1. 零信任起源与核心思想：从边界安全到零信任的演进

1.1 为什么传统边界安全失效了？

我们先聊聊传统安全模型。说白了，就是“城堡+护城河”的思路——公司内网是安全的，外网是危险的。防火墙一立，VPN一拉，大家就觉得万事大吉。

但现实呢？我2018年帮一家制造企业做安全审计，发现他们的生产网和办公网之间就隔了一台防火墙。攻击者只要突破一个员工的VPN账号，整个车间都能逛。你想想看，这跟把钥匙挂在门上有什么区别？

传统边界安全有几个致命问题：

• 边界模糊——员工用手机、笔记本到处办公，VPN连回来，边界在哪？
• 内部威胁——我记得有个案例，内部运维人员直接拿U盘拷走了整个数据库。防火墙防得住吗？
• 横向移动——攻击者只要进了一台机器，就能在内网里“逛街”。
• 过度信任——内网设备默认互信，这太危险了。

1.2 零信任的起源：从Google BeyondCorp说起

零信任这个概念其实不新。2010年左右，Forrester的分析师John Kindervag就提出了“零信任”这个词。但真正把它推向大众的，是Google的BeyondCorp项目。

Google内部有个著名的故事：他们发现员工用VPN连回公司，体验极差，而且VPN本身就是一个巨大的攻击面。于是他们决定——干脆不建VPN了。所有应用都通过互联网直接访问，但每次请求都要验证身份和设备状态。

我当年第一次看到BeyondCorp的白皮书时，第一反应是：“这能行吗？”后来自己动手搭过类似的架构，才明白——不是不行，是传统思维转不过来。

零信任的演进路径大致是这样的：

1. 2010年——Forrester提出零信任概念
2. 2014年——Google发布BeyondCorp论文
3. 2017年——NIST发布零信任架构标准草案
4. 2020年——疫情推动远程办公，零信任全面爆发
5. 至今——零信任成为安全架构的默认选项

1.3 零信任三大核心原则

零信任不是一套产品，而是一套思想。它的核心就三条原则。我每次给团队培训，都会反复强调这三条：

原则一：永不信任

不管请求来自内网还是外网，不管设备是不是公司发的，默认都不信任。每次访问都要重新验证。嗯，这里要注意——“永不信任”不是“永远拒绝”，而是“永远验证”。

原则二：始终验证

验证不是一次性的。用户登录了，不代表10分钟后还是他本人。设备合规了，不代表下一秒没被植入恶意软件。我见过太多案例，攻击者拿到一个session token就能横行无阻。始终验证，就是要持续检查。

原则三：最小权限

只给完成任务所需的最小权限。不多给，不少给。我曾经帮一家公司做权限梳理，发现一个实习生居然有生产数据库的删除权限。你想想看，这合理吗？最小权限原则要求我们：权限按需分配，用完即收回。

原则	传统安全	零信任
信任模型	内网默认信任	永不信任，始终验证
验证频率	登录时验证一次	每次请求都验证
权限粒度	粗粒度（角色级）	细粒度（资源级）
网络位置	决定信任等级	不决定信任等级

1.4 零信任对IoT安全的必要性

说到IoT，我感触特别深。2019年我参与过一个智慧工厂项目，现场有上千个传感器、PLC和摄像头。这些设备大部分跑着Linux，但补丁常年不更新，默认密码也不改。你想想看，攻击者只要找到一个漏洞，就能控制整个生产线。

IoT设备有几个特点，让传统安全完全失效：

• 数量巨大——成百上千台设备，手动管理不现实
• 资源受限——很多设备跑不动杀毒软件和防火墙
• 生命周期长——设备可能用10年，但厂商只支持3年
• 物理暴露——设备放在公共区域，谁都能碰
• 协议碎片化——MQTT、CoAP、Modbus……各有各的安全问题

零信任正好能解决这些问题。为什么？

1. 永不信任——不因为设备在内网就放行，每次通信都要验证身份
2. 始终验证——设备证书定期轮换，发现异常立即隔离
3. 最小权限——传感器只能上报数据，不能访问其他设备

1.5 零信任IoT架构的核心逻辑

下面这张图是我自己总结的零信任IoT架构核心逻辑。你看一眼就能明白：

这张图展示了零信任IoT架构的三层结构：设备层、控制层、应用层。设备必须通过控制层验证才能访问应用。控制层持续评估风险，动态调整权限。说白了，就是“每次访问都要过安检”。

1.6 零信任不是银弹

最后说句实在话——零信任不是万能的。它解决的是“信任”问题，但解决不了所有安全问题。比如：

• 设备固件本身有漏洞，零信任也防不了
• 物理攻击（比如直接拆设备读flash），零信任也管不了
• 内部人员恶意操作，零信任只能降低风险，不能完全杜绝

但话说回来，零信任是目前应对IoT安全挑战最有效的架构思路。我做了这么多年安全，越来越觉得——安全不是买一堆产品堆起来，而是一种思维方式。零信任，就是这种思维方式的最新体现。