Định nghĩa về PKI trong Cloud

PKI dựa trên đám mây, còn được gọi là PKI dưới dạng dịch vụ, là giải pháp
thay thế hiện đại cho việc triển khai on-premises PKI. Nó đề cập đến khung nơi
PKI được lưu trữ và duy trì trên đám mây và được cung cấp dưới dạng dịch vụ
cho khách hàng theo yêu cầu. Khách hàng nhận được tất cả các lợi ích của PKI
chính thức mà không phải gặp khó khăn với chi phí lưu trữ, bảo trì và cơ sở hạ
tầng vật lý liên quan.
PKI dưới dạng dịch vụ (PKIaaS) cung cấp các dịch vụ PKI được quản lý tuân
thủ thông qua nền tảng đám mây cho phép doanh nghiệp thiết lập hệ thống phân
cấp của cơ quan cấp chứng chỉ (CA) mạnh mẽ và an toàn để cấp chứng chỉ tin
cậy riêng. Không yêu cầu chuyên môn về PKI và không cần mua hoặc quản lý
phần cứng hoặc phần mềm.

Ưu điểm của hệ thống PKI trong điện toán đám mây

 Dễ dàng triển khai:
Với hạ tầng PKI dựa trên đám mây, toàn bộ cấu trúc hệ thống CA để phát
hành các loại chứng chỉ đơn vị cuối có thể được tạo ra trong đám mây
thông qua nhà cung cấp dịch vụ PKI một cách dễ dàng và nhanh chóng.
Khung công cụ này không chỉ loại bỏ sự phức tạp trong việc thiết lập và
duy trì hạ tầng phức tạp, mà còn cải thiện hiệu suất vận hành.
 Hệ thống PKI bảo mật và tuân thủ quy định:
Các nhà cung cấp PKI dựa trên đám mây sẽ xử lý quá trình tạo ra root CA
và trong một số trường hợp cho phép doanh nghiệp thiết lập root CA từ
xa, với mức độ bảo mật cao nhất. Với điều này, các chức năng tạo ra root
CA giống như quá trình tạo chìa khóa cũng được thực hiện từ xa và an
toàn. Hơn nữa, cặp khóa của CA được tạo ra hoặc lưu trữ trong các thiết
bị lưu trữ tiên tiến và bảo mật như thiết bị bảo mật phần cứng tuân thủ
tiêu chuẩn FIPS (HSM). Thêm vào đó, các giải pháp PKI dựa trên đám
mây được trang bị tự động hóa giúp thực thi một chính sách PKI nhất
quán cho việc phát hành và quản lý chứng chỉ và khóa, từ đó cải thiện bảo
mật và giúp đảm bảo tuân thủ quy định.
 Quá trình Quản lý và Vận hành PKI đơn giản:
Các giải pháp PKI dựa trên đám mây cũng được trang bị tính năng quản
lý và Vận hành toàn bộ quá trình hoạt động của chứng chỉ được tích hợp
và có sẵn từ trước (CLM) giúp tự động hóa toàn bộ quá trình vòng đời
của chứng chỉ, bao gồm phát hiện, đăng ký, cài đặt, gia hạn và thu hồi,
bất kể CA nào phát hành chúng.
 Tự động hóa CLM cung cấp khả năng quản lý chứng chỉ tập trung và hiển
thị toàn diện trên môi trường đa đám mây, các thiết bị mạng, DevOps,
containers, vv. Điều này giúp đơn giản hóa quản lý và vận hành PKI cho
các doanh nghiệp.
 Cơ sở hạ tầng có khả năng hoạt động liên tục và mở rộng linh hoạt
Khi các ứng dụng hiện đại ngày càng phát triển , thời gian của chứng chỉ
ngắn hơn , số lượng chứng chỉ số được sử dụng trong một tổ chức tăng
lên. Với PKI dựa trên đám mây, các doanh nghiệp có một hệ thống PKI
linh hoạt có thể mở rộng nhanh chóng theo nhu cầu mà không cần lo lắng
về sự gián đoạn trong hoạt động.
