پادکست HID Connects فصل ۲ قسمت ۵ — PKI: این سه حرف چه معنایی برای امنیت اینترنت دارند؟

به HID Connects خوش آمدید!

HID Connects یک پادکست طراحی شده است تا آخرین اخبار و روندها در حوزه امنیت را به شما ارائه دهد. هدف ما این است که نه تنها شما را با اطلاعات و بهترین شیوه‌ها تجهیز کنیم، بلکه گفتگوهای جدیدی در مورد موضوعاتی که صنعت ما را شکل می‌دهند، آغاز کنیم.

با میلیاردها تراکنش آنلاین که هر روز انجام می‌شود، محافظت از داده‌های حساس و اطمینان از ارتباطات امن انتها به انتها برای زندگی ما بسیار مهم است. بنابراین برای کمک به درک بهتر PKI، اینکه چه کاری انجام می‌دهد و آینده چگونه به نظر می‌رسد، ویش پاتل، معاون و رئیس خدمات PKI و IoT در HID و کوین بوچک، معاون رئیس اکوسیستم و جامعه در Venafi به ما در استودیو ملحق می‌شوند.

با هم به سوال “PKI: این سه حرف برای امنیت اینترنت چه معنایی دارند؟” پاسخ خواهیم داد.

یک دقیقه وقت بگذارید و به پایین گوش دهید. و در حین این کار، حتماً مشترک شوید تا قسمت‌های آینده را دریافت کنید.

در اینجا یک متن نوشته شده است اگر می‌خواهید همراه با ما بخوانید:

مت وین
سلام، به همه. صبح بخیر. بعدازظهر بخیر. عصر بخیر. هر زمانی که باشد و هر کجا در جهان که باشید، نام من مت وین است، میزبان humble پادکست شما و علاقه‌مند به هویت‌های امن. به HID Connects خوش آمدید. حالا، در قسمت امروز، ما به عمق استخر امنیت اینترنت خواهیم رفت با تمرکز اصلی بر PKI، یا زیرساخت کلید عمومی.

با میلیاردها تراکنش آنلاین که هر روز انجام می‌شود، محافظت از داده‌های حساس و اطمینان از ارتباطات امن انتها به انتها برای زندگی ما بسیار مهم است، هرچند که در پس‌زمینه باشد. بنابراین برای کمک به درک بهتر PKI، اینکه چه کاری انجام می‌دهد و چه معنایی برای امنیت اینترنت دارد، خوشحالم که دو مهمان متخصص به ما ملحق شده‌اند. اول، ما ویش پاتل، معاون و رئیس خدمات PKI و IoT داریم.

همچنین کوین بوچک، معاون رئیس اکوسیستم و جامعه در Venafi به ما در استودیو ملحق شده است. بنابراین، آقایان، از شما هر دو برای پیوستن به ما متشکرم. بسیار خوشحالم که شما را داریم و از شما بسیار سپاسگزارم که تمام راه را به استودیوی ما سفر کرده‌اید، که این فصل یک اتاق کنفرانس جدید است. اما بیایید با شما شروع کنیم. به مهمانان ما سلام کنید و کمی درباره خودتان بگویید، چه کار می‌کنید.

ویش پاتل
بله، خوب، از دعوت شما متشکرم. من احتمالاً هشت سال است که با HID هستم و رئیس خدمات PKI و IoT هستم. ما به مشتریان کمک می‌کنیم تا شبکه‌های خود را ایمن کنند، دستگاه‌های IoT خود را ایمن کنند و به آنها کمک می‌کنیم تا به طور کلی تهدیدات امنیت سایبری خود را مدیریت کنند.

مت وین
بسیار خوب. از پیوستن شما متشکرم. و کوین، از اینکه به ما ملحق شدید نیز متشکرم. بنابراین یک معرفی سریع به ما بدهید و لطفاً بدون شرم Venafi را معرفی کنید. به ما بگویید چه کار می‌کنید.

