Kuinka turvaat palvelu-palvelu-viestinnän (mTLS, nolla-luottamus)?

Question

Accepted Answer

Mikropalivelun verkossa et voi luottaa verkkoon vain siksi, että se on "sisäinen". **Nolla-luottamus** olettaa, että verkko on vihamielinen, joten jokainen kutsu todistetaan ja valtuutetaan, ja liikenne salataan **mTLS**:llä.

## Keskinäinen TLS (mTLS)

Toisin kuin normaali TLS, **molemmat** osapuolet esittävät sertifikaatit. Jokainen palvelu todistaa identiteettinsä, ja liikenne salataan siirron aikana.

```text
Service A ──cert──▶ Service B
Service A ◀─cert── Service B   (both verify each other's identity)
→ caller is authenticated AND data is encrypted
```

Palvelun mesh voi tarjota mTLS:ää automaattisesti ilman sovelluskoodin muutoksia.

## Palvelu-palvelu-valtuutus

Identiteetti (kuka kutsuu) sekä käytäntö (mitä he voivat tehdä). Tunnisteet (JWT) tai SPIFFE-identiteetit kantavat soittajan identiteetin.

```yaml
# allow only the orders service to call payments
policy:
  from: { service: orders }
  to:   { service: payments, path: /charge }
  action: ALLOW            # everything else denied by default
```

## Syvyysvakuus

```text
✓ Authenticate every request (no implicit network trust)
✓ Least privilege — a service can call only what it needs
✓ Short-lived, rotated credentials/certs
✓ Validate tokens at the edge AND between services
✓ Encrypt in transit (mTLS) and at rest
```

## Sudenkuoppa

Sisäisen verkon luottaminen ("se on palomuurin takana") on se, kuinka yksi vaarantunut palvelu muuttuu täydelliseksi vaarantumiseksi.

## Miksi se on tärkeää

Tasaisessa sisäisessä verkossa vaarantunut palvelu voi muuten saavuttaa kaiken; nolla-luottamus rajoittaa räjähdyspallon sädettä.

mTLS sekä kutsukohtainen valtuutus tarkoittaa, että hyökkääjä, joka päätyy sisälle, ei silti voi teeskennellä palveluja tai liikkua lateraalisesti, mikä on modernin mikropalivelun alustan perusturvallisuuden lupaus.