构建零信任安全体系里的四大信任

如果加星标，可以及时收到推送

锐安全第250篇原创文章，

本文801字，阅读时长4分钟

零信任体系架构图本质上是零信任的概念拼图。

上篇的零信任体系架构图里有一点小错误，把ABAC写成RBAC了，所以这个架构更新到了1.1版本：

图：锐安全零信任体系架构（ZTSA）V1.1

零信任体系架构图里最左侧的核心能力是由《零信任网络：在不可信网络中构建安全系统》里提出的四种信任和《美国国防部零信任战略（DoD Zero Trust Strategy）》里定义的七种核心能力叠加而成的。

《零信任网络：在不可信网络中构建安全系统》该书的观点是：零信任网络就是利用认证、授权与网络代理建立起设备信任、用户信任、应用信任和流量信任。

建立设备信任就是建立设备身份（DeviceID）。

设备是数字世界的员工，在数字世界里，你首先看到的就是设备。哪台电脑中毒了、哪台电脑发起了攻击等等。所以设备信任是零信任网络里信任的基石。

比如说，可以利用“黄金镜像”来保证设备的初始信任，或者设备证书、甚至是可信计算技术（TPM）。

建立用户信任就是对用户身份（UserID）进行验证。

每一个物理世界的人就对应数字世界里的一个用户，对数字世界的用户身份进行验证是零信任的基本动作。

比如可以通过密码、证书、安全令牌（Ukey等）、生物特征、带外认证（短信、电话等）、单点登录（SSO）等手段。

建立应用信任就是对整个软件供应链进行信任管理。

就是对源代码、构建、分发、执行四个过程环节进行信任度量。比如使用软件版本控制系统、进行代码审计、使用哈希或签名进行分发、运行时程序隔离等。

建立流量信任就是对网络流进行验证和授权。

这里面有一个特色技术，就是被称为“单包授权（Single Packet Authorization,SPA）”的预认证模式。

零信任体系里,关于认证有句经典的话：“先认证、后连接”，这里的认证指就是这种预认证模式，也被称为首包认证。

预认证本质上是对真正认证请求的一种授权，它往往利用一小段加密数据和签名，并使用UDP协议将数据包发送到服务器，因为UDP传输是无连接的，默认无须响应，因此可以很好地隐藏服务器。

另外，在提供真正的SPA之前，服务器不会响应来自任何客户端的任何连接，这样就有效缓解了面向服务器HTTPS协议的拒绝服务攻击（DoS）。

如果你对本文有任何建议,

欢迎联系我改进；

如果本文对你有任何帮助，

欢迎分享、点赞和在看

如果心生欢喜，不如做个长期朋友：）

参考资料：

[1][美]埃文·吉尔曼 道格·巴斯.零信任网络：在不可信网络中构建安全系统，中国工信出版社 人民邮电出版社,2019年8月

[2]DOD.DoD Zero Trust strategy,2022-11

题图：

题图创作者：晓兵与AI小助手

算法提供：百度

原文始发于微信公众号（锐安全）：构建零信任安全体系里的四大信任