کوین باچک
خیلی خوب. خوب، اول از همه، دوست دارم فکر کنم من مدیر سرگرمی هستم، من با شرکای فناوری عالی و اکوسیستم‌مان، مانند HID کار می‌کنم و در ونافی به مدیریت و حفاظت از هویت‌های ماشین در دنیای بیرون، در شبکه‌ها، در اینترنت کمک می‌کنیم. دو بازیگر وجود دارند: انسان‌ها و ماشین‌ها. هر دو نیاز به هویت دارند. و ما هویت‌های ماشین را مدیریت می‌کنیم، که البته قرار است درباره آن زیاد صحبت کنیم. ونافی به شدت در موفقیت این امر دخیل است.

مت وین
خیلی خوب. خوب، از شما برای پیوستن به ما متشکرم. و با این حال، شما کارشناسان خود را آماده دارید. پس بیایید به سوال داغ امروز بپردازیم: PKI — این سه حرف برای امنیت اینترنت چه معنایی دارند؟

پس، کوین، بیایید با شما شروع کنیم. کمی زمینه به ما بدهید، چرا ما اینجا با هم هستیم؟ ونافی و HID چگونه با هم کار می‌کنند؟ بیایید رابطه را توضیح دهیم. فقط شروع کنید.

کوین باچک
بله، خوب، همانطور که اول گفتم، در دنیای بیرون، انسان‌ها و ماشین‌ها وجود دارند. و، می‌دانید، ما به عنوان انسان‌ها، امیدوارم همه آنجا انسان باشند، از نام کاربری، رمز عبور، بیومتریک، و سایر عوامل احراز هویت استفاده می‌کنیم تا بگوییم، “هی، ما اینجا هستیم، این من هستم. واقعاً کوین هستم.” اما ماشین‌ها کمی متفاوت هستند. البته، آن‌ها در اشکال و اندازه‌های مختلفی وجود دارند. ممکن است چیزی باشد که در آمازون، AWS اجرا می‌شود، ممکن است یک تیر چراغ برق باشد، ممکن است یک سرور و یک مرکز داده باشد که نرم‌افزار را اجرا می‌کند. همه آن‌ها ماشین هستند. و وای، چگونه می‌گویند، “اینجا هستم.” آیا من دوست خوب، بد یا دشمن هستم؟ آیا من متعلق هستم؟

و اینجاست که PKI وارد عمل می‌شود، زیرا به ما اجازه می‌دهد … به آن به عنوان گذرنامه برای همه این ماشین‌ها فکر کنید. این من هستم، این کسی است که به آن تعلق دارم، چه کسی می‌گوید که باید اجازه داشته باشم تعلق داشته باشم. و بله، آیا می‌توانم امروز یک کلید امضا کنم؟ فردا؟ و البته، مانند گذرنامه، آن‌ها منقضی می‌شوند. آن‌ها نیاز به تعویض دارند.

همه این‌ها زیرساخت کلید عمومی، یا PKI است، نامی که بیش از 30 سال پیش در روزهایی که من شروع کردم به آن دادیم. این نشان می‌دهد. بله، و هر روز استفاده می‌شود. هر چیزی که ما می‌دانیم، اگر به بانکداری آنلاین برویم، قفل padlock که کار PKI است، این یک هویت ماشین است که می‌گوید، بله، این واقعاً بانک ماست.

تراکنش‌ها و سیستم‌های پرداخت از ترمینال به بک‌اند تا ارائه‌دهنده پرداخت — همه این تراکنش‌ها، همه این ماشین‌ها در طول راه می‌گویند، “بله، من خوب هستم” — این در حال کار است، این یک هویت ماشین در حال کار است. و بله، ما در دنیای دیجیتال‌مان اینجا نخواهیم بود، شما نمی‌توانید از برنامه‌های موبایل خود استفاده کنید، شما نمی‌توانید با هواپیما پرواز کنید — زیرا یک هواپیما امروز فقط یک برنامه موبایل بزرگ است — نرم‌افزار بر روی آن‌ها نصب می‌شود. چگونه یک هواپیما، یک ماشین بزرگ، یک دستگاه موبایل بزرگ می‌داند که نرم‌افزار خوب یا بد چیست؟ زیرا با هویت ماشین می‌آید. این بخشی از PKI است.

