كيف تحمي الاتصالات بين الخدمات (mTLS، zero-trust)؟

Question

Accepted Answer

داخل شبكة الخدمات الدقيقة، لا يمكنك الثقة بالشبكة فقط لأنها "داخلية". **Zero-trust** يفترض أن الشبكة معادية، لذا كل استدعاء يتم المصادقة عليه والتحقق من الصلاحيات، والحركة مشفرة باستخدام **mTLS**.

## TLS المتبادل (mTLS)

بخلاف TLS العادي، يقدم **كلا الجانبين** شهادات. تثبت كل خدمة هويتها، والحركة مشفرة أثناء النقل.

```text
Service A ──cert──▶ Service B
Service A ◀─cert── Service B   (both verify each other's identity)
→ caller is authenticated AND data is encrypted
```

يمكن لشبكة الخدمات توفير mTLS تلقائياً دون أي تغييرات في كود التطبيق.

## التفويض من الخدمة إلى الخدمة

الهوية (من يستدعي) بالإضافة إلى السياسة (ما يحق لهم فعله). الرموز (JWT) أو هويات SPIFFE تحمل هوية المتصل.

```yaml
# allow only the orders service to call payments
policy:
  from: { service: orders }
  to:   { service: payments, path: /charge }
  action: ALLOW            # everything else denied by default
```

## الدفاع بطبقات متعددة

```text
✓ Authenticate every request (no implicit network trust)
✓ Least privilege — a service can call only what it needs
✓ Short-lived, rotated credentials/certs
✓ Validate tokens at the edge AND between services
✓ Encrypt in transit (mTLS) and at rest
```

## الخطأ الشائع

الثقة بالشبكة الداخلية ("إنها خلف جدار الحماية") هي كيف تصبح خدمة واحدة مخترقة سبباً في اختراق كامل.

## لماذا يهم

في شبكة داخلية مسطحة، يمكن لخدمة واحدة مخترقة الوصول إلى كل شيء؛ zero-trust يحتوي على نطاق التأثير.

يعني mTLS بالإضافة إلى التفويض لكل استدعاء أن المهاجم الذي يدخل البيئة لا يزال لا يستطيع انتحال صفة الخدمات أو التحرك جانبياً، وهذا هو الوعد الأساسي للأمن في منصة الخدمات الدقيقة الحديثة.