零信任,何以从一种策略和思路被吹上了天?
原创 Securityfact 小贝说安全
零信任赶上了好时候,但它的创造者没赶上。John可能恨不能生在中国——他万万没想到零信任在中国火成了这个样子。于是11年后的今天,John对零信任进行了反思,并强调:不要把零信任称为产品,也不要试图围绕零信任创建一个标准——“零信任”是一种策略。
笔者非常认同“零信任是一种安全策略的说法”。甚至可以说,零信任是网络空间安全最基础的防护策略。不就是因为觉得不安全,人们才去搞安全的吗?那以后我是不是可以发明一个“零安全”?可以把零信任的核心同信息安全基本属性(机密性、完整性和可用性)进行对比,有什么本质区别呢?无非就是,以前在边界处一次性验证身份和授权,现在则不指望边界了,也不靠一锤了买卖了,随时验证每一个用户和每一次访问请求。但该验证不也是验证吗?该进行访问控制不也是进行访问控制吗?无非就是个时机、场所、频率问题,何必搞得神神秘秘的?有什么颠覆性?
如果说零信任在实现上有什么特点,策略的动态性倒是可圈可点(但如前所述,这也绝不是新东西)。很多时候,其基于环境因素对访问控制策略进行动态调整。这个环境因素往往指“脆弱性”、“威胁”、“风险”、“安全事件”等。美国国家标准和技术研究院(NIST)提出的“零信任架构”中,已经指出了安全数据来源至少包括下图所示的红色边框里面的内容。
来源:零信任架构(NIST Special Publication 800-207)
一样的,有没有零信任,系统都在那里,产品都在那里,解决方案都在那里,无非产品和解决方案实现什么样的策略而已。很多时候,人们要信任组织,要信任父母,要信任第三方机构,因为人类的认知就是靠信任权威才建立起来的。但也有的时候,人们对电话里自称的公检法机关人员不能信任。这是场景不同而已。如果谁说,一切都不可信任了,没有再值得信任的了,那是居心叵测。如果谁说,怀疑一切一定要比信任一切要好,那也是不切实际。