مت وین
بسیار مهم است. وی‌ش، لطفاً بیشتر توضیح بدهید PKI چیست — برای کسانی که ممکن است با آن آشنا نباشند، لطفاً ادامه دهید، زیرا اینها واقعاً مثال‌های عالی هستند.

وی‌ش پاتل
بله. منظورم این است که کوین بر روی هویت‌های ماشینی تمرکز دارد. ما سپس این را بیشتر گسترش می‌دهیم و از AI برای هویت‌های فردی نیز استفاده می‌کنیم. درست است؟ امروز ممکن است شما کارتی داشته باشید که یک چیپ هوشمند بر روی آن باشد و دارای چیزی به نام گواهی دیجیتال باشد که از طریق این فناوری صادر شده و شما را به عنوان یک فرد شناسایی می‌کند و سپس همچنین به شما اجازه می‌دهد تا به ریدرهای درب برای دسترسی منطقی — می‌دانید، ایستگاه‌های کاری — احراز هویت کنید تا بتوانید بگویید، خوب، این وی‌ش است و او می‌تواند این کارها را انجام دهد.

بنابراین این یک گسترش است. همان فناوری در یک مورد استفاده متفاوت، به شیوه‌ای متفاوت برای شناسایی افراد به همراه ماشین‌ها.

مت وین
عالی است. و اگر به این موضوع فکر کنید، چرا به آن کلید عمومی می‌گویند؟ من هم در مورد آن کنجکاوم.

کوین باچک
کیست؟ می‌دانید، کسی واقعاً می‌خواست ما را در آینده عذاب دهد وقتی که آن نام‌ها را در دهه هشتاد دادند، که اساساً به این معنی است که ما می‌توانیم از یک کلید عمومی — چیزی که می‌توانیم در هر جایی منتشر کنیم، به معنای واقعی کلمه استفاده کنیم. فکر می‌کنم گاهی اوقات مردم آنها را در روزنامه‌ها و کتاب‌ها می‌گذارند، اما همچنین ما ایده دایرکتوری‌ها را داریم. همه چیز رفته است. اما در واقع چیزی است که می‌توانیم در هر جایی منتشر کنیم و سپس چیزی داریم که خصوصی است، که ما نگه می‌داریم و آن راز است. و سپس شما این چیز عمومی را دارید که می‌دانم همچنین به این چیز خصوصی تعلق دارد. سپس می‌توانیم کارهای جالب دیگری نیز انجام دهیم، مانند اینکه می‌توانیم رمزنگاری برای حریم خصوصی را پیش ببریم یا می‌توانیم احراز هویت برای تراکنش‌هایی که برای همیشه زندگی می‌کنند مانند یک بلاک‌چین را پیش ببریم. همه اینها به خاطر این چیزی به نام PKI کار می‌کند.

مت وین
بسیار خوب. و می‌خواهم حتی عمیق‌تر به کلمه سوم بپردازم، که زیرساخت است. بنابراین، وی‌ش، منظور ما از زیرساخت چیست؟ ما بخش عمومی را پوشش داده‌ایم. ما نوعی می‌دانیم کلید چیست — زیرساخت چیست، منظور ما از آن چیست (چه این اصطلاح هنوز کاربرد دارد یا نه)؟ اما بیایید بر روی I تمرکز کنیم.

وی‌ش پاتل
بنابراین برای اینکه این فناوری به درستی کار کند، شما به ترکیبی از نرم‌افزار و سخت‌افزار و شیوه‌هایی نیاز دارید که به شما اجازه می‌دهد امنیت ممکن برای این نوع فناوری را حفظ کنید. بنابراین زیرساخت برای ما به معنای توانایی تولید گواهی‌های دیجیتال و مدیریت چرخه حیات است، به این معنی که چیزی که ایجاد می‌شود نیز باید نگهداری شود.

