The Incident That Separates Mature PKI from Fragile PKI Once an enterprise deploys an Internal PKI, one uncomfortable question will eventually surface: “What happens if our CA is compromised?” The more realistic and dangerous version of that question is: “What if our Intermediate CA private key is compromised?” This is not a hypothetical exercise.It is…
Blog
PKI 事故演練：Intermediate CA 外洩怎麼辦
一場真正會決定企業資安生死的演練 在企業開始自建 Internal PKI 之後，幾乎一定會被問到一個問題： 「如果 CA 外洩，怎麼辦？」 而更精準、更現實的版本其實是： 「如果 Intermediate CA 私鑰外洩，我們撐得住嗎？」 這不是假設題。這是一個遲早會發生的風險事件。 這篇文章不是談理論，而是用**事故演練（Incident Drill）**的方式，帶你完整走一遍： Intermediate CA 私鑰外洩時，企業應該怎麼活下來。 一、先說結論（非常重要） Intermediate CA 外洩 ≠ PKI 全毀但前提是：你當初設計 PKI 的方式是對的。 如果設計錯誤，那就是： 二、先釐清角色：為什麼是 Intermediate CA？ 標準企業 PKI 架構 Root CA (Offline)│▼Intermediate CA│▼Server / Client Certificates 各自的責任 CA 特性 風險 Root CA 離線、極少使用 極低 Intermediate CA 線上、負責簽發 最高 👉…
Why VPN Often Becomes the Starting Point for Lateral Movement
The Most “Legitimate” Way for Attackers to Move Inside Your Network When enterprises review major security incidents, one uncomfortable pattern appears again and again: Attackers didn’t break into the internal network — they logged in. And in a large percentage of cases, that “login” happened through a VPN. This article explains a critical but often…
為什麼 VPN 是橫向移動的起點
攻擊者最喜歡的「合法入口」 在多數企業的資安事件回顧中，常常會出現一個令人不安的共同點： 攻擊者不是「突破」內網，而是「登入」內網。 而這個「登入」的入口，非常高比例就是 VPN。 這篇文章要說清楚一件事： VPN 本身不是漏洞，但它經常成為「橫向移動（Lateral Movement）」的最佳起點。 一、先釐清什麼是「橫向移動」 橫向移動（Lateral Movement）是什麼？ 簡單說： 攻擊者在取得一個合法或半合法的內部存取點後，於內網中橫向擴散，逐步接管更多系統與權限。 典型流程是： 👉 VPN 通常就是第 1 步與第 2 步的交會點。 二、VPN 的設計，天生適合「初始存取」 VPN 的基本信任模型 VPN 的核心假設是： 一旦驗證成功，使用者就屬於內部的一部分。 這對「正常員工」很方便，對「攻擊者」更方便。 三、為什麼 VPN 這麼容易被用來當起點？ 1️⃣ VPN 憑證與帳密極易被取得 常見來源包括： 一旦 VPN 憑證或帳密被取得： 攻擊者獲得的是「合法登入能力」，不是漏洞利用。 2️⃣ VPN 驗證通常只做一次 結果是： 信任一次給完，而且長時間有效。 3️⃣ VPN 連線後，內網通常「過度開放」 在許多企業內網中： 👉 VPN 後面的世界，往往缺乏第二道防線。 四、VPN 與橫向移動的「完美配合」…
Zero Trust and the Myth of Internal Network Security
Why “Being Inside the Network” No Longer Means Being Safe For decades, enterprises operated under a deeply ingrained assumption: “If it’s inside the internal network, it must be secure.” That assumption used to work.Today, it has become one of the most dangerous security myths in modern enterprise IT. Zero Trust did not emerge because vendors…
Zero Trust 與內網安全迷思
