RSAConference2022已正式落下帷幕。在今年RSA预测的十大安全趋势中，零信任作为持续入选的话题，依然受到业内的广泛关注。
作为传统边界防护体系的转型与创新，零信任比传统边界防护体系的适用范围更加广泛。可通过对用户、系统、网络、行为等多个方面的持续可信评估，对用户访问行为、安全威胁进行实时动态分析，不断优化调整自身的安全防御策略，实现对企业网络安全能力的升级。在RSA2022大会上，众多厂商也从不同角度对零信任架构、密码学技术的应用技术，以及如何将它们结合以提高可信度等多个角度展开探讨。比如今年入选创新沙盒十强的BastionZero，就是一家具有密码学领域背景的初创公司，它通过基于阈值的密码技术创新来解决零信任中信任凭据的安全问题。零信任在实际环境中的应用不仅仅是应对攻击，还必须保证自身信任模型的建立与可靠。
密码学支撑零信任体系更安全
零信任作为一种全新的架构理念，核心理念是不信任任何设备和用户，除非验证他们可信。验证主客体可信的过程就涉及到零信任体系的一个重要功能，即信任管理能力，赋予主客体可信任的因素并进行管理。同时，我们通过密码技术来实现各方的信任验证，进而保证这些因素的安全可靠。密码技术作为网络安全的核心技术，合理运用密码基础服务功能机密性、完整性、真实性及不可否认性，可以达到防泄密、防篡改、防假冒和抗抵赖的需求。零信任就是在设备、用户、网络传输、应用等多个方面保证各个环节、均在可信任的前提下实现用户对应用的访问。本次我们仅从身份及流量两个维度探讨密码技术在保障零信任安全中的应用。
身份信任
在零信任环境中，涉及主体多个方面的身份信任证明。终端信任在整个零信任体系中占有重要地位，大多数网络安全事件都会通过获取终端控制权，并以此为跳板来获取关键数据。零信任体系下的终端信息会结合控制平面为每台终端签发的证书、主机信息等生成唯一的终端标识，以防止客户端被伪造或仿冒。同时通过非对称密钥进行加密和签名，防止客户端被植入恶意程序或被篡改。
零信任构建的基于用户身份信任，以身份为中心进行访问控制，所有合法用户均通过多因素身份认证的形式对所有的主体，授予全局唯一合法的身份。基于密码技术的身份鉴别是密码应用建设的重点之一，是实现身份真实性的重要手段。零信任体系能够基于国密算法实现身份认证管理功能，并通过密码、证书、短信等传统认证方式，以及生物识别方式、第三方认证服务、社交认证服务等，建立一个多层次的身份验证层面的防御，人员在经过认证之后才能实现对应用层面访问。
流量信任
在零信任体系中，网络流的验证和授权在整个体系中占有重要的地位。在传统的安全体系中一般也会采用VPN、TLS等协议进行主体身份验证，但是这种方式依然会面临资源被公开、攻击面过大等风险。基于这些风险，零信任体系采用基于SPA单包授权来获取对方的网络连接权限，任何主体在与零信任体系连接之前必须要通过基于密码学的授权验证。通过将设备唯一标识以本地私钥签名，并通过UDP协议将数据包发送到零信体系来完成认证，同时通过UDP协议无连接、默认不响应的特性，实现业务系统的隐藏。当零信任体系接收到正确密钥加密的数据包并通过验证后，才对该客户端开放TCP连接端口，然后紧接着需要验证设备和用户身份的可信，以及设备的安全状态满足要求。以上验证通过后SDP网关才会对此用户和客户端开放后端应用的连接和访问权限。
零信任体系在主体通过SPA首包验证之后，通过采用双向TLS加密通信在网络中建立安全的信息传输通道，避免会话被劫持，发生中间人攻击，来保障访问系统的通信过程中的敏感数据的机密性、完整性，以及业务传输的安全性。所有主体在访问应用服务的过程中网络传输均通过安零信任体系进行安全认证，保证信息存储、传输、使用等各个环节的安全性。
总结
随着数字化转型的不断深入，越来越多的企业将采用零信任的方式实现快速访问企业应用。基于客户的远程安全办公、减少攻击暴露面、统一安全访问、数据安全访问及终端安全接入等典型应用场景，绿盟科技零信任解决方案遵循体系化的安全框架，围绕零信任理念，以保护应用和数据安全为目的，以用户和设备访问资源的信任关系为判断依据，实现从传统网络安全架构逐步向零信任迁移。通过零信任体系建设，从实战角度、业务视角出发，突破了传统网络安全的界限，在满足密评合规的同时构建全网信任模型，在动态威胁环境中实时保障数据安全，以应对数字化经济形势下复杂多变的网络环境与威胁。
上述情形之外的任何使用形式，均需提前向绿盟科技（010-68438880-5462）申请版权授权。如擅自使用，绿盟科技保留追责权利。同时，如因擅自使用博客内容引发法律纠纷，由使用者自行承担全部法律责任，与绿盟科技无关。