Kuinka turvaat palvelu-palvelu-viestinnän (mTLS, nolla-luottamus)?

Question

IT Interview Practice · Accepted Answer

Mikropalivelun verkossa et voi luottaa verkkoon vain siksi, että se on "sisäinen". **Nolla-luottamus** olettaa, että verkko on vihamielinen, joten jokainen kutsu todistetaan ja valtuutetaan, ja liikenne salataan **mTLS**:llä.

## Keskinäinen TLS (mTLS)

Toisin kuin normaali TLS, **molemmat** osapuolet esittävät sertifikaatit. Jokainen palvelu todistaa identiteettinsä, ja liikenne salataan siirron aikana.

```text
Service A ──cert──▶ Service B
Service A ◀─cert── Service B   (both verify each other's identity)
→ caller is authenticated AND data is encrypted
```

Palvelun mesh voi tarjota mTLS:ää automaattisesti ilman sovelluskoodin muutoksia.

## Palvelu-palvelu-valtuutus

Identiteetti (kuka kutsuu) sekä käytäntö (mitä he voivat tehdä). Tunnisteet (JWT) tai SPIFFE-identiteetit kantavat soittajan identiteetin.

```yaml
# allow only the orders service to call payments
policy:
  from: { service: orders }
  to:   { service: payments, path: /charge }
  action: ALLOW            # everything else denied by default
```

## Syvyysvakuus

```text
✓ Authenticate every request (no implicit network trust)
✓ Least privilege — a service can call only what it needs
✓ Short-lived, rotated credentials/certs
✓ Validate tokens at the edge AND between services
✓ Encrypt in transit (mTLS) and at rest
```

## Sudenkuoppa

Sisäisen verkon luottaminen ("se on palomuurin takana") on se, kuinka yksi vaarantunut palvelu muuttuu täydelliseksi vaarantumiseksi.

## Miksi se on tärkeää

Tasaisessa sisäisessä verkossa vaarantunut palvelu voi muuten saavuttaa kaiken; nolla-luottamus rajoittaa räjähdyspallon sädettä.

mTLS sekä kutsukohtainen valtuutus tarkoittaa, että hyökkääjä, joka päätyy sisälle, ei silti voi teeskennellä palveluja tai liikkua lateraalisesti, mikä on modernin mikropalivelun alustan perusturvallisuuden lupaus.

Keskinäinen TLS (mTLS)

Palvelu-palvelu-valtuutus

Syvyysvakuus

Sudenkuoppa

Miksi se on tärkeää

Aiheeseen liittyvät kysymykset