1. 零信任概述：从边界安全到零信任的演进

1.1 边界安全模型的困境

先聊聊传统安全模型。说白了，就是「内网安全，外网危险」的思维。我们在企业网络边界上堆砌防火墙、VPN、入侵检测，像给城堡修了一圈高墙。

我在2018年参与过一个智慧园区项目。客户花了大几百万买边界安全设备，结果呢？一台内部服务器的弱口令被攻破，攻击者直接在内网横向移动，最终导致整个生产系统瘫痪。事后排查发现，攻击流量走的全是「合法」的内部通道。

为什么会这样？因为边界模型有个致命假设：内网的一切都是可信的。一旦边界被突破，内部就是一片坦途。

你想想看，现在物联网设备成千上万地接入网络，传感器、摄像头、智能网关……它们大多没有传统「人」的概念，只有设备身份。边界模型根本管不过来。

1.2 零信任的三大核心原则

零信任不是某个具体产品，而是一套安全哲学。它的核心就三句话：永不信任，始终验证，最小权限。

原则	核心含义	我的理解
永不信任	默认不信任任何主体，无论它在网络内部还是外部	别管IP地址，只看身份和上下文
始终验证	每次访问请求都要经过身份认证和授权检查	不是登录一次就完事，每次请求都要验
最小权限	只授予完成任务所需的最小访问权限	给设备「够用」的权限，不多给一分

永不信任——这个我感触最深。以前做物联网项目，客户总说「设备在内网，安全得很」。我反问一句：「如果内网有台摄像头被植入后门呢？」他们沉默了。零信任的答案很干脆：不管你在哪，先验明正身再说。

始终验证——不是登录一次就放行。每次设备发数据、每次API调用，都要重新验证。我在一个车联网项目里遇到过，攻击者劫持了合法设备的会话，持续发送伪造数据。如果当时有「始终验证」机制，每次请求都检查设备指纹和上下文，攻击根本持续不了。

最小权限——这个原则在物联网里尤其重要。一个温度传感器只需要上报温度数据，你给它数据库的写权限干嘛？我曾经审计过一个智能楼宇项目，发现所有物联网设备都用一个「超级管理员」账号接入平台。嗯，这等于把整个大楼的钥匙挂在门口。

1.3 物联网引入零信任的必要性

物联网和零信任，简直是天生一对。为什么？因为物联网的安全痛点，恰好是零信任能解决的。

我列几个典型场景：

• 设备数量爆炸：一个智慧工厂可能有上万个传感器，传统人工管理根本不可行。
• 设备异构性强：从几块钱的温湿度传感器到几十万的工业机器人，安全能力天差地别。
• 设备物理暴露：摄像头装在路边，传感器放在野外，攻击者可以直接物理接触。
• 网络环境复杂：设备可能通过Wi-Fi、5G、LoRa、有线等多种方式接入。
• 生命周期长：很多物联网设备要运行5-10年，安全补丁跟不上。

你想想看，传统边界安全能应对这些吗？显然不能。零信任的「永不信任」正好解决设备不可信的问题，「始终验证」应对设备被劫持的风险，「最小权限」限制设备被攻破后的影响范围。

我曾经帮一个智慧水务项目做安全评估。他们的水质监测设备部署在野外，通过4G网络回传数据。传统做法是建VPN隧道，但设备数量一多，VPN管理就乱套了。后来我们引入零信任架构，每个设备都有唯一身份证书，访问平台时必须通过策略引擎的实时授权。效果很明显：即使某个设备被物理破解，攻击者也无法访问其他系统资源。

说白了，物联网引入零信任不是「锦上添花」，而是「雪中送炭」。设备数量越多、环境越复杂，零信任的价值就越突出。

1.4 零信任架构的核心逻辑

下面这张图是我自己画的，展示了零信任架构的核心逻辑。你可以看到，所有访问请求都要经过策略引擎的评估，而不是直接信任网络位置。

从图上你能看到，物联网设备不再直接访问业务资源。所有请求都要经过策略引擎的「三道关」：身份认证、动态授权、持续信任评估。这就是零信任的落地形态。