Kako osiguravate komunikaciju između servisa (mTLS, zero-trust)?

Question

Accepted Answer

Unutar mreže mikroservisa ne možete vjerovati mreži samo zato što je "interna". **Zero-trust** pretpostavlja da je mreža neprijateljska, tako da je svaki poziv autentificiran i autoriziran, a promet je šifriran sa **mTLS**.

## Međusobni TLS (mTLS)

Za razliku od normalnog TLS-a, **obje** strane prezentiraju certifikate. Svaki servis dokazuje svoj identitet, a promet je šifriran tijekom prijenosa.

```text
Service A ──cert──▶ Service B
Service A ◀─cert── Service B   (both verify each other's identity)
→ caller is authenticated AND data is encrypted
```

Servisna mreža može automatski pružiti mTLS bez promjena u kodu aplikacije.

## Autorizacija između servisa

Identitet (tko poziva) plus politika (što mogu raditi). Tokeni (JWT) ili SPIFFE identiteti nose identitet pozivaoca.

```yaml
# allow only the orders service to call payments
policy:
  from: { service: orders }
  to:   { service: payments, path: /charge }
  action: ALLOW            # everything else denied by default
```

## Obrana u dubini

```text
✓ Authenticate every request (no implicit network trust)
✓ Least privilege — a service can call only what it needs
✓ Short-lived, rotated credentials/certs
✓ Validate tokens at the edge AND between services
✓ Encrypt in transit (mTLS) and at rest
```

## Zamka

Vjerovanje unutarnoj mreži ("nalazi se iza vatrozida") je kako jedan kompromitiran servis postaje potpuna kompromitacija.

## Zašto je to važno

U ravnoj unutarnoj mreži, jedan kompromitiran servis inače može dosegnuti sve; zero-trust ograničava taj radius eksplozije.

mTLS plus autorizacija po pozivu znači da napadač koji se nalazi unutra još uvijek ne može lažirati identitet servisa ili se kretati bočno, što je osnovna sigurnosna obećanja moderne platforme mikroservisa.