把諸如公共密鑰基礎(chǔ)設(shè)施這樣的安全控制措施遷往云計算確實是可以實現(xiàn)成本節(jié)省的，但是云計算的安全措施是否強(qiáng)大到足以確保其安全性呢?

當(dāng)你在考慮一個基于PKI的基本系統(tǒng)的不同組成部分時，公共密鑰基礎(chǔ)設(shè)施很顯然地在IT領(lǐng)域獲得了一個意義深遠(yuǎn)的立足之地。從證書授權(quán)到證書撤銷列表再到注冊結(jié)構(gòu)，在PKI環(huán)境內(nèi)確保通信的安全性將是一項非常耗費計算資源的任務(wù)，這一點是非常顯而易見的。有鑒于此，相關(guān)的成本支出就會很容易出現(xiàn)失控，這意味著是否需要把所有的PKI遷往云計算就成為了一個非常值得探討的命題。

一個公共密鑰基礎(chǔ)設(shè)施可以讓企業(yè)用戶在一個公共的網(wǎng)絡(luò)(例如使用加密密鑰對的互聯(lián)網(wǎng))中實現(xiàn)安全的數(shù)據(jù)交換， 并向最終用戶授權(quán)安全證書。把PKI遷往云計算而帶來的便利性是具有深遠(yuǎn)意義的。同樣出于成本方面的考慮，很多在過去回避PKI的企業(yè)現(xiàn)在可能會希望重新考慮他們的定位，即基礎(chǔ)設(shè)施即服務(wù)(IaaS)已成為眾多企業(yè)用戶更為經(jīng)濟(jì)可行的選擇對象。

基于PKI的系統(tǒng)的核心就是證書授權(quán)(CA)。 CA通過一臺指定的內(nèi)部服務(wù)器或服務(wù)器集群向最終用戶發(fā)送授權(quán)證書。在大型的全球性組織中，這一個過程可能是相當(dāng)麻煩的。如果位于每個站點的CA服務(wù)器足夠強(qiáng)大到能夠正常處理CKI環(huán)境分配的日常工作負(fù)載，那么其網(wǎng)絡(luò)性能問題就可能不是什么太大的問題。相反，如果這臺CA服務(wù)器還承擔(dān)著其它的任務(wù)或者它不具備能夠勝任這項工作的高性能，那么可考慮采用另一種訪問CA的方法。在這兩種情況下，把這個任務(wù)遷往云計算可能是一個值得進(jìn)一步研究的課題。

但是，當(dāng)我們考慮把企業(yè)的整個公共密鑰基礎(chǔ)設(shè)施都遷往云計算(例如亞馬遜網(wǎng)絡(luò)服務(wù)AWS或谷歌云計算)時，上述的命題就顯得過時了。因為我們不僅要把證書授權(quán)置于云計算中，而且要把所有的其它相關(guān)組件都遷往云計算——即注冊機(jī)構(gòu)、證書吊銷列表、 LDAP服務(wù)器等等。我們突然發(fā)現(xiàn)，性能方面的問題已不再是一個問題了，因為企業(yè)組織都是愿意從供應(yīng)商處購買足夠性能的資源的。

例如我們假設(shè)，一個系統(tǒng)管理員想要為他在AWS中的網(wǎng)絡(luò)設(shè)置基本的PKI。管理員秩序配置和部署適宜數(shù)量的亞馬遜機(jī)器鏡像(AMI);他/她可以通過同一臺顯示器配置所有的服務(wù)器，其中包括：一臺CA服務(wù)器、一臺證書撤銷列表服務(wù)器(CRL)服務(wù)器以及一臺注冊機(jī)構(gòu)(RA)服務(wù)器。然后，管理員只需簡單地把所有網(wǎng)絡(luò)流量指向這同一組AMI就可以正常開展授權(quán)。如果由于某種原因，系統(tǒng)管理員需要在之后增加更多的基礎(chǔ)設(shè)施，他就可以通過簡單的操作來完成這一擴(kuò)容任務(wù)。

把PKI遷往云計算的安全性陷阱

把公共密鑰基礎(chǔ)設(shè)施遷往云計算可能在經(jīng)濟(jì)性和操作方便性方面是具有意義的，但是這柄雙刃劍的另一面又是什么呢?具有諷刺意味的是，把PKI遷往云計算的問題之一就與安全性相關(guān)。

一旦企業(yè)決定將其公共密鑰基礎(chǔ)設(shè)施遷往云計算，那么數(shù)據(jù)的所有者將不再掌握數(shù)據(jù)的物理控制權(quán)。例如，如果云計算公司被提出了一項針對性的訴訟，那么云計算供應(yīng)商就有可能被迫交出本屬于一個完全躺著中箭的第三方的數(shù)據(jù)——即，它的客戶。因為法律對于存儲在云計算中數(shù)據(jù)的實際所有者的解釋存在著灰色地帶，所以以上的這一情況并不是筆者信口胡謅的。還有，如果一家企業(yè)對其云計算供應(yīng)商不滿，那么更換供應(yīng)商可能并不是一件能夠順利開展的任務(wù)。

雖然把公共密鑰基礎(chǔ)設(shè)施遷往云計算可能在很多不同層面上是一項有重大意義的決定，但是真正做出這一決策還是需要高度審慎的態(tài)度和經(jīng)過深思熟慮的。

諸如Gazzang公司這樣的企業(yè)已經(jīng)在研究解決這類安全性問題了，如可把這些PKI使用的公共密鑰分別置于不同的平臺。

盡管還存在著這樣那樣的問題，但是把公共密鑰基礎(chǔ)設(shè)施遷往基于云計算的平臺無疑是一個將發(fā)展成為行業(yè)最佳實踐的想法。