PKI dựa trên đám mây được cung cấp với khả năng không giới hạn và có
thể được mở rộng hoặc thu hẹp tùy thuộc vào nhu cầu kinh doanh. Vì
việc nâng cấp cơ sở hạ tầng hoàn toàn được xử lý bởi nhà cung cấp dịch
vụ PKI, các doanh nghiệp không cần phải lập kế hoạch để thiết kế lại cơ
sở hạ tầng để đạt được khả năng mở rộng.
 Giảm Tổng chi phí đầu tư (Total Cost of Ownership - TCO)
PKI dựa trên đám mây Không đòi hỏi các doanh nghiệp phải đầu tư vào
phần cứng và phần mềm đắt đỏ cần thiết để vận hành PKI. Các doanh
nghiệp có thể sử dụng dịch vụ PKI bằng hình thức thanh toán theo nhu
cầu sử dụng. Các doanh nghiệp cũng tiết kiệm được chi phí tuyển dụng
nhân viên PKI chuyên dụng và kiến thức cần thiết để thiết lập, vận hành
và duy trì cơ sở hạ tầng. Do đó, chi phí ít hơn rất nhiều so với PKI truyền
thống trên nền tảng tại chỗ.
Thách thức của PKI on-cloud
Chúng ta không thể ngồi yên và thư giãn chỉ bằng cách triển khai một PKI trên
các ứng dụng kinh doanh và dữ liệu được chuyển đến đám mây, vì khi dữ liệu
di chuyển đến đám mây, xuất hiện nhiều vấn đề khác nhau, chẳng hạn như:
 Mất đi sự kiểm soát hoàn toàn đối với dữ liệu đã di chuyển lên đám mây:
Doanh nghiệp không còn quyền kiểm soát trực tiếp các khía cạnh liên
quan đến dữ liệu, như vị trí lưu trữ, quản lý truy cập và bảo mật. Thay
vào đó, dữ liệu được lưu trữ và xử lý trên cơ sở hạ tầng đám mây của nhà
cung cấp dịch vụ, và do đó, doanh nghiệp phải dựa vào họ để đảm bảo an
toàn và bảo mật của dữ liệu. Mất sự kiểm soát cũng có thể ảnh hưởng đến
khả năng xác thực và quản lý danh tính trong môi trường đám mây. Việc
xác định và kiểm soát quyền truy cập vào dữ liệu và các tài nguyên trong
 môi trường đám mây có thể trở nên phức tạp hơn khi không có sự kiểm
soát trực tiếp từ phía doanh nghiệp
 Làm thế nào chúng ta có thể đảm bảo rằng nhà cung cấp dịch vụ đám
mây (CSP) đảm bảo tính bảo mật của khóa của chúng ta?
CSP đã triển khai những cơ chế kiểm soát truy cập chặt chẽ như thế nào.
Điều này đảm bảo rằng chỉ những người được ủy quyền mới có thể truy
cập vào các khóa và thông tin liên quan. Cơ chế kiểm soát truy cập phải
được thiết lập một cách nghiêm ngặt để đảm bảo rằng chỉ có các bên có
quyền truy cập và quản lý khóa.
Sự phân tách nhiệm vụ (SOD) cũng là một yếu tố quan trọng trong việc
đảm bảo an toàn cho các khóa. CSP cần thiết lập các chính sách và quy
trình đảm bảo rằng vai trò và nhiệm vụ liên quan đến quản lý khóa được
phân tách một cách rõ ràng và không có sự chồng chéo. Điều này giúp
đảm bảo tính toàn vẹn và bảo mật của quản lý khóa.
Ngoài ra, chính sách và quy định của CSP cũng đóng vai trò quan trọng
trong việc đảm bảo an toàn của khóa. CSP cần thiết lập các quy định rõ
ràng và bắt buộc về bảo mật để đảm bảo rằng khóa của khách hàng được
bảo vệ một cách an toàn. Việc xác định các quy tắc và tiêu chuẩn bảo mật
cần được thực hiện và tuân thủ một cách nghiêm ngặt.
Sự đảm bảo rằng CSP không có khả năng truy cập vào các khóa của họ.
