幾年來，零信任（ZeroTrust，ZT）成為網(wǎng)絡(luò)安全領(lǐng)域的一個(gè)熱點(diǎn)話題，甚至被很多人視為網(wǎng)絡(luò)安全領(lǐng)域的“壓倒性”技術(shù)趨勢。
零信任概念的提出，徹底顛覆了原來基于邊界安全的防護(hù)模型，受到了國內(nèi)外網(wǎng)絡(luò)安全業(yè)界的追捧。
一、零信任是什么？
零信任是一種設(shè)計(jì)安全防護(hù)架構(gòu)的方法，它的核心思路是：默認(rèn)情況下，所有交互都是不可信的。這與傳統(tǒng)的架構(gòu)相反，后者可能會(huì)根據(jù)通信是否始于防火墻內(nèi)部來判斷是否可信。
零信任是一種有積極意義的網(wǎng)絡(luò)安全思想和理念，適應(yīng)了信息化應(yīng)用和技術(shù)發(fā)展趨勢，對降低云計(jì)算、大數(shù)據(jù)條件下的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)有效。
在企業(yè)安全建設(shè)中，零信任是必須經(jīng)歷的安全防護(hù)體系技術(shù)革新，但它必然要經(jīng)歷一個(gè)長期探索實(shí)踐的過程。
從本質(zhì)上講，零信任安全不僅承認(rèn)網(wǎng)絡(luò)內(nèi)部和外部都存在威脅，而且還假定攻擊是不可避免的（或可能已經(jīng)發(fā)生）
簡而言之，零信任的原則就是“在經(jīng)過驗(yàn)證之前不要信任任何人。”
二、零信任模型的三大核心原則
零信任是一個(gè)集成的、端到端安全策略，基于三個(gè)核心原則：
永不信任，始終驗(yàn)證
始終基于所有可用數(shù)據(jù)點(diǎn)進(jìn)行身份驗(yàn)證和授權(quán)，包括用戶身份、位置、設(shè)備、數(shù)據(jù)源、服務(wù)或工作負(fù)載。
持續(xù)驗(yàn)證意味著不存在可信區(qū)域、設(shè)備或用戶。
假設(shè)有漏洞
通過假設(shè)防御系統(tǒng)已經(jīng)被滲透，可以采取更強(qiáng)大的安全態(tài)勢來應(yīng)對潛在威脅，從而在發(fā)生漏洞時(shí)將影響降到最低。
通過分段訪問和減少攻擊面、驗(yàn)證端到端加密，并實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)，限制“爆炸半徑”——由入侵引起的潛在損害的范圍和范圍。
應(yīng)用最低權(quán)限訪問
零信任遵循最低權(quán)限原則 (PoLP)，該原則限制任何實(shí)體的訪問權(quán)限，只允許執(zhí)行其功能所需的最小特權(quán)。
換句話說，PoLP 可以防止用戶、帳戶、計(jì)算進(jìn)程等在整個(gè)網(wǎng)絡(luò)中進(jìn)行不必要的廣泛訪問。
三、零信任如何助力企業(yè)“數(shù)字化轉(zhuǎn)型“實(shí)現(xiàn)落地？
企業(yè)推進(jìn)數(shù)字化轉(zhuǎn)型的過程中，業(yè)務(wù)應(yīng)用、IT 架構(gòu)、組織機(jī)制建設(shè)等工作環(huán)環(huán)相扣。
空講“數(shù)字化轉(zhuǎn)型”無用，它怎么“落地變現(xiàn)”呢？
在凡泰極客，我們認(rèn)為“小程序化”、“安全沙箱化”是其中一個(gè)基石。
邏輯如下：
- 企業(yè)的一切業(yè)務(wù)內(nèi)容，表現(xiàn)方式就是軟件化代碼化。企業(yè)的數(shù)字內(nèi)容資產(chǎn)，就是軟件
- 軟件形態(tài)和過去不一樣了，它已經(jīng)徹底脫離PC時(shí)代的“單機(jī)”，它天然是網(wǎng)絡(luò)化的、連接型的、傳播式的，企業(yè)需要掌握軟件的出版權(quán)、分發(fā)權(quán)、流動(dòng)權(quán)、使用權(quán)
- 隨需隨用、用完即走的“輕應(yīng)用”軟件形態(tài)，最符合上述要求。其中“小程序”又是輕應(yīng)用類型技術(shù)中最有廣泛基礎(chǔ)、最貼近Web因此最有生命力的技術(shù)。
- 用戶甚至不再需要去主動(dòng)意識到“軟件”這個(gè)概念的強(qiáng)存在，代碼都是自動(dòng)下載、看到就用到的，不再有傳統(tǒng)觀念下的安裝、升級，一切都是透明的
- 通過網(wǎng)絡(luò)分發(fā)傳播而下載運(yùn)行的代碼，永遠(yuǎn)不可信賴，它只能被關(guān)在安全沙箱這樣的隔離環(huán)境里面跑，沒有其他選擇
- 傳統(tǒng)企業(yè)之間的資源交換與整合，它的數(shù)字化形態(tài)就是交換自己的“數(shù)字內(nèi)容資產(chǎn)”，也就是我的平臺讓你的軟件放進(jìn)來跑一跑服務(wù)我的客戶，我的軟件投放到你的環(huán)境里觸達(dá)一下你的客戶。“你中有我，我中有你”，可是我們倆彼此在技術(shù)層面沒有任何信任基礎(chǔ)，只認(rèn)技術(shù)安全，“零信任”。所以你的代碼我只能放在沙箱里跑，我投放到你那邊的代碼，也用沙箱隔離著你的環(huán)境
- 在所謂企業(yè)“內(nèi)網(wǎng)”里，運(yùn)行的一切軟件，也不能保證安全，誰知道代碼里面用了什么開源組件、供應(yīng)鏈?zhǔn)遣皇且呀?jīng)被污染、是否隨著員工隨身設(shè)備“肉身翻墻”進(jìn)入了防火墻內(nèi)部？都得被安全沙箱關(guān)著才能運(yùn)行
凡泰極客的FinClip技術(shù)，是一種云端可控的設(shè)備端（包括IoT）安全沙箱技術(shù)，它以可分發(fā)、可流通的小程序代碼格式為軟件形態(tài)，充當(dāng)下一代企業(yè)應(yīng)用軟件的技術(shù)底座。
作為Web前端技術(shù)的“超集”，基于令牌（non-forgeable token）的安全模型，和當(dāng)前“零信任架構(gòu)”下的其他基礎(chǔ)技術(shù)在最貼近用戶、應(yīng)用的地方能建立良好的配合。
零信任安全架構(gòu)對傳統(tǒng)的邊界安全架構(gòu)模式重 新進(jìn)行了評估和審視，并對安全架構(gòu)給出了新的 建設(shè)思路。
零信任安全防護(hù)體系建設(shè)并不是一蹴而就的，需要持續(xù)改進(jìn)，不斷完善，讓我們拭目以待！
