言您的身份。
![图片说明：基于PKI的认证帮助您证明您发送的文档是由您签名的。]
7. 代码、脚本和应用程序的PKI认证
软件发布商在软件开发上投入了大量资金、时间和资源。但如果代码或脚本没有得到充分保护，这一切都将白费。
代码签名证书与PKI认证相结合，让用户的操作系统一次性确认您的身份和代码的完整性。这意味着他们将知道它是由您的私钥签名的，并且自那以后没有人篡改过它。
但不仅如此。PKI认证在您对以下内容进行数字签名时也会发挥其魔力：
- 软件制品：它保护您的持续集成/持续部署（CI/CD）管道免受恶意代码修改。这样，您只将受信任和经过认证的组件部署到生产环境。
- 软件更新：此操作保护您的软件供应链免受可能灾难性的恶意软件感染。
- 软件物料清单（SBOM）：对用于创建应用程序的所有组件列表进行签名可以增强客户对您产品的信心。
![图片说明：公钥基础设施确认您的身份，帮助您保护CI/CD管道免受恶意修改。如果未经授权的修改通过部署，Windows系统将识别数字签名哈希值的差异，并警告用户不要继续安装。]
8. IoT设备的PKI认证
当您走进办公室时灯自动亮起，这不是很棒吗？或者当传感器在机器发生故障前几周就向您发出潜在故障的警报？物联网设备使我们的生活更轻松、更方便。然而，它们也极大地增加了数据泄露的风险。
2025年，超过100万台基于物联网的医疗设备遭到入侵，泄露了患者的敏感数据。此外，同年，BadBox 2.0僵尸网络感染了超过1000万台物联网设备。PKI认证可能不是万能药。然而，它将帮助您保护您的物联网连接。
数字设备证书使您的物联网设备能够向您的网络进行身份验证，而无需可能被泄露的密码。它还通过强加密保护设备和云服务之间交换的数据。
![图片说明：PKI认证甚至保护您的智能咖啡机。]
为什么您应该实施PKI认证？
2024年，电信巨头AT&T遭受了两次大规模数据泄露，暴露了数百万客户的敏感个人信息。该公司现在面临高达1.77亿美元的巨额和解金。
如果这还不是一个足够好的理由来通过实施PKI认证来加强您组织的安全性，那么让我再提供几个理由。PKI认证：
- 增强通信安全性：当您使用PKI时，端到端加密保护您的所有数据传输。这使得坏人更难通过GenAI或传统的MitM攻击窃取敏感信息。
- 它还允许您简化访问和控制流程：告别复杂的密码和笨拙的访问。您现在可以享受更快、更安全的登录。
- 提供可扩展的安全性：无论您是需要对少数还是数百万台设备、用户和资产进行身份验证。任何规模的组织都可以轻松部署基于PKI的登录。
- 促进合规性：实现隐私和安全法规的合规性可能具有挑战性。PKI认证使您走上正轨。
- 确保不可否认性：当您对电子邮件和文档进行数字签名时，PKI认证过程提供了您签署了它们的不可辩驳的证据。
- 增强信任：公钥基础设施认证向客户和合作伙伴证明您认真对待安全和数据保护。数字证书、基于PKI的登录和加密保护在线交易并最大限度地降低攻击风险。
公钥基础设施认证。以下是其工作原理概览
每次我想到PKI认证过程，它都会让我想起日本的交换名片传统。虽然在许多国家，名片只是一种形式，几乎过时了，但在日本，名片交换几乎是一种仪式，可以成就或破坏潜在的业务关系。这个过程遵循精确的步骤，很像PKI认证。
那么，PKI认证是如何工作的呢？假设您的组织刚刚在您的网站上安装了SSL/TLS证书。以下是当客户访问您的网站时，在传统TLS握手认证阶段发生的情况。
步骤#1：连接请求 当客户打开浏览器并输入您网站的URL时，客户端请求建立安全连接。
步骤#2：共享证书 Web服务器向客户端发送其SSL/TLS证书和相关的公钥。像所有公开信任的X.509数字证书（例如S/MIME、代码和文档签名）一样，它由颁发CA签名，并包含有关您组织的所有信息。
步骤#3：证书验证 客户端使用信任链来验证您的SSL/TLS证书是否由受信任的CA颁发。它通过一系列数字签名证书（即根证书、中间证书和叶证书）追溯您的数字证书到颁发它的CA。如果一切顺利，这是客户端与正确服务器通信的第一个证明。
步骤#4：公钥加密 为了最终确认服务器的身份，客户端使用服务器的公钥加密一组数据。然后将其发送到服务器（服务器必须拥有相应的私钥才能进行下一步）。
步骤#5：私钥解密 我们已经到了最后的PKI认证步骤。服务器尝试使用其私钥解密数据。如果操作成功，则确认服务器的身份如其声称的那样。检查。PKI认证完成。
之后，客户端和服务器将建立一个加密会话，以保持交换的数据私密。但如果您选择实施我们上面示例中提到的更强大的mTLS PKI认证呢？
在这种情况下，该过程要求客户端也证明其身份。因此，在客户端验证了服务器的身份之后，它也会将其自己的客户端认证证书发送到服务器。只有在服务器对客户端进行身份验证之后，才会建立加密连接。
![图片说明：该图形显示了基于PKI的认证如何使用SSL/TLS证书工作。]
您想了解更多关于PKI如何工作的信息吗？不要错过我们的PKI文章系列：
关于PKI认证与8个实例的最终思考
保护您的组织并防止客户的敏感数据落入激进的攻击者手中，现在比以往任何时候都更加困难。前所未有的技术进步，例如人工智能工具，使得网络威胁越来越难以对抗。
幸运的是，PKI认证可以提供帮助。基于证书的身份验证可以将您的网站、网络和系统转变为数字可信赖的岛屿，在这里一切都是可验证的、真实的且合规的。所以，获取您的数字证书并开始建立安全和信任。不过，别忘了。为了让PKI认证发挥其魔力，您还需要一个适当的证书和密钥管理生命周期策略。但这就是Sectigo证书管理器存在的原因，对吧？