Bạn bảo mật giao tiếp service-to-service như thế nào (mTLS, zero-trust)?

Question

Accepted Answer

Bên trong một mạng microservices, bạn không thể tin tưởng mạng chỉ vì nó "nội bộ". **Zero-trust** giả định mạng là thù địch, nên mọi lời gọi đều được xác thực và phân quyền, và lưu lượng được mã hóa bằng **mTLS**.

## Mutual TLS (mTLS)

Khác với TLS thông thường, **cả hai** bên cùng xuất trình chứng chỉ. Mỗi service chứng minh danh tính của mình, và lưu lượng được mã hóa khi truyền.

```text
Service A ──cert──▶ Service B
Service A ◀─cert── Service B   (cả hai xác minh danh tính của nhau)
→ bên gọi được xác thực VÀ dữ liệu được mã hóa
```

Một service mesh có thể cung cấp mTLS tự động mà không cần thay đổi code app.

## Phân quyền service-to-service

Danh tính (ai đang gọi) cộng với chính sách (họ được phép làm gì). Token (JWT) hoặc danh tính SPIFFE mang theo danh tính của bên gọi.

```yaml
# chỉ cho phép orders service gọi payments
policy:
  from: { service: orders }
  to:   { service: payments, path: /charge }
  action: ALLOW            # mọi thứ khác bị từ chối theo mặc định
```

## Phòng thủ theo chiều sâu (defense in depth)

```text
✓ Xác thực mọi request (không tin tưởng mạng ngầm định)
✓ Đặc quyền tối thiểu — một service chỉ gọi được những gì nó cần
✓ Credential/cert sống ngắn, được xoay vòng
✓ Kiểm tra token ở rìa VÀ giữa các service
✓ Mã hóa khi truyền (mTLS) và khi lưu trữ
```

## Cạm bẫy

Tin tưởng mạng nội bộ ("nó nằm sau firewall mà") là cách một service bị xâm nhập đơn lẻ trở thành một sự thỏa hiệp toàn diện.

## Tại sao điều này quan trọng

Trong một mạng nội bộ phẳng, một service bị xâm nhập có thể tiếp cận mọi thứ; zero-trust chứa lại phạm vi ảnh hưởng đó.

mTLS cộng với phân quyền theo từng lời gọi nghĩa là một kẻ tấn công đã lọt vào bên trong vẫn không thể giả mạo các service hay di chuyển ngang, đây là lời hứa bảo mật cốt lõi của một nền tảng microservices hiện đại.