常に進化するデジタル環境では、セキュアなコミュニケーションと信頼されたアイデンティティの基盤であるPublic Key Infrastructure(PKI)が限界にまで押し付けられています。システムがますます分散化され、ワークロードがよりエフェミリアルになり、攻撃面がよりダイナミックになり、伝統的なPKIモデルはゼロ信頼アーキテクチャとサービスベースのコンピューティングの現実に不適切であることが証明されています。 サイバーセキュリティの分野で17年以上の業界経験を持つソフトウェアアーキテクターであり、IETE(Electronics and Telecommunication Engineers Institution)のメンバーであり、Sigma Xiの完全会員であり、IEEEのシニアメンバーであり、IEEE Day 2025の大使であり、現在はACMフリーモント章の会長として活動しており、この分野の専門家、研究者、学生の間の協力と知識共有を促進しています。彼は、暗号化、アイデンティティー中心のセキュリティ、自動的なキーライフサイクル管理の分野における複数の米国特許の発明者であり、彼の仕事は世界の主要なテクノロジー企業によって広く引用されています。 ラケシュ・ケシャワ ラケシュ・ケシャワ 彼は、デジタル信頼の未来は、現在のシステムの速度、細かさ、ダイナミックリスクプロフィールと一致するために、PKIを近代化することであると信じています。彼は、PKIは、ハイブリッドクラウド、ゼロ信頼アーキテクチャ、および分散型デジタルエコシステムをサポートできるように、敏捷で、自動化され、コンテキストに気付くように進化する必要があると主張しています。 The Breaking Point of Traditional PKI 「従来のPKIは、ワークロードが数分で作成、スケール化、破壊される世界で動作するように設計されたことはありません」とRakesh氏は述べています。 この変化の明確な兆候は、主要なブラウザベンダーが適用する証明書の有効性の低下です。Public TLS 証明書は、かつて 5 年間有効であったが、現在は 398 日で制限されており、より短くするという圧力が高まっています。 内部PKIでは、この変化はさらに劇的です。組織は24時間以内に期限が切れる証明書を実験しています。このアプローチはセキュリティの姿勢を強化しますが、運用上の課題を生み出します:伝統的なPKIシステムは、この規模で発行および更新の量や速度を処理できません。 Zero Trust Starts with Identity and PKI Delivers It ゼロ信頼は、アイデンティティの継続的な検証を要求するモデルとして、場所、ネットワーク、あるいは特権の仮定に関係なく、つまり、すべてのユーザー、デバイス、アプリケーション、サービスは、相互作用のあらゆる点でその正確性を証明しなければなりません。 「PKIはその証拠の背後にあるエンジンです」とRakesh氏は説明します。「それは、人間と機械の両方にとって、安全で暗号的に検証可能なアイデンティティを可能にしますが、ダイナミックに動作するように設計されている場合にのみです。 ゼロ信頼の文脈では、信頼は「ファイアウォール内」または特定のサブネット上に存在することによって確立されません。 What Defines a Modern PKI Rakesh氏は、現代のPKIを古代の同僚と区別するいくつかの特徴を述べています。 Ephemeral by design: Certificates must have short validity ranging from a few hours to a day requiring regular rotation. This reduces exposure and enforces re-verification. 証明書は、数時間から1日まで短期間で、定期的な回転を必要とする必要があります。 ポリシー主導の自動化:発行、更新、および撤回プロセスは、手動の介入や静的構成ではなく、ビジネスおよびセキュリティポリシーによって完全に自動化され、制御されるべきです。 Identity-bound credentials: Certificates should not rely on network metadata such as IPs or DNS names. Instead, they should be bound to trusted identity claims such as workload roles, verified service accounts, or authenticated users. ID-bound credentials: Certificates should not rely on network metadata such as IPs or DNS names. Instead, they should be bound to trusted identity claims such as workload roles, verified service accounts, or authenticated users. 観察性と監査性: 証明書の活動は、特に高感度システムの場合、リアルタイムで記録され、監視され、監査可能でなければなりません。 ドメイン間のスケーラビリティ:PKIは、複数のデータセンター、クラウド環境、および単一の故障点のない地域で、分散されたワークロードをシームレスにサポートする必要があります。 暗号化の柔軟性:インフラストラクチャは、完全な再設計を必要とせずに、量子後のアルゴリズムへの移行経路を含む、未来の暗号化をサポートする必要があります。 Where Modern PKI Adds Value 公共のウェブサービスを超えて、現代のPKIは現在、内部システムのセキュリティにおける戦略的資産となっています。 相互認証による暗号化されたチャンネルを介してサービス間の安全な通信。 静的トークンの代わりに署名された証明書を使用して内部API呼び出しを検証します。 ソフトウェアリリースと内部構成ファイルの正確性を確保する。 地域や孤立した環境間で暗号化されたトンネルを確立する。 開発者または管理者に特権アクセスのための証明書を発行する自動化および役割意識。 ラケシュ氏は「これらのすべてのケースでは、証明書は、システムが誰であるかを安全かつ独立に証明できるデジタルパスポートとして機能します。 