این توانایی لغو، توانایی دانستن اینکه آیا معتبر است یا نه را دارد. بنابراین تمام این موارد قطعات و اجزایی هستند که ما کنار هم قرار می‌دهیم، تا بتوانیم از آن گواهی‌ها در موارد استفاده مختلف: هویت‌های ماشینی یا فردی استفاده کنیم. این ترکیبی از سخت‌افزار، نرم‌افزار و شیوه‌هایی است که در اطراف مدیریت آن اجزا وجود دارد.

مت وین
عالی است. و این زیرساخت را می‌سازد.

کوین باچک
فکر می‌کنم فقط سه چیز برای اضافه کردن به آن دیدگاه وجود دارد که آن زیرساخت واقعاً یک منطقه بدون هکر/منطقه حفاظت است زیرا ما همه این کارها را انجام می‌دهیم — یا آنچه را که ما زیرساخت می‌دانیم (که به نظر بسیار مناسب می‌رسد) — ما این کار را در واقع انجام می‌دهیم تا دشمنان نتوانند آنچه را که به شدت برای قرار دادن آن تلاش کرده‌ایم، به خطر بیندازند. بنابراین چه ماشین‌ها باشند یا افراد، نتوانند یکی از این هویت‌ها را به دست آورند یا نتوانند در طول مسیر آنها را کپی کنند و بیایند و بگویند، “بله، من اینجا هستم”، هم.

بنابراین بله، این همچنین بسیار درباره متوقف کردن دشمن با آن زیرساخت است. ما این کار را به درستی انجام می‌دهیم. افراد بد نمی‌توانند آن را دستکاری کنند، سوء استفاده کنند. ما این کار را به اشتباه انجام دهیم — که بارها به اشتباه انجام شده است — سپس آنها وارد می‌شوند.

مت وین
ریسک‌ها بالا هستند. وییش، شما درباره گواهی‌نامه‌ها صحبت کردید و درباره چرخه عمر گواهی‌نامه صحبت کردید.

بنابراین بیایید بیشتر درباره آن صحبت کنیم. چرخه عمر گواهی‌نامه چیست؟ و سپس فقط بر روی آن گسترش دهید، به ما مقداری زمینه بدهید درباره اهدافی که این فناوری سعی در دستیابی به آنها دارد. چرخه عمر گواهی‌نامه چیست؟ چرا مهم است؟

ویش پاتل
اگر به یک گواهی‌نامه دیجیتال به عنوان یک کارت شناسایی فکر کنید، بیایید بگوییم هر چیزی … مانند گواهینامه رانندگی شما، درست است؟ گواهینامه رانندگی توسط شما ایجاد می‌شود که ابتدا تأسیس می‌کنید که شما همان کسی هستید که می‌گویید هستید. بنابراین آن فرآیند بخشی از چرخه عمر است — ما کارت شناسایی را ایجاد می‌کنیم، یا در این مورد، یک گواهی‌نامه دیجیتال. سپس آن را در دسترس قرار می‌دهیم زیرا مؤلفه عمومی نیاز دارد که شما آن را در دسترس قرار دهید تا بتوان به آن اعتماد کرد یا در برنامه‌ها استفاده شود.

بنابراین این بخش استفاده از آن است، که بخشی از چرخه عمر آن است. هنگامی که شما یک کارت شناسایی دارید، اگر به هر دلیلی نیاز به [لغو آن] داشته باشیم زیرا به خطر افتاده یا در یک ماشین، چیزها از بین می‌روند و دوباره برمی‌گردند. بنابراین شما باید بتوانید آن کارت شناسایی را لغو کنید، به طور مشابه با یک کارت اعتباری، درست است؟

بنابراین هنگامی که آن را لغو می‌کنید، این نیز یک رویداد در یک چرخه عمر است. این توانایی ایجاد، استفاده، توانایی — ما آن را لغو می‌نامیم — برای لغو اعتبارنامه و سپس توانایی تولید جدید به عنوان نیاز است. بنابراین این چیزی است که ما به آن چرخه عمر می‌گوییم. و سپس، البته، همیشه چیزهای دیگری وجود دارد مانند توانایی ما برای دانستن کدام یک در هر نقطه خاصی در حال حاضر موجود هستند.

