Kaip užtikrinti tarnybų komunikacijos saugumą (mTLS, zero-trust)?

Question

Accepted Answer

Mikrotarnybų tinkle negalite pasitikėti tinklu tik todėl, kad jis yra "vidinis". **Zero-trust** daro prielaidą, kad tinklas yra priešiškas, todėl kiekvienas skambis yra autentifikuojamas ir autorizuojamas, o duomenys šifruojami naudojant **mTLS**.

## Mutual TLS (mTLS)

Skirtingai nuo įprastos TLS, **abi** pusės pateikia sertifikatus. Kiekviena tarnyba įrodo savo tapatybę, o duomenys šifruojami persiųlimo metu.

```text
Service A ──cert──▶ Service B
Service A ◀─cert── Service B   (both verify each other's identity)
→ caller is authenticated AND data is encrypted
```

Tarnybų tinklas gali automatiškai suteikti mTLS be jokių programos kodo pakeitimų.

## Tarnyba-tarnyba autorizacija

Tapatybė (kas skambina) plius politika (ką jie gali daryti). Žetonai (JWT) arba SPIFFE tapatybės nešioja skambinančiojo tapatybę.

```yaml
# allow only the orders service to call payments
policy:
  from: { service: orders }
  to:   { service: payments, path: /charge }
  action: ALLOW            # everything else denied by default
```

## Gynybos sluoksniai

```text
✓ Authenticate every request (no implicit network trust)
✓ Least privilege — a service can call only what it needs
✓ Short-lived, rotated credentials/certs
✓ Validate tokens at the edge AND between services
✓ Encrypt in transit (mTLS) and at rest
```

## Spąstai

Pasitikėti vidiniu tinklu ("tai yra už ugnialinės sienos") yra tai, kaip viena sugadinta tarnyba gali visiškai sugadinti sistemą.

## Kodėl tai svarbu

Plokščiame vidiniame tinkle viena sugadinta tarnyba gali pasiekti viską; zero-trust riboja tą suniokojimo sritį.

mTLS ir skambio pagal skambį autorizacija reiškia, kad atacininkas, patekęs vidun, vis tiek negali imituoti tarnybų ar judėti šoniais, kas yra pagrindinė modernios mikrotarnybų platformos saugumo garantija.