Hogyan biztosítod a szolgáltatás-közötti kommunikációt (mTLS, zero-trust)?

Question

Accepted Answer

A mikroszolgáltatások hálózatán belül nem bízhatsz a hálózatban csak azért, mert "belső". A **zero-trust** azt feltételezi, hogy a hálózat ellenséges, így minden hívás hitelesített és felhatalmazott, a forgalom pedig **mTLS** -sel titkosított.

## Kölcsönös TLS (mTLS)

A normál TLS-sel ellentétben **mindkét** oldal tanúsítványokat mutat be. Minden szolgáltatás bizonyítja az identitását, a forgalom pedig az átvitel során titkosított.

```text
Service A ──cert──▶ Service B
Service A ◀─cert── Service B   (both verify each other's identity)
→ caller is authenticated AND data is encrypted
```

Egy szolgáltatásháló automatikusan biztosíthat mTLS-t alkalmazáskód módosítása nélkül.

## Szolgáltatás-közötti engedélyezés

Identitás (ki hív) plusz szabályzat (mit tehetnek). A tokenek (JWT) vagy SPIFFE identitások a hívó identitását hordozzák.

```yaml
# allow only the orders service to call payments
policy:
  from: { service: orders }
  to:   { service: payments, path: /charge }
  action: ALLOW            # everything else denied by default
```

## Védekezés mélységben

```text
✓ Authenticate every request (no implicit network trust)
✓ Least privilege — a service can call only what it needs
✓ Short-lived, rotated credentials/certs
✓ Validate tokens at the edge AND between services
✓ Encrypt in transit (mTLS) and at rest
```

## Csapda

A belső hálózatban való megbízás ("tűzfal mögött van") az, ahogy egy kompromittált szolgáltatás teljes kompromisszá válik.

## Miért fontos

Egy lapos belső hálózatban egy kompromittált szolgáltatás egyébként mindent elérhet; a zero-trust korlátozza ezt a robbanási sugarat.

A mTLS plusz hívásonkénti engedélyezés azt jelenti, hogy egy támadó, aki belülre kerül, még mindig nem utánozhatja a szolgáltatásokat vagy nem mozoghat laterálisan, amely egy modern mikroszolgáltatások platform alapvető biztonsági ígérete.