Hvordan sikrer du service-til-service-kommunikation (mTLS, zero-trust)?

Question

Accepted Answer

I et mikroservices-netværk kan du ikke stole på netværket bare fordi det er "internt". **Zero-trust** antager, at netværket er fjendtligt, så hver opkald bliver godkendt og autoriseret, og trafik er krypteret med **mTLS**.

## Gensidigt TLS (mTLS)

I modsætning til normalt TLS præsenterer **begge** sider certifikater. Hver service beviser sin identitet, og trafik er krypteret under transit.

```text
Service A ──cert──▶ Service B
Service A ◀─cert── Service B   (both verify each other's identity)
→ caller is authenticated AND data is encrypted
```

Et service mesh kan give mTLS automatisk uden nogen ændringer i appkode.

## Service-til-service-autorisering

Identitet (hvem der kalder) plus politik (hvad de må gøre). Tokens (JWT) eller SPIFFE-identiteter bærer opkalders identitet.

```yaml
# allow only the orders service to call payments
policy:
  from: { service: orders }
  to:   { service: payments, path: /charge }
  action: ALLOW            # everything else denied by default
```

## Forsvar i dybden

```text
✓ Authenticate every request (no implicit network trust)
✓ Least privilege — a service can call only what it needs
✓ Short-lived, rotated credentials/certs
✓ Validate tokens at the edge AND between services
✓ Encrypt in transit (mTLS) and at rest
```

## Faldgruber

At stole på det interne netværk ("det er bag firewallen") er hvordan en enkelt kompromitteret service bliver en fuld kompromis.

## Hvorfor det betyder noget

I et fladt internt netværk kan en kompromitteret service ellers nå alt; zero-trust begrænser det sprængningsradius.

mTLS plus per-call-autorisering betyder, at en angriber, der lander indeni, stadig ikke kan udgive sig for at være services eller bevæge sig lateralt, hvilket er kernepromisset for sikkerhed i en moderne microservices-platform.