零信任的技术价值

SDP应该是零信任里最让人感兴趣的技术之一，原因来自VPN，我们知道VPN其实就是一个网关认证，认证通过后就一马平川，导致诟病比较多，认证成功后就像建立了一座桥，并不关心过桥的人来自哪，想去哪，想干嘛？网络身份是解决了，但这身份却不一定与业务相关，这就导致身份不统一，需要重复认证，如果业务中没有统一身份与认证系统，也就意味着有N个业务系统就需要提供N个重复认证，这还只是身份识别问题，其他的问题就更复杂了，而这又是业务安全中经常遇到的，解决的方式往往以类似打补丁的方式，并没有一个统一的编排和调度机制，各种解决方案自然就五颜六色了，安全性难以得到保障。

前面提到访问者是谁和来自哪的问题已被SDP解决，那么要去哪，想干嘛的问题就交给了零信任的动态细粒度授权组件来解决，这个组件的技术实现意义有两个，一个解决是授权的颗粒问题；二是解决授权的动态问题。我们知道一般的系统都是有认证系统的，通过身份识别后获得相应的访问权限，而这里的权限基本上事先配置好的，如果有变化则需要再次配置，无法做到动态化；另外，权限的颗粒度也是用组或角色与系统菜单或功能关联来完成，无法做到根据用户信息的不同而不同，如果再要求返回的信息都要做到根据每个用户拥有各自隐私数据，对于基于角色的颗粒度授权模式来说就非常复杂而难以维护。

“城门失火，殃及池鱼”，为了解决这个问题，零信任进行了流量隔离，采用了网络微隔离技术，为了解决流量劫持和减少被侵入业务系统带来的横向影响，零信任的访问采用在网络加密隧道里实现端对端的加密技术，网络加密隧道可以容纳多个端对端的子隧道来保障各子隧道的独立性，避免出现流量劫持和网络的侵入，而网络加密隧道是虚拟的，可根据业务的请求实现动态化，这样不仅解决了被侵入业务系统的横向影响，也同时解决了业务系统的负载均衡问题。这个就是微隔离存在的意义，应对攻击建立了完整的防御体系。