Hvordan sikrer du service-til-service-kommunikasjon (mTLS, zero-trust)?

Question

Accepted Answer

Inni et mikrotjenestenettverk kan du ikke stole på nettverket bare fordi det er "internt". **Zero-trust** forutsetter at nettverket er fiendtlig, så hver anrop autentiseres og autoriseres, og trafikken krypteres med **mTLS**.

## Gjensidig TLS (mTLS)

I motsetning til normal TLS presenterer **begge** sider sertifikater. Hver tjeneste beviser sin identitet, og trafikken krypteres under overføring.

```text
Service A ──cert──▶ Service B
Service A ◀─cert── Service B   (both verify each other's identity)
→ caller is authenticated AND data is encrypted
```

En tjenestemaske kan levere mTLS automatisk uten endringer i appkode.

## Service-til-service-autorisasjon

Identitet (hvem som ringer) pluss policy (hva de får gjøre). Tokens (JWT) eller SPIFFE-identiteter bærer oppringerens identitet.

```yaml
# allow only the orders service to call payments
policy:
  from: { service: orders }
  to:   { service: payments, path: /charge }
  action: ALLOW            # everything else denied by default
```

## Forsvar i dybden

```text
✓ Authenticate every request (no implicit network trust)
✓ Least privilege — a service can call only what it needs
✓ Short-lived, rotated credentials/certs
✓ Validate tokens at the edge AND between services
✓ Encrypt in transit (mTLS) and at rest
```

## Fallgruve

Å stole på det interne nettverket ("det er bak brannmuren") er hvordan en enkelt kompromittert tjeneste blir et fullstendig kompromiss.

## Hvorfor det er viktig

I et flatt internt nettverk kan én kompromittert tjeneste ellers nå alt; zero-trust begrenser den sprengningsradien.

mTLS pluss per-anrop-autorisasjon betyr at en angriper som lander innside fortsatt ikke kan etterligne tjenester eller bevege seg sidelengs, som er kernebetingelsen for et moderne mikrotjenesteplattform.