3. 信任评估基础概念：信任的定义、信任模型与信任属性
各位同学，今天我们来聊聊信任评估里最基础、也最容易被忽视的几个概念。说实话，我见过不少团队一上来就搞复杂的信任评分算法，结果连“信任”到底指什么都没想清楚。嗯，这就像盖楼不打地基，早晚要出问题。
我个人习惯，在讲任何技术方案之前，先把概念掰扯清楚。因为概念一旦模糊，后面所有的设计都会跑偏。咱们这一章，就聚焦三个核心问题：信任是什么？信任怎么传递？信任有哪些关键属性？
3.1 信任的定义：不只是“信不信任”那么简单
在边缘计算场景下，信任不是一种感觉，而是一个可量化的、动态的、上下文相关的评估结果。
我通常这样定义：信任是评估主体（比如我们的信任评估中心）对评估客体（比如一台边缘网关）在特定时间内、特定行为上能够按照预期执行的概率估计。
你想想看，这个定义里包含了几个关键点：
- 主体与客体：谁评估谁？必须明确。
- 时间维度：信任不是一成不变的。今天可信，明天可能就被攻破了。
- 行为维度：一台网关在“数据转发”上可信，不代表它在“固件升级”上也可信。
- 概率估计：信任本质上是一个概率值，不是二元的“可信/不可信”。
核心观点：信任不是非黑即白的。我在项目中遇到过客户要求“要么100%信任，要么直接拉黑”，这其实是不现实的。边缘环境太复杂了，我们追求的是可量化的信任度，而不是绝对的信任。
3.2 信任模型：直接信任与推荐信任
信任是怎么建立起来的？主要有两种方式。我画了一张图，帮你直观理解它们的区别。
3.2.1 直接信任
说白了，就是用自己的眼睛看，用自己的数据说话。评估主体直接与评估客体交互，收集第一手的行为数据，然后计算信任度。
举个例子：我们的信任评估中心持续监控某台边缘网关的心跳上报率、数据包转发成功率、固件校验通过率。如果过去24小时内，这些指标都高于99.5%，那直接信任度就很高。
我的经验：直接信任是最可靠的，但也是最“慢”的。新设备刚上线时，没有历史数据，直接信任度就是0。这时候就需要推荐信任来补位。
3.2.2 推荐信任
当没有直接交互历史时，我们得借助“中间人”。这个中间人可以是其他网关、上级管理平台，甚至是区块链上的信誉节点。
推荐信任有个关键问题：推荐节点本身可信吗？ 我曾经在一个项目中，因为轻信了一个被攻陷的推荐节点，导致整个信任评估系统被污染。后来我们加了一层推荐节点信誉评估，才把这个问题解决。
避坑指南：推荐信任必须考虑“推荐的可信度”。如果一个节点总是给出不靠谱的推荐，它的推荐权重就应该被降低。我曾经见过一个系统，所有推荐节点权重一样，结果恶意节点疯狂刷好评，直接带偏了整个评估结果。
3.3 信任属性：完整性、机密性、可用性
信任不是空泛的概念，它必须落实到具体的属性上。在边缘网关场景下，我重点关注三个属性。这三个属性，说白了就是信息安全领域的CIA三元组，但在信任评估里有更具体的含义。
| 信任属性 | 定义 | 边缘网关场景下的具体体现 |
|---|---|---|
| 完整性 | 数据或系统未被未授权篡改 | 固件哈希校验通过、配置未被篡改、日志不可抵赖 |
| 机密性 | 敏感信息不被未授权访问 | 通信加密、密钥安全存储、敏感数据脱敏 |
| 可用性 | 系统在需要时能够正常提供服务 | 心跳正常、资源占用不超标、服务响应及时 |
3.3.1 完整性：信任的“底线”
完整性是我个人最看重的属性。为什么？因为一旦完整性被破坏，你连“信任评估”这件事本身都不可信了。
你想想看，如果一台网关的固件被篡改了，它上报的所有数据都可能造假。这时候你基于这些数据做的信任评估，还有什么意义？
在实际项目中，我通常通过远程证明和可信启动来保证完整性。每次网关启动时，都会向信任评估中心报告自己的度量值（比如PCR值），如果和预期不符，直接标记为“完整性异常”。
3.3.2 机密性：信任的“隐私”
机密性在信任评估里容易被忽略。很多人觉得“我只要评估它可不可信就行了，管它机密性干嘛？”
其实不然。举个例子：信任评估中心需要收集网关的行为数据，但这些数据本身可能就是敏感信息（比如业务流量特征）。如果机密性保护不好，攻击者可以通过监听信任评估的通信，反向推断出你的业务模式。
我建议，所有信任评估相关的通信，至少使用TLS 1.3加密。对于高安全场景，可以考虑隐私保护计算技术，比如联邦学习，让数据不出网关就能参与信任评估。
3.3.3 可用性：信任的“生命力”
可用性是最直观的信任属性。一台网关如果频繁掉线、响应超时，你很难说它是可信的。
但这里有个坑：可用性不等于信任。我曾经遇到一个案例，一台网关的可用性指标一直很好，但后来发现它是在“伪装正常”——它被攻陷后，攻击者故意保持心跳正常，实际上在后台窃取数据。
所以，可用性必须和其他属性结合来看。单独看可用性，很容易被欺骗。
总结一下：完整性是信任的“根基”，机密性是信任的“屏障”，可用性是信任的“表象”。三者缺一不可。我个人的评估模型里，完整性权重最高，其次是机密性，最后是可用性。当然，具体权重可以根据业务场景调整。
3.4 信任属性的综合评估：一个简单的例子
光讲理论太枯燥，咱们看一个实际例子。假设我们要评估一台边缘网关的信任度，我们采集了以下数据：
- 完整性：固件哈希校验通过（+20分），配置未被篡改（+15分），日志完整性校验通过（+15分）。总分：50分。
- 机密性：TLS 1.3通信加密（+15分），密钥存储在HSM中（+10分），敏感数据已脱敏（+5分）。总分：30分。
- 可用性：过去24小时心跳正常（+10分），平均响应时间<50ms（+5分），CPU占用率<70%（+5分）。总分：20分。
那么这台网关的信任度总分就是：50 + 30 + 20 = 100分（满分）。
但注意，这个分数是静态的。如果下一秒完整性校验失败，分数会立刻暴跌。信任评估必须是动态的、实时的。
我的习惯：我会给每个属性设置一个“一票否决”阈值。比如完整性分数低于30分，直接触发告警并隔离设备。因为完整性一旦出问题，其他属性再好也没用。
好了，这一章的内容就到这里。信任的定义、直接信任与推荐信任的区别、以及完整性、机密性、可用性这三个核心属性，是后续所有信任评估算法的基础。把这些概念吃透，后面学起来会轻松很多。