证书颁发机构监管在COVID-19之前就已经很复杂和令人生畏，而社交距离要求、隔离和就地避难命令已经使面对面的会议变得极其困难，使得无法验证数字证书。例如，主要的Web浏览器要求证书颁发机构(CA)进行年度审计，这些审计由第三方公司在现场执行。更重要的是，CA执行密钥仪式，这通常用于生成数字证书的公钥和私钥，甚至用于吊销或销毁已泄露的证书。大多数关键仪式不仅需要审计员，还需要公证人、法律代表、官方见证人和关键仪式“主人”以及来自CA本身的管理员。这些仪式只能由授权人员在安全设施中进行；访问这些设施通常需要多层身份验证，包括智能卡和生物识别扫描。未能进行审计或延迟密钥生成仪式可能会产生毁灭性的后果，不仅会影响相关的CA，还会影响每个HTTPS网站、代码签名的应用程序和依赖该CA证书的经过身份验证的数字文档。“我们必须进行审计，我们必须将密钥材料安全地保存在数据中心，这需要有人在场，”Sectigo（前身为Comodo）的SSL首席技术官NickFrance说。此类活动需要仔细规划和艰苦的过程。总部位于英国的GlobalSign的首席信息安全官ArvidVermote表示，冠状病毒大流行使本已复杂的审计和密钥管理操作更具挑战性，尤其是在网络钓鱼攻击的凭据滥用呈上升趋势的情况下。一些世界上最大的CA表示，在当前情况下，他们仍在处理关键管理活动。但尚不清楚这能持续多久，特别是如果它变坏，以及这对网络安全的基石意味着什么。密钥仪式挑战大多数CA都有广泛的业务连续性和灾难恢复计划，以确保在必要时保护、生成和撤销根密钥。但他们承认他们没有为COVID-19做好充分准备。Vermote说，几年前，GlobalSign解决了围绕根密钥的安全性和可用性的风险。该公司在三个不同的大陆设有分支机构，这些分支机构拥有一对活跃的根密钥，由于自然灾害、地缘政治中断或其他灾难性事件随时管理密钥，这些根密钥可能无法在其他一个或两个分支机构中访问。“我们最初解决了这些问题，我们认为这足以确保弹性，”Vermote说。“然而，当冠状病毒全球大流行影响了GlobalSign的所有三个附属公司时，情况发生了变化。GlobalSign和其他CA在其运营所在的绝大多数国家和地区被认为是必不可少的，这允许员工出差和访问数据中心以获取关键信息密钥管理仪式。但由于这些活动在大流行期间涉及大量工作和风险，因此CA试图调整他们的做法和时间表。例如，大型CADigiCert表示将推迟一些非关键的密钥管理活动，以优先考虑安全性其员工并“鼓励社会疏远，直到大流行消退。”公司发言人表示，DigiCert正在与客户保持联系，以预测需求并相应地安排时间，并且不会预见重大影响。一些关键仪式比其他仪式更容易实施。例如，Sectigo定期为下属或“子CA”执行密钥签名仪式，France说。“我们的许多合作伙伴都从我们的根证书颁发机构品牌中获取子CA。我们维护并运行这个子CA-它是白标，因为他们的证书是从根证书签署的，所以我们需要进入数据中心并执行仪式。“虽然密钥签名仪式比密钥生成仪式发生得更频繁，但它们不需要那么多的参与者；建议审计员参与，但不是强制性的。幸运的是，去年年底的Sectigo和今年大流行之前就有了密钥生成仪式。他说：“我们并不真的担心，因为那些密钥生成仪式，至少对我们来说，会同时生成很多密钥。”但我们确实需要根据这些密钥创建证书，而这确实需要访问机架这些数据中心的多层安全性使设备离线。“一些组织没有延迟密钥管理仪式，他们选择了不同的方法。管理全球IP地址和DNS根区域分配的互联网号码分配机构(IANA)计划于4月23日在美国举行DNSSEC根签署仪式。他们没有推迟该活动，ICANN（监管IANA）决定在一个仪式上签署为期九个月的证书，而不是每90天签署一次。