05-网络安全：零信任架构

网络安全：零信任架构

原理

零信任（Zero Trust）核心理念：不信任任何网络、设备、用户。始终验证、始终加密。五支柱：

1. 网络微分段（micro-segmentation）：每个服务有独立网络策略，服务间默认不通信
2. 身份认证（mTLS + SPIFFE）：服务间 TLS 双向认证，每个服务有唯一身份证书
3. 细粒度授权（RBAC/ABAC）：每次请求独立验证权限
4. 传输加密（TLS 1.3）：所有服务间和客户端通信加密
5. 持续监控：行为异常检测和审计日志

Rust 实现依赖：rustls（TLS）、tokio-rustls（异步 TLS）、x509-parser（证书解析）、jsonwebtoken（JWT 令牌认证）。

mTLS 工作流程：双方出示 X.509 证书 → 验证 CA 链 → 验证 SPIFFE ID → 授权检查 → 建立加密通道。

安全: 网络攻击
安全: 横向移动

---

语法

use tokio_rustls::rustls::{ServerConfig, RootCertStore, Certificate};
use std::sync::Arc;
 
fn build_tls_config(cert_pem: &str, key_pem: &str) -> Arc<ServerConfig> {
    let certs = rustls_pemfile::certs(&mut cert_pem.as_bytes())
        .collect::<Result<Vec<_>, _>>().unwrap();
    let key = rustls_pemfile::private_key(&mut key_pem.as_bytes())
        .unwrap().unwrap();
 
    let config = ServerConfig::builder()
        .with_no_client_auth()              // 或 .with_client_auth() for mTLS
        .with_single_cert(certs, key).unwrap();
 
    Arc::new(config)
}
 
// JWT 令牌验证
use jsonwebtoken::{decode, DecodingKey, Validation, Algorithm};
 
fn verify_token(token: &str, secret: &[u8]) -> Result<Claims, Error> {
    decode::<Claims>(token, &DecodingKey::from_secret(secret), &Validation::new(Algorithm::HS256))
        .map(|data| data.claims)
}

---

实践

AI 自检

1. TLS 1.3 相比 TLS 1.2 在握手步骤上减少了多少 RTT？如何提升安全性？
2. SPIFFE 和 SPIRE 解决了什么问题？mTLS 证书如何与 Kubernetes pod 生命周期集成？