شما می‌خواهید گزارش‌گیری کنید، کدام یک … و همه این اعتبارنامه‌ها یک عمر مشخص از شروع و پایان دارند. بنابراین این بدان معناست که شما باید آنها را مدیریت کنید زیرا هنگامی که منقضی می‌شوند، باید آنها را جایگزین کنید، اگر آن هویت هنوز نیاز به ادامه زندگی داشته باشد.

مت وین
خیلی خوب. کوین، بیایید بر روی آن گسترش دهیم. بنابراین فقط افکار عمومی درباره سوال و سپس هر چیزی در مورد بخش مدیریت، زیرا با حجم موجود، چگونه می‌توان این کار را انجام داد؟

Kevin Bocek
بله. پس بله، شما می‌دانید، زیرساخت عمومی شما این هویت‌ها را صادر می‌کند، چیزهایی مانند گواهی‌های دیجیتال، که به‌ویژه در Venafi، ما به ماشین‌ها، هویت‌های درخشان و افراد واقعاً باهوش که این را برنامه‌ریزی می‌کنند، فکر می‌کنیم. آن‌ها از رمزهای عبور یاد گرفته بودند. بنابراین آن چرخه عمر، آن‌ها واقعاً یک تاریخ شروع و پایان تعیین کردند. شما می‌دانید، رمزهای عبور هرگز منقضی نمی‌شوند مگر اینکه شما اقداماتی انجام دهید یا یک مدیر اطمینان حاصل کند که آن‌ها یک عمر دارند.

برخی از شنوندگان بیشتر فنی، شما می‌دانید که من درباره چه کسانی صحبت می‌کنم، درباره کلیدهای SSH می‌دانند، آن‌ها هرگز منقضی نمی‌شوند — مانند بعد از ده، بیست سال، آن‌ها هنوز هم ادامه دارند. بنابراین بله این چرخه عمر واقعاً، واقعاً برای محافظت از ما مهم است، چه ما در حال احراز هویت انسان‌ها یا ماشین‌ها باشیم زیرا دارای تاریخ شروع و تاریخ پایان خود است، که سپس می‌تواند برخی مشکلات ایجاد کند — به‌ویژه زمانی که ما به صدور ده‌ها هزار میلیون فکر می‌کنیم، به‌ویژه زمانی که به ماشین‌ها فکر می‌کنیم.

زیرا آخرین باری که من بررسی کردم، ماشین‌ها برای دریافت این هویت‌های جدید دوباره برنمی‌گشتند، ما باید به آن‌ها کمک کنیم. ما باید آن را مدیریت کنیم زیرا در نهایت آن‌ها منقضی خواهند شد. و به‌طور فزاینده‌ای آنچه در حال وقوع است این است که این عمرها هر روز کوتاه‌تر و کوتاه‌تر می‌شوند. در روزهای گذشته که من و ویس شروع کردیم، ما این گواهی‌ها را از PKIها صادر می‌کردیم، اکنون ده سال است که ما به دقایق برای ماشین‌ها و تراکنش‌ها نزدیک می‌شویم و واقعاً، واقعاً به استفاده یک‌بار نزدیک می‌شویم.

بنابراین این بدان معناست که ما باید این چرخه عمر را مدیریت کنیم. آن‌ها منقضی خواهند شد و باید آن‌ها را جایگزین کنیم و در استفاده قرار دهیم. و البته، دوباره، به‌ویژه زمانی که به ماشین‌ها می‌رسد، آن‌ها به تنهایی این کار را نمی‌کنند. مخاطبان این را تجربه کرده‌اند … شما به بانک خود رفته‌اید، شما به یک سایت رسانه اجتماعی شاید رفته‌اید — بروید بفهمید — یا شما از یک اپلیکیشن استفاده کرده‌اید و گفت نمی‌توان به آن اعتماد کرد. به نظر می‌رسد که دنیا در حال پایان است و به شما اجازه استفاده از آن را نمی‌دهد.

