在与银行外包 PKI 合作时，我遇到的主要风险之一是对根证书的保护。如果您依靠您的 PKI 来保护对业务至关重要的东西，您真的希望您的 PKI 提供商向您保证根证书周围的安全性。

有一些提供商在这方面真的很努力，使用许多机制来帮助说服客户使用它们。根据经验，我在这个压力板、视网膜扫描仪、双同步键、人陷阱、root 访问的视频覆盖、授予提供者的部分访问权限以及部分给你 - 几乎所有你对邪恶天才的期望一部詹姆斯邦德电影。

另一个问题与连接有关——如果您将 PKI 用于实时服务，与提供商的连接丢失将导致拒绝服务。确保他们与您、您的客户或其他用户有弹性链接。

外包 PKI 的最大优点是您不必自己做。维护 PKI 很复杂，因此很昂贵；一个专门的实体可以通过几个托管的 PKI 共同分摊成本。

与维护 PKI 相关的巨大成本是：

• 物理托管：至少根 CA 必须在物理安全的房间中，并且最好使用硬件安全模块，这不是有史以来最便宜的硬件。房间的办公空间、摄像机、警卫、脾气暴躁的狗……意味着高昂的经常性成本。请记住，PKI 的根密钥集中了对安全性的需求（这就是密码学的工作原理：密钥的安全性被扩展到整体的安全性），因此这对攻击者来说是一个非常有价值的目标。

• 管理程序： PKI 本质上是一个将公钥绑定到物理身份的系统。这意味着，对于每个证书注册，运行一个过程，通过该过程可以物理识别请求者（无论身份概念与您的情况相关）。这必然涉及一些非计算机元素，例如人与人之间的交互。员工很贵。此外，大多数涉及 PKI 的操作都需要以确保安全性和问责制的方式进行组织，例如关键仪式。简单地定义这些程序并将它们写下来是一项艰苦的工作。

• 合法部署：证书可能具有法律价值，并且在许多情况下正是因为这种法律价值而被设想的（例如，作为一种用数字签名代替手写签名的方法，以实现无纸化过程）。知道如何获得法律价值是一个高度技术性的主题——在“律师工作”的意义上。在某些司法管辖区，需要进行通用标准评估。

所以我的建议是“默认”外包。安全 PKI 所固有的复杂性（密码学和法律意义上的“安全”）几乎总是被广泛低估。

PKI 基础设施可以为您提供帮助。

我不确定您的要求是什么，但您可以坚持生成根证书 10 到 20 年，并为客户发布您的 CRL，然后生成用于委派特定密钥签名的密钥签名“子 CA”对密钥签名有特定限制的任务，例如密钥长度、要签名的密钥类型、最长期限等（查看 x509 详细信息）。

这样，通过委托，您可以保护根 CA，如果您想随时撤销委托，您可以为委托的 CA 发布 CRL。

现在，您拥有最终控制权，您可以设置和离线根 CA，只需要公开证书链和公共根 CA。

这样，他们仍然可以执行外包工作，但您保留对城堡钥匙的控制权以便说话。