整合辨識與鑑別機制 生態鏈攜手信任推斷

2023-12-13
在疫情大流行期間民眾可透過手機門號預約施打疫苗,或是政府發放3倍券、5倍券,幕後的身分認證技術正是臺灣網路認證公司(TWCA)所提供。TWCA身為民間最大的憑證發行機構,旗下「TWID身分識別中心」因應國家資通安全研究院(簡稱:資安院)負責推動政府機關導入零信任架構(ZTA),開始提供「TW ZTA零信任服務」,協助落實身分鑑別、設備鑑別、信任推斷。

臺灣網路認證公司產品總監連子清指出,美國國家標準暨技術研究院(NIST)制定的SP 800-207標準,已成為落實零信任概念的參考依據。問題是,整個框架範疇幾乎涵蓋資安市場多數技術,讓有意引進零信任架構的企業與組織不知從何處著手。對此,資安院將實施進程分為三個階段:第一階段著重於身分鑑別,而非僅僅是身分識別;第二階段則是對設備進行鑑別;第三階段是信任推斷的建立。

在資安院推動零信任架構過程中,TWCA可說扮演了重要角色。畢竟TWCA自1999年成立以來,即以網路認證為主要業務,主要股東成員亦為金融服務產業的核心單位,客戶遍及保險、證券、銀行,以及企業用戶。隨著零信任架構開始啟動,勢必須建立可信賴的認證體系,且金融監督管理委員會(金管會)也開始要求公股銀行實施身分鑑別,預期將產生示範效果,帶動更多企業落實零信任原則。

盤點數位資產與工作流程 

參考NIST提出的發展零信任規範,他建議可從三個方向著手。首先是在導入零信任架構前,必須進行詳盡的盤點,涵蓋人員角色與數位資產。連子清說明,在現代化的辦公環境中,角色不再僅限於實體人員,還擴展至虛擬角色。例如,一名IT員工可能同時扮演管理員或操作者的角色;而郵件伺服器,則被視為具有獨立角色的虛擬實體。這些角色都有各自的存取權限和安全機制,因此,在零信任架構下,進行精確的角色盤點是基礎且關鍵的步驟。

其次為風險評估,這是不可或缺的過程,尤其是應用場域中的風險辨識。這涉及了用戶行為的各種情境,如登錄、交易等操作,風險層面皆有所不同。舉例,銀行系統的外部用戶,可能因為密碼被竊導致資產損失;而內部用戶則可能面臨個資外洩的風險。 第三是營運作業流程的梳理。連子清指出,了解導入零信任架構之前的運作模式,有助於識別和理解流程改變後可能出現的風險。例如單一登入(Single Sign-On)的申請流程就是一個考量點。只有在清晰地掌握現有流程後,才能有效地導入零信任機制,並確保轉換過程中的安全性和順暢性。

選定引進零信任架構的標的 

針對現有資源和風險的全面盤點之後,接著是明確地選定一個具體的範圍或目標實施零信任控管措施,例如高風險的員工、對外提供服務的系統等應用場景。根據選定的目標,再評估合適的方案,才可達到零信任控管目標。

TWCA憑藉在FIDO技術和公開金鑰基礎建設(PKI)領域的深厚背景,發展出TW ZTA零信任服務,以符合政府零信任架構第一階段需要達成的身分鑑別功能。連子清說明,TWCA本就是FIDO協會的成員,已具備FIDO ID行動金鑰服務,對於身分鑑別要求的FIDO等驗證技術,TWCA自然可順利通過驗證。

第二階段的設備鑑別,特別之處是必須要兩種不同金鑰。關於用戶識別,第一把鑰匙須符合FIDO標準,以保障身分驗證過程的安全性。而第二把鑰匙,專用於設備識別,則沒有FIDO的具體要求,但建議將此鑰匙保存在設備的TPM晶片或安全元件(Secure Element)。

實際上,不同類型設備的安全性設計有所差異。例如Apple產品主要使用硬體晶片來提供安全保護,而Android裝置則可能使用硬體晶片或軟體兩種方式。桌機或筆電儘管大多已搭載晶片,但某些採用Linux系統的桌機可能僅依賴軟體解決方案。對此,設備鑑別應具備功能性機制僅適用於Windows作業系統的電腦,其他非Windows系統與行動裝置則尚未被納入。

「TW ZTA零信任服務可為Windows作業系統提供設備鑑別服務,利用TPM的開放介面來儲存金鑰。這種作法稱為信物(Credential)管理,也就是在確認使用者身分後,配發專屬鑰匙。」連子清說。隨著零信任原則在IT市場的興起,TWCA也考慮與相關的解決方案合作,以提供更全面的信任推斷服務。預期可能以身分認證為核心,整合或加入其他廠商的生態鏈,透過API整合運行。如此一來,設備鑑別也就不限於硬體支援,還包括軟體層面的考量,例如防毒軟體、作業系統、商用軟體的配置。

建構PKIoT生態系確保裝置安全

TW ZTA零信任服務提供的身分鑑別機制,不論用戶為已知或未知,都能有效地確認。針對未知的用戶,TW ZTA零信任服務結合了身分識別與鑑別機制,而對於已知的用戶則簡化成單純的身分確認過程。連子清認為,兩種不同機制的整合正是TW ZTA的優勢。 他進一步說明,身分鑑別的要求提供一種安全的方式來確定使用者的身分,並非只有FIDO金鑰一種選項,或可納入自然人憑證等機制,滿足更多應用場景需求。實際上,過去資安領域,公開金鑰基礎建設(PKI)始終扮演關鍵角色。相對於FIDO標準,PKI的一大優勢在於實名制的特點。依據台灣的電子簽章法,PKI中的數位憑證必須明確載明持有者的姓名,這種安全性,甚至超越了單純的金鑰系統。

臺灣網路認證公司產品總監連子清指出,TW ZTA零信任服務提供的身分鑑別機制,不論用戶為已知或未知,都能有效地確認。特別是針對未知的用戶,TW ZTA零信任服務結合了身分識別與鑑別機制,可說是優勢之一。

此外,在設備驗證方面,物聯網(IoT)裝置正在逐步受到重視。連子清指出,IoT裝置的安全金鑰也須採用憑證系統,這些憑證通常是直接嵌入晶片中,出廠即帶有憑證的裝置可確保其來源的可靠性和安全性。現階段TWCA正在積極推動PKIoT體系,讓IoT裝置出廠時已內嵌入憑證,目的是讓消費者依據信任度來選購商品。例如,有些人可能更信任微軟或蘋果的產品,而對於某些來自中國大陸的廠商則持保留態度。

PKI與IoT的結合,涉及軟體與韌體的整合。PKI本身大多是軟體形式,須在出廠前就先行寫入到裝置。TWCA基於PKI領域累積厚實的經驗,正在與新竹的晶片製造商合作進行開發。連子清強調,這種合作模式不僅限於晶片製造,還包括與設備製造商的合作,以確保晶片可以順利應用於各種專屬韌體。屆時PKIoT技術將在各個裝置中發揮關鍵作用。


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!