این به این دلیل است که واقعاً کسی فراموش کرده است که یکی از آن گواهی‌ها را تمدید کند و یکی جدید در جای خود قرار دهد. بنابراین ما واقعاً این را احساس می‌کنیم. که البته این برای ما دردناک است. این دردناک است زمانی که میلیاردها دلار، زمانی که اپلیکیشن‌ها کار نمی‌کنند، هواپیماها پرواز نمی‌کنند، سیستم‌های باربری کار نمی‌کنند، ATMها کار نمی‌کنند. شما نمی‌توانید به سایت رسانه اجتماعی خود دسترسی پیدا کنید. همه این‌ها را ما دیده‌ایم و یک دسته دیگر فقط به این دلیل که آن چرخه عمر مزاحم مدیریت نمی‌شود، که ما را به فکر کردن در خطوط خودکارسازی می‌اندازد.

مت وین
بله، کاملاً. فقط داستان‌های شخصی. من کار خود را در فروش نرم‌افزار تجارت الکترونیک آغاز کردم و بخشی از آن فروش گواهینامه‌های SSL بود. و بخشی از آن این بود که، وای، فروشگاه من سفارش نمی‌گیرد. و اینطور بود که، خوب، گواهینامه SSL شما — آیا آن را تمدید نکردید؟ بنابراین، می‌دانید، فقط 80 دلار برای یک سال است، اما بروید و آن را انجام دهید. اما بله، این برای من تحریک‌کننده بود و رسیدگی به برخی از آن تماس‌ها.

کوین باچک
بله. و فقط می‌گویم، در گذشته، ببینیم چگونه می‌توانیم آن‌ها را برای دو یا شاید ده سال صادر کنیم، زیرا فکر می‌کنم اینجا جایی است که ما در ده سال خواهیم بود.

اما برای فرد بد — این چیزی است که ما دیده‌ایم — وقتی آن گواهینامه‌ها برای مدت طولانی معلق هستند، ما نقض‌هایی را دیده‌ایم که در آن دشمنان وارد می‌شوند. آن‌ها می‌توانند در نقاب ظاهر شوند، چه این یک سیستم پرداخت باشد یا یک وب‌سایت یا سیستم تراکنش دیگر و به طور کامل از آنچه که ما فکر می‌کردیم کاملاً خصوصی و معتبر است سوءاستفاده کنند.

مت وین
جالب، شگفت‌انگیز. شما به اتوماسیون اشاره کردید، وی‌ش، بیایید آن را به شما بسپاریم. بیایید درباره اتوماسیون صحبت کنیم. به نظر می‌رسد که چیزهای زیادی برای فکر کردن، در نظر گرفتن و در مورد مدیریت چرخه حیات وجود دارد، درست است؟ چگونه می‌توانیم اتوماسیون کنیم؟ در آن فضا چه می‌گذرد؟

وی‌ش پاتل
بله. بنابراین نیاز به اتوماسیون به دلیل حجم‌ها و چرخه حیات آن‌ها روز به روز بیشتر می‌شود. و روشی که ما به آن می‌پردازیم این است که به روشی که قبلاً وجود دارد نگاه می‌کنیم که در آن گواهینامه‌ها مصرف، صادر و به این نقاط پایانی توزیع می‌شوند. بنابراین چه آن‌ها دستگاه‌ها باشند، چه روی یک کارت، درست است؟ و ما به اتوماسیون به عنوان این نگاه می‌کنیم که، خوب، بیایید نقاط ادغام مناسب — یا کانکتورها که ما آن را می‌نامیم — ایجاد کنیم تا بتوانیم از استانداردهایی که قبلاً وجود دارد برای مدیریت حجم استفاده کنیم تا مشتریان مجبور نباشند هر گواهینامه را به تنهایی مدیریت کنند.