如果你曾經(jīng)想知道是誰為數(shù)字證書設(shè)定規(guī)則，這種無形的安全網(wǎng)絡(luò)流量支柱，你并不孤單。CA/B論壇可能不是一個家喻戶曉的名字，但它的決策在互聯(lián)網(wǎng)上產(chǎn)生回響，塑造了信任是如何建立、維護和保障的。
什么是證書頒發(fā)機構(gòu)/瀏覽器（CA/B）論壇？
把CA/B論壇視為一個全球圓桌會議，其中Chrome、Apple、Mozilla等瀏覽器與Cisco等科技領(lǐng)袖坐在一起，與包括GlobalSign、Sectigo等在內(nèi)的證書頒發(fā)機構(gòu)（CA）進行交流。在過去的20年里，這個小組一直在默默制定使安全瀏覽成為可能的標(biāo)準(zhǔn)。他們的使命是什么？創(chuàng)建和完善支撐PKI的技術(shù)規(guī)則，PKI是一個用于驗證網(wǎng)站、加密數(shù)據(jù)和保護用戶的系統(tǒng)。
這是怎么工作的？
論壇每年舉行三次面對面會議，地點在南半球、歐洲以及最后在十月份的美洲之間輪換。在此期間，成員每周和/或每兩周召開一次虛擬會議，并分成專門的工作組，專注于服務(wù)器證書、代碼簽名、驗證等領(lǐng)域。
會員資格并不向任何人開放。CA 必須滿足嚴(yán)格的審計和操作要求才能加入。一旦加入，成員提出更改——稱為投票草案——這些草案在投票前需要得到兩個支持。如果一項投票草案通過，它將成為正式要求的一部分。CA 必須遵守，否則將面臨失去瀏覽器信任的風(fēng)險，這對他們的業(yè)務(wù)來說可能是災(zāi)難性的。
為什么47天有效期的改變很重要
近年來最具顛覆性的變革之一，是將 SSL/TLS證書有效期從398天縮短至2029年僅剩47天的決策。該提案最初由谷歌提出，目標(biāo)有效期為90天，而蘋果隨后以47天的提案加速了行業(yè)討論進程。
推動縮短壽命的主要原因有兩個：
·安全性 - 更短的有效期意味著被泄露的密鑰有更少的時間被利用。
·敏捷性 - 組織必須加快證書輪換速度，這歷來是其薄弱環(huán)節(jié)。即便發(fā)生安全漏洞時，許多團隊仍反應(yīng)遲緩，導(dǎo)致用戶暴露在風(fēng)險中。
“更短的有效期迫使證書使用者提升敏捷性，過去十到二十年來，這始終是整個公鑰基礎(chǔ)設(shè)施生態(tài)系統(tǒng)面臨的核心威脅之一。” – Arvid Vermote
PKI治理格局的演變
敏捷性不僅在于加快證書輪換速度，更在于為后量子時代做好準(zhǔn)備。專家預(yù)測，RSA加密技術(shù)可能在5至10年內(nèi)被攻破。盡管目前尚未有后量子密碼學(xué)（PQC）算法獲得公開發(fā)行的認(rèn)可，但一旦有算法獲批，組織機構(gòu)就需要立即轉(zhuǎn)向采用。
正因如此，混合式PKI模型——即企業(yè)同時依賴公共與私有信任鏈的模式——正逐漸失去可行性。隨著標(biāo)準(zhǔn)快速演進，許多企業(yè)正回歸公共信任模型來管理關(guān)鍵證書，并將內(nèi)部PKI外包給可信賴的供應(yīng)商。
現(xiàn)在投資敏捷性，意味著將來少些煩惱。這不僅是技術(shù)層面的轉(zhuǎn)變，更是戰(zhàn)略層面的調(diào)整。
PKI的未來發(fā)展方向是什么？
人工智能正在深刻改變安全格局。雖然它不會從根本上改變公鑰基礎(chǔ)設(shè)施的核心運作方式，但正在加速兩大變革進程。
首先，人們對RSA算法被攻破的擔(dān)憂日益加劇。人工智能可能為研究人員提供更高效破解RSA加密的新工具，這將加速推動量子安全的密碼學(xué)發(fā)展進程。
其次，我們正見證身份驗證自動化進程的穩(wěn)步推進。諸如掃描護照或通過公證處核實文件等曾需人工操作的任務(wù)，如今越來越多地由人工智能承擔(dān)。這種轉(zhuǎn)變使得高可信度證書的簽發(fā)更加快捷高效，同時確保了信任度的維持。
CA/B論壇不僅是一個政策制定機構(gòu)，更是推動變革的催化劑。其決策正引領(lǐng)互聯(lián)網(wǎng)邁向更敏捷、更安全且具備量子就緒能力的未來。對于IT領(lǐng)導(dǎo)者和安全團隊而言，信息已然明晰：敏捷性不再是可選項，而是新的基準(zhǔn)線。
