一、零信任概述：从边界安全到远程证明

大家好，我是这次课程的主讲。在安全这个行当摸爬滚打了十几年，我亲眼见证了安全架构从「修墙」到「拆墙」的转变。今天咱们聊的零信任，说白了就是一场安全思想的革命。

我记得2015年刚接触这个概念时，心里还犯嘀咕：不信任内部网络？那公司内部还怎么干活？后来踩过几次坑才明白——不是不信任人，而是不信任「环境」和「设备」。

1.1 从边界安全到零信任的演进

传统安全模型长什么样？你想想看，就像一个城堡。城墙外面是危险的互联网，城墙里面是安全的内部网络。防火墙、VPN、入侵检测，全围着这道墙转。

但这种模型有个致命问题：一旦攻破城墙，内部就畅通无阻。我在2017年参与过一个金融客户的安全审计，他们内部网络被横向移动了整整三个月才被发现。攻击者从一台测试服务器跳到了核心数据库，中间没有任何阻拦。为什么？因为所有内部流量默认都是「可信」的。

边界安全的问题清单：

• 内网默认信任——攻破一点，漫游全网
• 静态边界——云、移动办公、远程接入让边界模糊
• 过度特权——员工账号权限往往远大于实际需要
• 缺乏可见性——东西向流量基本是黑盒

零信任的出现，就是要把「默认信任」彻底干掉。它的核心理念是：无论请求来自哪里，都不应该被自动信任。

1.2 零信任三大核心原则

零信任不是某个产品，而是一套原则。我个人习惯把这三大原则记成「三不」：不信任、不停验、不多给。

原则一：永不信任（Never Trust）

嗯，这个最狠。它要求你默认拒绝所有访问请求，直到请求方证明自己是可信的。注意，是「证明」，不是「声称」。

我曾经帮一家电商公司做架构改造，他们一开始很抗拒：「内部员工访问内部系统还要验证？太麻烦了吧？」结果呢？半年后他们自己统计，光内部员工账号泄露导致的异常登录就拦截了200多次。麻烦一点，但值得。

原则二：始终验证（Always Verify）

验证不是一次性的。登录时验证一次，然后全天信任？不行。零信任要求持续验证——每次请求、每个会话、每个操作都要重新评估。

验证维度至少包括：

• 身份（你是谁？）
• 设备（你的设备安全吗？）
• 环境（你在哪里？什么时间？）
• 行为（你正在做什么？正常吗？）

原则三：最小权限（Least Privilege）

这个最好理解：只给完成任务所需的最小权限。不多给，不少给。

我见过最夸张的例子：一个普通开发人员，账号权限居然能访问整个AWS账户的所有S3存储桶。这不是他的错，是权限模型太粗放。最小权限要求我们做到「按需分配、用完即收」。

原则	核心含义	常见误区
永不信任	默认拒绝，验证后才放行	以为「信任」=「不验证」
始终验证	持续评估，动态调整	只做登录验证，忽略后续
最小权限	按需授权，及时回收	权限粒度太粗，长期有效

1.3 远程证明在零信任中的定位

好，前面铺垫了这么多，终于到咱们课程的核心了——远程证明。

你想想看，零信任要求「始终验证」，但验证什么？怎么验证？传统做法是验证用户名密码、验证OTP、验证设备指纹。但这些够吗？

不够。为什么？因为你无法确认对方设备是否被篡改。比如一个员工用自己的笔记本接入公司网络，笔记本上可能已经中了Rootkit，或者BIOS被改写过。你验证了他的账号密码，但设备本身已经不可信了。

远程证明（Remote Attestation）就是来解决这个问题的。它让一台设备向验证方证明自己「没有被篡改」——从硬件层到固件层到操作系统层，逐层验证完整性。

远程证明在零信任架构中的位置：

• 身份验证的补充——不仅验证人，还验证设备
• 持续验证的数据源——每次访问都检查设备健康状态
• 最小权限的动态依据——设备状态差，权限自动降级

下面这张图展示了远程证明在零信任接入中的核心位置：

总结一下这章的核心：

• 边界安全已经过时，零信任是必然趋势
• 三大原则：永不信任、始终验证、最小权限
• 远程证明是零信任「验证」环节的关键技术，它让设备自证清白

嗯，这一章就到这里。内容不多，但都是基础中的基础。后面的章节我们会一步步深入远程证明的技术细节，包括TPM、vTPM、证明协议、策略编排等等。准备好了吗？咱们继续。