為什麼「在內網」早就不等於「安全」 在許多企業中，至今仍然存在一個根深蒂固、但極其危險的假設： 「只要在內網，就是安全的。」 這個假設曾經成立過，但在今天的企業 IT 環境中，它已經成為最容易被利用的資安迷思之一。 Zero Trust 的出現，並不是因為資安廠商想賣新東西，而是因為： 「內網」這個安全邊界，早就不存在了。 一、什麼是「內網安全迷思」？ 傳統內網安全模型 這個模型的核心信念是： 只要穿過防火牆或 VPN，後面就都是可信的。 這個模型現在為什麼會失效？ 因為現代企業早就不是「單一辦公室 + 單一網段」了。 二、內網為什麼不再安全？（現實因素） 1️⃣ VPN 讓攻擊者「合法進入內網」 一旦 VPN 連線成功： 攻擊者不是「入侵內網」，而是「登入內網」。 2️⃣ 內部系統數量爆炸，邊界模糊 問一個現實問題： 你的「內網」，到底在哪裡？ 3️⃣ 內部橫向移動（Lateral Movement）幾乎沒有阻礙 在許多企業內網中： 結果是： 三、最常見的內網安全錯誤假設 ❌ 迷思一：有防火牆就夠了 防火牆只能管： 但它管不了： ❌ 迷思二：VPN 本身就是安全機制 VPN 解決的是： 不是： ❌ 迷思三：內部系統不需要強驗證 「反正只有內部人用」 但事實是： ❌ 迷思四：內網流量不用加密 在 Zero…
Zero Trust vs VPN
From “Trusted Network Access” to “Verified Every Request” For many enterprises, VPN has long been the default solution for remote access.Then, as organizations grew more distributed and cloud-centric, new problems emerged: This is when Zero Trust entered the conversation. But a common question remains: Is Zero Trust just a newer version of VPN?Do we still…
Zero Trust 與 VPN 的差異
從「連進內網就信任」到「每一次存取都要驗證」 在多數企業的資安演進歷程中，VPN 幾乎都是第一個被採用的「遠端存取解法」。直到某一天，企業開始面臨以下狀況： 於是，Zero Trust（零信任） 開始被頻繁提起。 但很多人心中仍然有一個疑問： Zero Trust 是不是只是「比較新的 VPN」？我們到底還需不需要 VPN？ 這篇文章會用企業實務角度，清楚說明Zero Trust 與 VPN 的核心差異、適用場景與轉換思維。 一、先說結論（給很忙的人） VPN 解決的是「怎麼進內網」Zero Trust 解決的是「你能不能做這件事」 兩者解決的問題，從根本就不同。 二、VPN 的核心設計思維 VPN 的基本模型 VPN 的邏輯是： 只要你通過驗證，進入內網，就被當成可信任的一份子 VPN 真正信任的是什麼？ 一旦連線成功： 三、VPN 在現代企業的結構性問題 1️⃣ 連線成功 = 信任過大 👉 信任是「一次給完」的 2️⃣ 橫向移動風險極高 👉 VPN 是橫向移動的最佳起點 3️⃣ 與雲端 / SaaS 架構不合拍 結果： 四、Zero Trust 的核心設計思維…
Internal CA and mTLS Architecture in Practice
From Verifiable Certificates to Unspoofable Service Identity After an enterprise has completed the following steps: The next inevitable question becomes: “How do we actually use our Internal CA in an mTLS architecture?” Many enterprises stall at this stage—not because the technology is unavailable, but because: This article provides a hands-on, enterprise-oriented guide to designing and…
Internal CA 與 mTLS 架構實戰
從「可驗證憑證」到「不可偽造的服務身分」 在企業內部完成以下事情之後： 接下來，真正會被問到的關鍵問題一定是： 「我們要怎麼把 Internal CA，真正用在 mTLS 架構裡？」 很多企業卡在這一步的原因不是技術做不到，而是： 這篇文章將用實戰導向的方式，完整說明Internal CA + mTLS 在企業內部如何「用得對、用得穩、用得久」。 一、先建立正確觀念：Internal CA 與 mTLS 各自負責什麼？ Internal CA 的角色 👉 Internal CA 是信任基礎，不是安全策略本身 mTLS 的角色 👉 mTLS 是信任的使用方式 關鍵一句話 Internal CA 解決「誰能被信任」，mTLS 解決「連線雙方是不是那個人」。 二、Internal CA + mTLS 的典型企業架構 Internal CA├─ Server Certificates├─ Client Certificates└─ Trust Chain Service / Client│ (Client Cert)▼Reverse Proxy…