新聞

PKI聯盟（PKI Consortium）近期發布2.0.0版公開金鑰基礎建設（PKI）成熟度模型PKIMM，這是PKIMM自2023年推出1.0.0後首次版本更新。新版首度將密碼學治理獨立成類別，要求組織掌握密碼學技術的使用情況，並預先規畫如何因應演算法安全性受到影響、既有密碼學技術遭淘汰或法規改變等情況，強化密碼學敏捷性，並為PQC轉型奠定基礎。

這次改版後，PKIMM涵蓋治理（Governance）、管理（Management）、營運（Operations）及資源（Resources）等4個模組，共16個類別、77項要求，仍採5個成熟度等級，但第2級由Basic更名為Foundational，等級定義不變。這套開放且廠商中立的模型，可供組織評估目前PKI成熟度，並找出後續改善方向。PKIMM初期版本則涵蓋15個類別。

治理模組新增的密碼學類別下設6項要求，涵蓋術語與範圍、演算法與參數、協定與版本、密碼學技術使用情況、生命週期與淘汰，以及密碼學敏捷性。組織需要界定哪些演算法、參數及協定可使用、應限制使用或停止使用，並優先從關鍵系統著手，掌握其中使用的演算法、金鑰、憑證及協定。PKI聯盟表示，舊版PKIMM將部分密碼學要求分散在金鑰管理及憑證管理類別，不僅內容有所重疊，部分術語也不夠明確，因此新版改由獨立類別集中管理，並要求預先規畫密碼學技術的核准、淘汰及替換機制，以因應演算法安全性受到影響、既有密碼學技術遭淘汰或法規改變等情況。

新版PKIMM新增擴充機制，可針對特定風險、技術或產業加入額外條件或調整權重，同時維持核心模型及基準分數不變。首個採用這套機制的項目是PQC準備度擴充（PQC Readiness Extension），在核心模型之外加入PQC準備度相關條件，並著重與PQC轉型最相關的要求，包括密碼學類別中的相關項目。目前這項擴充的治理模組已完成，其餘模組仍在開發。

憑證管理是這次改版的另一項重點。PKIMM 2.0.0將憑證驗證正式納入成熟度評估，要求使用憑證的系統明確記錄並實作憑證驗證規則，同時確認這些規則確實執行，包括如何建構及驗證憑證路徑、接受哪些信任錨點（trust anchor），以及如何檢查憑證有效期限與撤銷狀態等；若無法確認憑證是否遭撤銷，也必須事先定義處理方式。

除了強化憑證驗證，新版PKIMM進一步擴大憑證盤點範圍，要求組織將所有已知憑證及核准的信任錨點納入清冊。因此，即使組織本身不簽發憑證，只要系統需要依賴憑證，也適用這項盤點要求。憑證探索範圍則延伸至系統及裝置的信任儲存區（trust store），藉此找出未經授權的憑證授權中心（Certificate Authority，CA）。

在評估方式方面，新版PKIMM將自我評估從類別進一步細化至個別要求。Web工具提供Self與Full兩種模式，前者可針對16個類別快速檢視PKI成熟度；後者則逐項檢查77項要求，讓組織記錄佐證資料及改善計畫，並了解要達到下一個成熟度等級仍需改善哪些項目。

已採用PKIMM 1.0.0的組織，原有評估結果仍然有效，但下次重新評估時，需要納入新的密碼學類別，並重新檢視金鑰管理、憑證管理，以及政策與文件等3個受到要求調整影響的類別。由於部分加權要求有所新增或移除，即使其他評分沒有變動，重新計算後的成熟度等級仍可能改變。