Kako zavarujete komunikacijo med storitvami (mTLS, zero-trust)?

Question

Accepted Answer

V omrežju mikrostoritev ne morete zaupati omrežju le zato, ker je "interno". **Zero-trust** predpostavlja, da je omrežje sovražno, zato je vsak klic avtenticiran in avtoriziran, promet pa je šifriran z **mTLS**.

## Mutual TLS (mTLS)

Za razliko od običajnega TLS obe strani predstavijo certifikate. Vsaka storitev dokaže svojo identiteto, promet pa je šifriran med prenosom.

```text
Service A ──cert──▶ Service B
Service A ◀─cert── Service B   (both verify each other's identity)
→ caller is authenticated AND data is encrypted
```

Service mesh lahko zagotovi mTLS samodejno brez sprememb kode aplikacije.

## Avtorizacija med storitvami

Identiteta (kdo kliče) plus politika (kaj lahko naredijo). Žetoni (JWT) ali SPIFFE identitete nosijo identiteto klicatelja.

```yaml
# allow only the orders service to call payments
policy:
  from: { service: orders }
  to:   { service: payments, path: /charge }
  action: ALLOW            # everything else denied by default
```

## Zaščita v globino

```text
✓ Authenticate every request (no implicit network trust)
✓ Least privilege — a service can call only what it needs
✓ Short-lived, rotated credentials/certs
✓ Validate tokens at the edge AND between services
✓ Encrypt in transit (mTLS) and at rest
```

## Past

Zaupanje internega omrežja ("je za firewall") je način, kako se ena okrnjena storitev lahko razširi na celoten sistem.

## Zakaj je pomembno

V ploskem internem omrežju ena okrnjena storitev drugače lahko doseže vse; zero-trust to vsebuje. mTLS plus avtorizacija na klic pomeni, da napadalec, ki se znajde znotraj, ne more dajati predstavo storitev ali se premikati vstran, kar je osrednja obljuba varnosti sodobne platforme mikrostoritev.