En 400-6655-581
5
返回列表
> 资源中心 > 身份安全 | 零信任之网络安全

身份安全 | 零信任之网络安全

2020-09-22浏览次数:849

上回我们讲完零信任的业务安全部分(ABAC),现在我们来看看网络安全。


零信任下的网络安全包括两部分在:一部分在终端,另一部分在网关。在终端的称为可信代理,装有可信代理的终端为可信终端;在网关后端的为单报认证(SPA),称之为可信网关。



 那么零信任的网络安全

能解决什么问题呢?


先认证后连接

我们现有的机制是先连接后认证,意味着任何终端都可以与被访问的资源建立连接,这个就存在着很大的潜在风险,被访问的资源对任何终端都是开放的,即便是有不合法的终端来连接也是如此,而被访问的资源无法事先知道终端的合法性,存在被侵入和劫持的可能。对于零信任的网络安全则要求先认证后连接,这样对于无法通过认证的终端将被拒绝而无法与被访问资源建立连接。如下图所示:

这里的红线表示非可信终端的访问,绿线表示可信终端的访问。





被访问的资源对外不可见

典型的例子就是VPN访问了,VPN一直以来被企业用作远程访问内网应用服务的工具,当VPN认证通过后,内网的所有应用服务将暴露给访问者,这就存在一个问题:如果内网中存在A和B资源,当访问者只需访问A资源的时候,B资源同样被暴露给了访问者,即便访问者没有B资源的权限,但这不妨碍访问者与B资源建立连接,如果要解决这个问题,这就又回到了先认证后连接的解决方案。


针对这个情况,VPN无法解决,零信任的网络安全方案中会通过可信网关屏蔽所有非访问的资源,访问者只能够访问可以被访问的资源。以前面的例子来说,如果访问者需要访问A资源,在零信任网络安全下访问者的身份认证通过后只有A资源对其可见,B资源是不可见的。




为了便于对整体零信任下网络安全的理解,我们可以看下整体概念图:


数字证书可以标识每个可信终端,可信代理有多种模式,PC端既可以作为C/S模式下的访问,也可以作为非托管设备的代理服务,PC端的Agent实际有网络服务代理的功能,典型的就是VPN技术;浏览器则相当于一个容器或沙箱,可以保障在浏览器中的内容是安全的;而移动需要一个APP来代理网络服务,其他的APP通过SDK与之通讯进行后台资源访问。


用户要访问受保护资源之前,其设备是要先进行注册的,访问的时候再进行认证,向SAP控制中心发送单个报文,该报文不会有返回信息,是单向的认证方式,所以被称为单报认证。认证通过后SAP控制中心会调整可信网关的访问策略,只允许认证通过的设备可以访问可信网关,至于用户是否能访问受保护资源,还需要进行动态策略决策(属于零信任下的业务安全部分)才能知道有无权限,业务安全部分这里就不展开了,感兴趣的同学可以看之前的文章