📚 课程目录第3章信任边界模型

3、信任边界模型：信任边界定义、信任域与信任链、边界安全策略模型

在镜像供应链中，信任边界模型是定义安全基线的核心框架。它明确了“谁可信、在什么范围内可信、信任如何传递、边界如何防护”四个关键问题。本节从信任边界的定义出发，逐步构建信任域与信任链的拓扑关系，并最终落地为可执行的边界安全策略模型。

3.1 信任边界定义

信任边界（Trust Boundary）是系统内不同信任等级区域之间的逻辑或物理分界线。在镜像供应链场景中，每经过一次构建、存储、传输或部署环节，数据与元数据的完整性都可能发生变更，因此必须在关键节点之间划定信任边界。

边界类型	定义	镜像供应链示例
物理边界	基于硬件隔离或网络分段形成的不可跨越区域	构建机集群与外部代码仓库之间的网络防火墙
逻辑边界	基于身份认证、权限策略或加密协议划分的虚拟区域	镜像仓库中不同命名空间（namespace）之间的访问控制
数据边界	数据在传输或存储过程中完整性校验的起止点	镜像签名从构建节点到部署节点的验证链
时间边界	基于时间窗口或版本有效期的信任失效点	镜像签名证书过期后，信任关系自动终止

实践要点：在定义信任边界时，应遵循“最小信任原则”——每个边界只允许经过严格验证的数据或操作通过，且边界两侧的信任等级必须明确标注在部署拓扑图中。

3.2 信任域与信任链

信任域（Trust Domain）是由同一信任策略管辖的一组实体集合。信任链（Trust Chain）则是信任关系在多个信任域之间传递的路径。在镜像供应链中，典型的信任域包括：

开发域：源代码、构建脚本、开发者身份
构建域：CI/CD 流水线、构建环境、依赖缓存
存储域：镜像仓库、签名存储、元数据数据库
部署域：容器运行时、编排平台、生产网络

信任链的建立必须满足三个条件：

根信任锚点：每个信任域必须有一个不可伪造的根凭证（如硬件安全模块 HSM 或证书颁发机构 CA）。
链式验证：从根锚点出发，每一跳都通过数字签名或完整性哈希进行验证。
不可逆性：信任链一旦断裂（如签名验证失败），后续所有环节自动降级为不可信。

3.3 边界安全策略模型

边界安全策略模型定义了信任边界上“允许什么、拒绝什么、如何审计”的规则集合。在镜像供应链中，策略模型通常采用三层结构：

策略层级	管控对象	典型规则示例
准入策略	镜像进入信任域前的验证	仅接受携带有效 Sigstore 签名的镜像；拒绝基础镜像标签为 `:latest` 的请求
传输策略	镜像在信任域之间移动时的保护	所有跨域传输必须使用 mTLS 加密；镜像层哈希值必须在传输前后校验一致
审计策略	边界事件的记录与告警	每次跨域操作生成不可篡改的审计日志；签名验证失败触发 PagerDuty 告警

常见误区：很多团队只关注准入策略而忽略传输策略与审计策略。实际上，超过 60% 的供应链攻击发生在信任域之间的传输过程中（如镜像仓库到部署集群的网络劫持）。三层策略必须同时启用，缺一不可。

3.4 策略模型落地：边界安全策略矩阵

将上述三层策略与四个信任域组合，形成可执行的边界安全策略矩阵。以下矩阵展示了每个信任边界上必须实施的最小策略集：

信任边界	准入策略	传输策略	审计策略
开发域 → 构建域	验证开发者签名；检查代码仓库分支权限	SSH 或 HTTPS 双向认证；传输层完整性校验	记录每次构建触发事件及开发者身份
构建域 → 存储域	验证构建产物签名；扫描镜像漏洞（CVSS ≥ 7 拒绝）	镜像层加密传输；仓库访问令牌最小权限	记录镜像推送时间、构建编号、签名指纹
存储域 → 部署域	验证镜像签名链；检查部署环境标签匹配	mTLS 加密；镜像拉取使用短期凭证	记录部署请求、镜像摘要、目标集群
部署域内部	运行时策略（如 Pod Security Admission）	节点间网络策略隔离	记录容器启动参数与资源访问日志

关键指标：实施完整的边界安全策略模型后，镜像供应链的信任断裂点（Trust Break Point）应满足以下要求：

• 每个信任边界至少通过 2 种不同机制的验证（如签名 + 漏洞扫描）

• 信任链总长度不超过 5 跳（超过则引入中间信任代理）

• 审计日志的不可篡改性由区块链或硬件安全模块保障