把諸如公共密鑰基礎設施這樣的安全控制措施遷往云計算確實是可以實現成本節省的，但是云計算的安全措施是否強大到足以確保其安全性呢?

[[117408]]

當你在考慮一個基于PKI的基本系統的不同組成部分時，公共密鑰基礎設施很顯然地在IT領域獲得了一個意義深遠的立足之地。從證書授權到證書撤銷列表再到注冊結構，在PKI環境內確保通信的安全性將是一項非常耗費計算資源的任務，這一點是非常顯而易見的。有鑒于此，相關的成本支出就會很容易出現失控，這意味著是否需要把所有的PKI遷往云計算就成為了一個非常值得探討的命題。

一個公共密鑰基礎設施可以讓企業用戶在一個公共的網絡(例如使用加密密鑰對的互聯網)中實現安全的數據交換， 并向最終用戶授權安全證書。把PKI遷往云計算而帶來的便利性是具有深遠意義的。同樣出于成本方面的考慮，很多在過去回避PKI的企業現在可能會希望重新考慮他們的定位，即基礎設施即服務(IaaS)已成為眾多企業用戶更為經濟可行的選擇對象。

基于PKI的系統的核心就是證書授權(CA)。CA通過一臺指定的內部服務器或服務器集群向最終用戶發送授權證書。在大型的全球性組織中，這一個過程可能是相當麻煩的。如果位于每個站點的CA服務器足夠強大到能夠正常處理CKI環境分配的日常工作負載，那么其網絡性能問題就可能不是什么太大的問題。相反，如果這臺CA服務器還承擔著其它的任務或者它不具備能夠勝任這項工作的高性能，那么可考慮采用另一種訪問CA的方法。在這兩種情況下，把這個任務遷往云計算可能是一個值得進一步研究的課題。

但是，當我們考慮把企業的整個公共密鑰基礎設施都遷往云計算(例如亞馬遜網絡服務AWS或谷歌云計算)時，上述的命題就顯得過時了。因為我們不僅要把證書授權置于云計算中，而且要把所有的其它相關組件都遷往云計算——即注冊機構、證書吊銷列表、LDAP服務器等等。我們突然發現，性能方面的問題已不再是一個問題了，因為企業組織都是愿意從供應商處購買足夠性能的資源的。

例如我們假設，一個系統管理員想要為他在AWS中的網絡設置基本的PKI。管理員秩序配置和部署適宜數量的亞馬遜機器鏡像(AMI);他/她可以通過同一臺顯示器配置所有的服務器，其中包括：一臺CA服務器、一臺證書撤銷列表服務器(CRL)服務器以及一臺注冊機構(RA)服務器。然后，管理員只需簡單地把所有網絡流量指向這同一組AMI就可以正常開展授權。如果由于某種原因，系統管理員需要在之后增加更多的基礎設施，他就可以通過簡單的操作來完成這一擴容任務。

把PKI遷往云計算的安全性陷阱

把公共密鑰基礎設施遷往云計算可能在經濟性和操作方便性方面是具有意義的，但是這柄雙刃劍的另一面又是什么呢?具有諷刺意味的是，把PKI遷往云計算的問題之一就與安全性相關。

一旦企業決定將其公共密鑰基礎設施遷往云計算，那么數據的所有者將不再掌握數據的物理控制權。例如，如果云計算公司被提出了一項針對性的訴訟，那么云計算供應商就有可能被迫交出本屬于一個完全躺著中箭的第三方的數據——即，它的客戶。因為法律對于存儲在云計算中數據的實際所有者的解釋存在著灰色地帶，所以以上的這一情況并不是筆者信口胡謅的。還有，如果一家企業對其云計算供應商不滿，那么更換供應商可能并不是一件能夠順利開展的任務。

雖然把公共密鑰基礎設施遷往云計算可能在很多不同層面上是一項有重大意義的決定，但是真正做出這一決策還是需要高度審慎的態度和經過深思熟慮的。

諸如Gazzang公司這樣的企業已經在研究解決這類安全性問題了，如可把這些PKI使用的公共密鑰分別置于不同的平臺。

盡管還存在著這樣那樣的問題，但是把公共密鑰基礎設施遷往基于云計算的平臺無疑是一個將發展成為行業***實踐的想法。