设备身份与信任评估：从指纹采集到信任评分
设备接入管控，第一步就是回答一个根本问题：“你是谁？”
在零信任架构里，网络位置不再代表信任。IP地址可以伪造，MAC地址也能被篡改。我个人的习惯是，把设备身份看作一个“多维证据链”——单一证据不可靠，但多个证据交叉验证，可信度就上来了。
设备指纹采集技术
设备指纹，说白了就是给设备“拍一张身份证照片”。但这张照片不是一张图，而是一组特征数据。我把它分成三类：
1. MAC地址采集
MAC地址是网络接口的硬件标识。但说实话，这东西太容易改了。我在项目中遇到过，有些员工用手机开热点，电脑连上去后MAC地址就变了。所以MAC地址只能作为辅助因子，不能单独用来做身份判定。
- 采集方式：通过DHCP请求、ARP表、802.1X认证过程获取
- 局限性：可伪造、可随机化（iOS/Android默认随机MAC）
- 我的建议：配合交换机端口绑定，至少保证MAC在接入那一刻是真实的
2. TLS指纹采集
这个技术很有意思。每个TLS客户端在握手时，会发送一个Client Hello报文，里面包含了密码套件列表、扩展字段、椭圆曲线参数等。不同操作系统、不同浏览器、不同版本的TLS库，这些参数的排列组合都不一样。
我管它叫“TLS握手签名”。
- 采集方式：在网关或反向代理层，被动监听TLS握手，提取Client Hello中的密码套件列表、扩展顺序、椭圆曲线组
- 典型工具：JA3/JA3S指纹算法
- 避坑指南：我曾经遇到一个案例，某安全软件修改了系统TLS栈的默认参数，导致合法设备的JA3指纹突然变了，触发了误拦截。后来我们加了“指纹漂移容忍窗口”才解决
核心要点：TLS指纹是“被动式”采集，对设备无感。但指纹库需要持续更新，因为操作系统和浏览器会升级。
3. 硬件特征采集
这是最硬核的一层。硬件特征包括：
- TPM（可信平台模块）中的EK公钥
- CPU序列号、主板序列号
- 硬盘序列号、网卡固件版本
- BIOS/UEFI版本和配置
嗯，这里要注意：硬件特征采集通常需要客户端Agent。对于IoT设备，可能需要在固件层面植入采集逻辑。
实战技巧：对于移动设备，可以采集IMEI、MEID、设备型号、系统版本。但GDPR和隐私法规对这类数据有严格限制，采集前务必做合规评估。
设备身份注册与证书签发流程
指纹采集完了，下一步就是给设备一个“合法身份”。我倾向于用PKI体系来做这件事。为什么？因为证书可以绑定设备指纹，而且有生命周期管理。
下面是我在项目中常用的注册流程：
- 设备发起注册请求：设备携带采集到的指纹数据（MAC、TLS指纹、硬件特征哈希），向注册中心发起请求
- 注册中心验证指纹：比对指纹库，确认设备不是重复注册或黑名单设备
- 生成CSR：设备生成公私钥对，将公钥和指纹数据打包成证书签名请求（CSR）
- CA签发证书：注册中心作为RA（注册机构），将CSR转发给CA。CA验证通过后，签发设备证书
- 证书下发与安装：设备获取证书，存储在安全区域（如TPM、Keychain）
- 注册完成通知：设备状态更新为“已注册”，可以进入信任评估阶段
重要提醒：证书私钥必须硬件保护。我曾经见过一个项目，私钥直接存文件系统，结果被恶意进程读取，整个PKI体系形同虚设。
你想想看，如果每个设备都有唯一的证书，那么后续的TLS双向认证就可以直接验证设备身份。这就是零信任里常说的“设备即身份”。
基于多维度属性的信任评分模型
证书只能证明“设备是谁”，但不能证明“设备是否安全”。信任评分模型就是解决这个问题的。
我设计过一个评分模型，核心思路是：每个维度打分，加权求和，动态调整。
| 维度 | 权重 | 评分依据 | 典型分值范围 |
|---|---|---|---|
| 身份可信度 | 30% | 证书是否有效、指纹是否匹配、是否在注册白名单 | 0-100 |
| 安全合规性 | 25% | 操作系统补丁版本、杀毒软件状态、磁盘加密状态 | 0-100 |
| 行为异常度 | 20% | 连接频率、访问目标、流量模式是否偏离基线 | 0-100 |
| 环境风险 | 15% | 接入网络类型（内网/外网/VPN）、地理位置、时间 | 0-100 |
| 历史信誉 | 10% | 过去24小时内是否有告警、是否被举报 | 0-100 |
最终信任分 = 各维度得分 × 权重之和。我一般设三个阈值：
- ≥80分：完全信任，允许访问所有资源
- 60-79分：受限信任，允许访问部分资源，但需要二次认证
- <60分：不信任，拒绝接入或放入隔离区
关键点：信任评分不是静态的。设备接入后，持续监控行为数据，实时更新评分。比如设备突然开始扫描内网端口，行为异常度分数会立刻下降，触发重新评估。
为什么会这样设计？因为零信任的核心假设是“网络始终处于危险状态，设备随时可能被攻陷”。静态的信任判断是不够的，必须动态调整。
我的经验：评分模型上线后，一定要做“评分漂移分析”。我见过一个案例，某设备评分从85分突然掉到40分，排查后发现是Agent版本升级导致安全合规性检测项变了。这种非安全因素导致的评分波动，需要加平滑处理。
最后说一句：设备身份与信任评估，不是一次性动作。它是一个持续循环——采集、注册、评分、监控、再评估。零信任的“永不信任，始终验证”，在这里体现得最充分。