一、零信任概述：从边界安全到零信任的演进
大家好，我是你们这期课程的主讲。在IoT安全这块摸爬滚打了十几年，我见过太多「边界被打穿」的惨案。今天咱们聊聊零信任——这个听起来很酷，但落地起来全是坑的概念。
1.1 从「城堡护城河」到「每个房间都上锁」
传统安全模型，说白了就是「城堡护城河」模式。你在内网，我就信你；你在外网，我就拦你。防火墙、VPN、DMZ区，全是这个思路。
但IoT场景下，这套玩法彻底失效了。你想想看：
- 一个温度传感器，放在工厂角落，通过4G直接连云端——它算内网还是外网？
- 一台医疗设备，被护士推到不同楼层，IP地址天天变——怎么划边界？
- 一个智能门锁，固件里有硬编码的私钥，黑客一掏就出来——边界防得住吗？
我在2018年帮一家智能家居厂商做安全审计时，就遇到过这种事。他们的摄像头全部部署在「安全内网」，结果一个摄像头被植入后门，整个内网的NVR、门禁系统全被拖下水。嗯，从那以后，我再也不信「内网就是安全的」这句话了。
核心转变：零信任不是不信任，而是「不自动信任」。它把信任决策从「位置」转移到「身份+上下文」上。
1.2 零信任的三大核心原则
零信任不是某个产品，而是一套安全架构原则。我个人习惯把它拆成三句话：
| 原则 | 一句话解释 | IoT场景下的体现 |
|---|---|---|
| 永不信任 | 默认拒绝所有访问请求 | 设备上线时，不因「在同一个VLAN」就放行 |
| 始终验证 | 每次请求都要重新认证授权 | 设备每发一条MQTT消息，都要校验Token |
| 最小权限 | 只给刚好够用的权限 | 温度传感器只能上报数据，不能OTA升级 |
1.2.1 永不信任（Never Trust）
这个原则听起来很绝对，但落地时其实有弹性。我建议这样理解：信任不是二元的，而是动态的、带条件的。
举个例子：一个智能电表，它今天用正确的证书连上了平台，不代表它明天还是那个电表。万一被物理篡改了呢？万一固件被替换了呢？所以「永不信任」的意思是——每次交互，都当它是第一次。
避坑指南：我曾经见过一个团队，给所有IoT设备配了相同的X.509证书，理由是「方便管理」。结果一台设备私钥泄露，整个平台都得换证书。记住：每台设备、每个身份，必须唯一。
1.2.2 始终验证（Always Verify）
「始终验证」不是让你每毫秒都验一次，而是在信任状态发生变化时，必须重新验证。
哪些算「状态变化」？
- 设备从离线变成在线
- 设备请求的权限升级（比如从「只读」变成「读写」）
- 设备所在的网络环境变了（比如从工厂内网切到了访客Wi-Fi）
- 设备的行为模式异常（比如一个传感器突然每秒发1000条消息）
我在做车联网安全时，就遇到过这种情况。一辆电动汽车的T-Box，平时只上报GPS和电量。突然有一天，它开始尝试读取其他车辆的CAN总线数据。嗯，这就是典型的「信任状态变了，但验证没跟上」的案例。
1.2.3 最小权限（Least Privilege）
这个原则最容易理解，但也最难落地。为什么？因为IoT设备种类太多，权限粒度很难把控。
我给大家一个参考粒度：
// 权限模型示例（伪代码）
Device: 温度传感器_001
- 允许: mqtt:publish:/sensors/temperature
- 允许: mqtt:subscribe:/commands/ack
- 拒绝: mqtt:publish:/ota/*
- 拒绝: mqtt:subscribe:/config/*
- 拒绝: coap:get:/firmware
你看，一个温度传感器，只需要上报数据和接收确认指令。它不需要知道其他设备的配置，更不需要碰OTA升级。这就是最小权限。
注意：最小权限不是「一刀切」。有些设备确实需要临时提权，比如固件升级时。这时候要用「Just-In-Time」权限提升，用完即收回。
1.3 零信任在IoT场景下的必要性
为什么IoT场景特别需要零信任？我总结了三个核心原因：
- 设备不可控：IoT设备部署在物理开放环境，谁都能碰。你没法保证它不被篡改。
- 网络不可信：设备可能通过Wi-Fi、4G、LoRa、Zigbee等各种方式接入，网络本身就不安全。
- 身份难管理：一台设备可能有多个身份（设备ID、用户ID、应用ID），传统基于IP的认证完全失效。
说白了，传统安全模型假设「内网是干净的」，但IoT场景下，内网比外网还脏。你想想看，一个工厂里，PLC、传感器、摄像头、AGV小车全在一个网段，它们的安全等级天差地别。一旦一个摄像头被攻破，整个生产线都可能瘫痪。
我记得有一次帮一个智慧园区做安全方案，他们的门禁系统居然和空调系统在同一个VLAN里。我问他们为什么，回答是「方便布线」。嗯，这就是典型的「边界安全思维」——只要在一个内网，就默认是安全的。
零信任在IoT场景下，不是「可选项」，而是「必选项」。因为：
- 你无法控制设备物理安全
- 你无法保证网络链路安全
- 你无法预知设备行为是否异常
所以，唯一能做的，就是不信任任何设备、任何网络、任何请求，直到它们被验证通过。
1.4 本章知识体系总览
下面这张图，是我自己画的知识体系框架。它把零信任在IoT场景下的核心逻辑串起来了。建议你保存下来，后面每章都会用到。
这张图其实就回答了三个问题：
- 为什么要做零信任（三大挑战）
- 怎么做（四大落地手段）
- 最终要达成什么（安全、可控、可审计）
后面的29章，我们会一步步把这些手段拆开揉碎，从设备身份认证、动态访问控制、持续信任评估，到最小权限策略的工程化落地。每一章都会有代码、有配置、有我在项目里踩过的坑。