但互联网协会互联网技术、政策和宣传负责人奥拉夫·科尔克曼认为，这样做有利有弊。“每季度签署密钥的原因是为了降低风险，”他说。如果其中一个区域签名密钥被泄露，您至少有一个有限的暴露期（90天）。曾在IANA担任密码官员并参加了DNSEC根签名仪式的Kolkman指出，预签名密钥增加了攻击窗口——当这些密钥被盗或暴露时。网络罪犯可以使用密钥来防范恶意软件。代码签名，民族国家行为者可以将其用于精心策划的网络间谍活动——或者更糟糕的是，攻击会危及互联网本身。“你可能会看到电影中的场景，”他说。此外，在大流行期间举行重要仪式会带来更直接的健康问题。ICANN负责IANA服务的副总裁金·戴维斯(KimDavies)表示，该组织正在努力尽量减少现场出席仪式的人数。周四的活动将有7人出席，而在过去的仪式上有20多人，例如2016年DNSSEC密钥交接。“我们最终选择了一种方法，我们试图让每个人都尽可能多地参与进来，但以一种远程的方式，”他说。方式。他补充说，ICANN已经为远程参与者建立了安全的视频会议渠道。戴维斯说，虽然ICANN数据中心的礼堂可以容纳30人，但安全笼或安全室等存放关键材料的区域却不能容纳30人。该位置位于硬件安全模块(HSM)中，通常为6英尺x12英尺。仪式需要三个人同时进入安全室。根据戴维斯的说法，ICANN在1月份采取了早期行动并购买了个人防护装备(PPE)。“当然，会讨论我们是否需要为仪式穿全身防护服，但我们最终认为没有必要，”他说。“‘路演’并不是所有的密钥管理仪式都可以延迟或提前几周或几个月计划。证书颁发机构有时会遇到紧急情况，需要撤销甚至销毁根密钥。在这种情况下，仪式必须举行。GlobalSign最近就是这种情况。该公司发现合规性问题，需要销毁可能被泄露的密钥，迫使Vermote和其他员工在本月早些时候进行“路演”。在管理密钥时，您会考虑密钥生成和证书吊销。但您不会考虑销毁密钥。“对于密钥生成或签署证书撤销列表(CRL)，您只需要转到一个密钥管理位置。但是对于密钥销毁，指南指出您需要销毁您拥有的密钥的所有副本，这可能需要转到多个数据中心。“我们上个月面临的挑战是，我们必须销毁我们全球所有处于封锁或半封锁命令下的地点的这些密钥的所有副本，这非常有趣，”Vermote说。这个过程是一个挑战，因为GlobalSign需要五六个受信任的人才能访问所有位置的根密钥。这涉及大量旅行和接触冠状病毒。而且，Vermote说，这些人通常是公司的高级管理人员，包括他自己。如果其中之一受到威胁，就会破坏关键管理层的业务连续性计划，并使其他GlobalSign员工面临风险。但是GlobalSign不能简单地撤销带有可疑私钥的证书。Vermote说：“因为它们是用来给文件加时间戳的，如果你真的撤销它们，所有的证书都将无效。在我们的例子中，这意味着数百万使用GlobalSign证书签名的PDF文件将被视为无效，我们当然不会希望那发生。”因此，Vermote和GlobalSign在所有地点进行了路演，以审查密钥管理活动并在官方审计员在场的情况下销毁密钥。这包括存储主动密钥对的三个主要位置（具有“被动”副本作为备份存储的位置不需要密钥仪式）。本月早些时候，Vermote不得不访问GlobalSign存储有效密钥对的三个地点之一，因为他是指定的密钥保管人，也是该欧洲地点的司仪。Vermote一大早就带着一位GlobalSign的同事，驱车穿越多个国家来到该设施，在那里他们经过多个警察局和边境巡逻检查站，进行行李搜查、旅行批准审查，甚至询问有关社交距离指示的问题。他说：“我们被告知我的同事离我太近了，我不得不把他放在车后座。与此同时，我们不得不在另一个办公室停下来取回存储在保险箱里的密码。钥匙是必要的解锁密钥材料。”