Điều này đòi hỏi CSP cung cấp các cơ chế bảo mật chặt chẽ để đảm bảo
rằng dữ liệu khóa của khách hàng được bảo vệ và không thể truy cập từ
xa thông qua các giao diện SaaS (Software as a Service)
 Việc quản lý và bảo mật chìa khóa khách hàng:
Nếu triển khai PKI thông qua một nhà cung cấp giải pháp bên thứ ba,
điều quan trọng là xem xét về bảo mật và quản lý chìa khóa. Có những
câu hỏi cần được đặt ra về vị trí và cách sử dụng chìa khóa trong hạ tầng
của nhà cung cấp. Hiểu rõ mô hình quản lý chìa khóa mà nhà cung cấp sử
dụng là rất quan trọng, vì nó quyết định cách chìa khóa được bảo vệ.
Một khía cạnh khác cần xem xét là rủi ro liên quan đến các sự cố hỏng
máy ảo (VM), chẳng hạn như việc đánh cắp bản snapshot VM. Trong
trường hợp như vậy, liệu khóa có tồn tại trong snapshot và trong bao lâu.
Nếu khóa được bao gồm trong snapshot, có nguy cơ mất khóa và cần xác
định các biện pháp phòng ngừa để bảo vệ khóa trong tình huống này.
 Các biện pháp bảo mật và kiến trúc đúng để đảm bảo tính riêng tư, an
ninh và độc lập giữa các khách hàng khác nhau.
 Để đạt được mục tiêu này, nhà cung cấp PKI SaaS cần triển khai các biện
pháp bảo mật mạnh mẽ. Các biện pháp này bao gồm việc áp dụng các
quyền truy cập kiểm soát chặt chẽ, như chia sẻ nguyên tắc của vai trò
(segregation of duties) và chính sách quản lý truy cập. Nhà cung cấp cũng
cần đảm bảo rằng chìa khóa của khách hàng được lưu trữ và quản lý một
cách an toàn và tin cậy, đảm bảo rằng không có ai, kể cả nhân viên của
nhà cung cấp, có thể tiếp cận được chúng.
Ngoài ra, vấn đề liên quan đến đa khách hàng (multi-tenant) cũng là một
yếu tố quan trọng cần được xem xét. Nhà cung cấp PKI SaaS phải thiết
lập các biện pháp và kiến trúc đúng để đảm bảo rằng dữ liệu của từng
khách hàng được phân tách và bảo mật một cách đáng tin cậy, ngăn chặn
bất kỳ sự xâm nhập hoặc truy cập trái phép giữa các khách hàng khác
nhau.
 Sau khi hệ thống trong đám mây bị vô hiệu hóa, làm thế nào để đảm bảo
rằng dữ liệu được xóa hoàn toàn khỏi các hệ thống?
Sau khi các hệ thống trong đám mây bị vô hiệu hóa, việc đảm bảo rằng
dữ liệu đã được xóa hoàn toàn khỏi hệ thống là một vấn đề quan trọng.
Trong môi trường đám mây, việc quản lý và xóa dữ liệu đòi hỏi sự chú ý
đặc biệt để đảm bảo rằng không có thông tin nhạy cảm nào còn lại và
không thể khôi phục được.
Việc xóa dữ liệu hoàn toàn có thể gặp khó khăn trong môi trường đám
mây. Do tính chất phân tán và sao lưu tự động của hệ thống đám mây, các
bản sao dữ liệu có thể tồn tại trên nhiều nút và kho lưu trữ khác nhau.
Điều này đòi hỏi quá trình xóa dữ liệu phải đảm bảo rằng tất cả các bản
sao và các địa điểm lưu trữ dự phòng đã được xóa một cách an toàn và
không thể khôi phục được.
việc xác định và xóa toàn bộ các mảnh dữ liệu và meta dữ liệu liên quan
cũng là một thách thức trong việc đảm bảo rằng dữ liệu đã bị xóa hoàn
toàn. CSP cần áp dụng các quy trình và công cụ xóa dữ liệu phù hợp để
đảm bảo tính toàn vẹn và an toàn của dữ liệu.