Why Short-Lived Certificates Should Be the Default ラケシュ氏の最も強力な勧告の1つは、内部システムで短期間の証明書を採用することである。秘密を手動で回転したり、長期的な信頼に頼ったりする代わりに、短期的な資格は再認証を強制し、衛生を強化し、ダイナミックなスケーリングをサポートします。 「証明書が12時間しか持たない場合は、取り消しリストや有効期限が切れたキーが何ヶ月も掛かっていることを心配する必要はありません」と彼は言います。 彼は、7日間のライフスタイルから始まり、徐々に日常または時刻ごとに期限を満たすこと、ポリシーベースの自動更新と執行と組み合わせることをお勧めします。 PKIの進化を示すビジュアル・ロードマップは、長期的な証明書から短期的な自動化、完全に近代化されたアギルな信頼への進化を示しています。 上記の図は、PKIの戦略的進歩を伝統的な根源から現代的なダイナミックな信頼フレームワークへと捉え、現在のセキュリティ環境に適したものである。左側には、Classic PKIモデルが見えますが、証明書は長生きし、手動で発行され、サーバーやホストネームなどの静的システムに結び付けられています。 近代PKIの段階では、短期間の証明書と自動更新が導入され、信頼を静的資産からリアルタイムのアイデンティティ認証に移す。 これは、システムライフサイクル、セキュリティポリシー、および暗号化の柔軟性と完全に統合された信頼決定の最終段階であるPKIの近代化につながります。この段階では、PKIは、ワークロードの役割、サービスアカウント、および認証されたアイデンティティティに結びついているので、コンテキストに気付くようになります。 静的IPやDNS名の代わりに、信頼の決定が完全に統合されます。 それは監査可能で観察可能であり、証明書の活動はリアルタイムで継続的にモニタリングされます。 それはクラウドと地域を越えてスケーラブルであり、ハイブリッドおよびマルチクラウド環境をサポートしながら単一の失敗点を回避します。 この状態では、証明書管理はもはや背景の仕事ではなく、セキュリティ構造の不可欠な部分であり、すべての接続、要求、またはプロセスが要求に応じて暗号化して検証できるようにすることによってゼロ信頼の基礎を築きます。 Common Pitfalls in PKI Modernization 緊急性にもかかわらず、多くの組織はPKIシステムを近代化しようとすると予測可能なに陥ります。 PKI を一度の展開として扱う: 多くのチームが CA をインストールし、作業が完了したと仮定しますが、PKI は静的ではありません。 ポリシーを継続的に更新し、キーを回転し、発行量を監視し、脆弱性を軽減する必要があります。 システムライフサイクルとの統合を無視する: 証明書は、保証するシステムと並行して発行され、取り消されるべきである。 積極的な取り消し戦略の欠如:取り消しはしばしば誤解または遅延されることがあります。自動化と適切な観察がなければ、期限切れまたは誤用された証明書は、特に内部環境では検出されない可能性があります。 ハードコードの暗号化アルゴリズム: RSA-2048 または SHA-1 のような固定原始の周りにシステムを構築することは、規格が進化するにつれて、より強力か量子抵抗的なアルゴリズムへのスムーズな移行を可能にするために、現代の PKI は暗号化の敏捷性をサポートする必要があります。 「仮想通貨の基準はしばしば変化しない」とラケシュ氏は言いますが、そうすると、柔軟性のコストは膨大です。 A Practical Path to Modern PKI Rakesh氏は、近代化は、特に段階的に実行された場合に圧倒的である必要はないと強調しています。 内部システム、ワークフロー、および API 間で既存の証明書の使用を記録します。 証明書の寿命を徐々に短縮し、手動介入に依存しない自動更新プロセスを実装します。 アイデンティティおよび役割ベースのポリシーに基づくバイト発行により、資格証明書は承認されたエージェントにのみ発行されます。 失敗したリクエスト、異常な使用パターン、および更新を含むすべての証明書活動を監視および監査します。 仮想通貨の敏捷性と量子移行後の移行を計画し、たとえテスト環境であっても、あなたのインフラを未来に証明する。 PKIはバックエンドユーティリティやコンプライアンスチェックボックスにすぎず、今日のデジタルエコシステムにおける信頼の基本的な要素です。企業がゼロ信頼を採用し、デジタル変革を加速し、ますます複雑なシステムをセキュリティーするにつれて、PKIの近代化はもはや選択肢ではなく、基本的なものです。 「2025年以降の信頼は、自分たちが誰であるか、何を許可されているか、安全にやっているかどうかを証明できるシステムに依存するだろう」とラケシュ氏は結論付けます。 「この記事で表明された意見や意見は、単に私の意見であり、必ずしも関連組織や団体の意見を反映するものではありません。

This story contains new, firsthand information uncovered by the writer.

このオーディオは、ストーリーの元の言語で制作されています。

長すぎる; 読むには

CTA: Download the FREE AI Productivity Shift report

ゼロ信頼とマイクロサービスのためのPKIの近代化:Rakesh Keshavaからの洞察

About Author

コメント

ラベル

この記事は

Related Stories

デジタルノマドの皆さん、タイの新しい DTV ビザについて知っておくべきこと

18 種類の開発者ツールで生産性を向上しましょう 🚀🔥

AI/ML データレイクのリファレンスアーキテクチャを構築するためのアーキテクトガイド

ユニークなエコシステムを支えるビットコインUTXOのモデル

デジタルノマドの皆さん、タイの新しい DTV ビザについて知っておくべきこと

18 種類の開発者ツールで生産性を向上しましょう 🚀🔥

AI/ML データレイクのリファレンスアーキテクチャを構築するためのアーキテクトガイド

ユニークなエコシステムを支えるビットコインUTXOのモデル

Light-Mode

Classic

Newspaper

Dark-Mode

Neon Noir

Minty

HN StartUps