当他们到达目的地时，这个过程比平时更复杂，因为所有参与者都必须穿戴大量的个人防护设备并使用自己的个人键盘，同时彼此保持安全距离。这个过程总共花了Vermote18个小时。不过，他指出，密钥销毁“非常罕见”，GlobalSign认为，只要情况不恶化，他们就可以“正常”开展密钥生成、撤销甚至销毁活动。审计延迟和不确定的审计不像密钥管理仪式那么重要，但它们仍然是证书颁发机构安全性的重要组成部分。失败或不完整的审计可能会对证书颁发机构造成严重后果；我们看到赛门铁克的CA业务审计松懈，导致谷歌、Mozilla和其他网络浏览器在2018年弃用了该公司的数千个证书（赛门铁克在2017年将该业务出售给了DigiCert）。有两种类型的审计程序：WebTrust程序，由加拿大特许专业会计师和美国注册会计师协会运行；以及由欧洲电信标准协会运营的ETSI计划。然而，关于审计的最终决策权属于主要的浏览器公司——即微软、谷歌、Mozilla和苹果。幸运的是，一些证书颁发机构，例如DigiCert，在限制生效之前于今年早些时候完成了WebTrust和ETSI审核。但其他组织就没有这么幸运了。Vermote于2月19日在mozilla.dev.security.policy论坛中提到了对审查过程的担忧。在CA代表与Mozilla和谷歌的官员进行了一些讨论之后，浏览器制造商更新了其关于审查延迟的指南。Mozilla的一位发言人表示：“目前，我们还没有看到COVID-19爆发带来的任何实质性影响。我们理解审计可能会延迟，因为审计人员无法在现场，因此我们在这方面提供了指导。”该公司表示：“当CA意识到不可抗力将延迟他们的审核时，Mozilla希望CA及时披露问题，提供定期信息更新，并保持对Mozilla根存储政策所有其他方面的遵守。”到目前为止，这些浏览器制造商尚未报告任何因大流行引起的问题。关于审计和政策执行，CA和浏览器公司似乎意见一致；Sectigo高级研究员TimCallan表示，如果谷歌、Mozilla和微软不给予CA灵活性以尽最大努力进行沟通并提供透明度，他会感到惊讶。Callan说：“他们有合理的需要知道CA正在正确地做他们的工作，而审计是其中的关键部分。与此同时，他们也有合理的需要认识到，如果出于健康和法律原因，它不可能让WebTrust审计员到现场，这是唯一的办法。”然而，没有人知道这种流行病会持续多久，或者这种灵活性会持续多久。France表示，Sectigo已经讨论了“虚拟”审计的想法，其中第三方使用安全的视频会议渠道，例如ICANN，来监控和审查CA的设施。虽然这种方法在技术上可能可行，但它最终取决于浏览器的根程序。“这是一个问题，我们没有答案，我什至认为审计人员自己也没有很好的答案，因为这种情况是前所未有的，”法兰西说。CA少校表示，COVID-19大流行证明其连续性计划是有效的，并且已做好充分准备来度过难关。“我认为所有主要的CA都完成了这项工作，那是因为我们还没有看到任何关于重大中断的情况，这是一个大问题，”Cullan说，然后CA、网络浏览器和审计员将需要讨论改变某些做法和期望。这种情况可能会引发关于CA监管的长期政策变化的讨论。“我认为有机会在标准中添加更多内容，以确保可以避免这些事情，”Vermote说。但也许专家们需要解决的最紧迫的问题是，是否所有的CA都有强大的连续性和灾难恢复计划。一些组织可能没有基础设施或人员来快速有效地应对紧急情况。虽然GlobalSign和Sectigo都表示他们在大流行期间采取更保守的方式与组织合作，但数字证书生态系统已经非常庞大。“还有很多较小的区域CA，我想知道这些CA是否可以在24小时内进行紧急撤销，这在发生密钥攻击时是必要的，对互联网安全至关重要，”Vermote说。“
