組織のPKIをアウトソーシングすることの長所と短所は何ですか？
私は、組織の公開キー基盤（PKI）をアウトソーシングすることの長所と短所を探しています。実際に外部委託するかどうかは、環境や組織次第だと思います。アウトソーシングPKIに関連するリスクは何ですか。また、アウトソーシングPKIに関する技術的な問題はありますか？
銀行と協力してPKIをアウトソーシングするときに直面する主なリスクの1つは、ルート証明書の保護です。 PKIを使用してビジネスに不可欠な何かを保護している場合は、PKIプロバイダーがルート証明書に関連するセキュリティを確保することを本当に望んでいます。
この点で実際に一生懸命取り組んでいるプロバイダーがいくつかあり、クライアントにそれらを使用するように説得するのに役立つ多くのメカニズムを使用しています。経験から、私はこのプレッシャープレート、網膜スキャナー、デュアル同期キー、マントラップ、ルートアクセスのビデオカバレッジ、プロバイダーに許可された部分的なアクセス、およびあなたへの一部を含めています。ジェームズ・ボンドの映画。
もう1つの問題は接続性です。リアルタイムサービスにPKIを使用すると、プロバイダーへの接続が失われると、サービス拒否が発生します。彼らがあなたやあなたの顧客や他のユーザーへの弾力性のあるリンクを持っていることを確認してください。
PKIをアウトソーシングする大きな利点は、自分で行う必要がないことです。 PKIの保守は複雑であるため、費用がかかります。専門エンティティは、ホストされている複数のPKIのコストを相互に利用する場合があります。
PKIの維持に関連する大きなコストは次のとおりです。
物理的ホスティング：少なくともルートCAは物理的に安全な部屋にある必要があり、できれば ハードウェアセキュリティモジュール を使用する必要がありますこれは最も安価なハードウェアではありません。部屋、ビデオカメラ、警備員、気性の悪い犬のためのオフィススペース...高い経費がかかることを意味します。 PKIのルートキーconcentratesセキュリティの必要性（暗号化のしくみです。つまり、キーのセキュリティは全体のセキュリティに拡張されます）であることを覚えておいてください。これは、攻撃者にとって非常に価値の高いターゲットです。
管理手順：PKIは、本来、公開鍵を物理IDにバインドするシステムです。これは、証明書の登録ごとに、要求者を物理的に識別する手順を実行することを意味します（IDの概念が状況に関連している場合）。これには必然的にいくつかの非コンピュータ要素が含まれます。人間間の相互作用。従業員は高価です。また、PKIを含むほとんどの操作は、セキュリティとアカウンタビリティを保証する方法で編成する必要があります。 キーセレモニー 。これらの手順を定義して書き留めるのは大変な作業です。
法的展開：証明書には正当な値があり、多くの場合、その正当な値のために正確に想定されています（たとえば、手書きの署名を置き換える方法として）デジタル署名を使用して、ペーパーレスプロセスを実現します）。法的価値を得るために何をすべきかを知ることは、「弁護士の仕事」という意味で、非常に技術的なテーマです。一部の法域では、 一般的な基準 評価が必要です。
したがって、私のアドバイスは、「デフォルトで」アウトソーシングすることです。安全なPKIに固有の複雑さ（暗号と法律の両方の意味での「安全」）は、ほとんど常に広く過小評価されています。
PKIインフラストラクチャは、その場で役立ちます。
私はあなたの要件が何であるか正確にはわかりませんが、たとえば10〜20年のルート証明書を生成し、クライアントのCRLを発行し、特定のキー署名を委任するためのキー署名「サブCA」を生成することを主張できます。キーの長さ、署名するキーのタイプ、最大期間など、キー署名に特定の制限があるタスク（x509の詳細を確認してください）。
このようにして、委任を介して、所有者がルートCAを保護します。委任を取り消す場合はいつでも、委任されたCAのCRLを公開できます。
これで、最終的な制御が可能になり、ルートCAをセットアップしてオフラインにすることができます。証明書チェーンとパブリックルートCAを公開するだけで済みます。
このようにして、彼らは外部委託された仕事を実行できますが、話すために城の鍵を制御できます。