19、证书服务与RADIUS服务全解析

证书服务与RADIUS服务全解析

1. 证书基础设施安全措施

为保护证书颁发机构（CA），可采取一些安全措施。当服务器虚拟机（VM）被删除时设置警报，通知该主机管理团队，这至少能提供及时通知，便于快速恢复。在虚拟机管理程序基础设施上实施基于角色的访问控制（RBAC），只有特定服务器的直接管理员才能删除、重新配置或更改服务器电源状态，现代虚拟机管理程序（如VMware的vSphere）可轻松配置此控制级别，降低意外删除VM的风险。

2. 证书透明度（CT）概述

CA的主要职责之一是建立信任，即验证证书请求者的身份。若信任机制失效，攻击者可能获取证书并假冒合法机构，造成严重后果。当CA出现信任问题时，各CA、浏览器团队（如Mozilla、Chrome和Microsoft）以及操作系统供应商（主要是Linux和Microsoft）会将违规CA从操作系统和浏览器证书存储中除名，使其颁发的证书变为不受信任状态。

例如，DigiNotar被攻击后，攻击者控制其部分关键基础设施，颁发了欺诈性通配符证书用于拦截流量；2009 - 2015年，Symantec CA多次跳过重要证书验证步骤，最终在2018年被除名。

为检测此类事件，公共CA参与证书透明度（CT）计划。根据RFC 6962，证书颁发时，CA会将证书信息发布到其CT服务，所有用于SSL/TLS的证书都必须遵循此流程。组织可通过CT服务审计已购买和未购买的证书。

3. CT的实际应用

• 检测影子IT ：组织可查询CT服务，查看是否存在非IT部门人员购买的合法证书。例如，营销团队可能绕过IT部门的安全和