📚 课程目录第2章零信任接入架构基础

2. 零信任接入架构基础

零信任不是某一台设备或某一个协议，而是一组访问决策原则在系统中的落地方式。它的核心命题可以压缩成一句话：任何访问请求，在获得授权之前都不被信任；授权必须基于身份、设备状态与上下文动态计算，并且只授予最小必要权限。在PQC（后量子密码）接入架构中，这句话会进一步变成工程约束——不仅“谁可以访问什么”要动态判定，连“用什么密码算法保护这条访问通道”也要成为策略的一部分。

一、零信任的三条硬原则

第一条是永不默认信任。传统边界模型默认内网可信，零信任取消这个前提，任何主体（用户、终端、服务、API调用方）在通过认证与授权前都视为不可信。第二条是持续验证。一次登录成功不等于会话永久可信，设备合规状态、地理位置、行为基线、时间窗口都可能触发重新评估。第三条是最小权限与动态授权。权限不是静态绑定的角色集合，而是由策略引擎根据实时上下文计算出的“本次访问可做什么”。

这三条原则在实现层面需要一个控制平面来承载身份、策略与信任评估，也需要一个数据平面来执行“先认证后连接”的访问代理。SDP（Software Defined Perimeter，软件定义边界）与SPA（Single Packet Authorization，单包授权）正是这一思路的典型实现。

二、SDP/SPA：先敲门，再开门

SDP的基本思想是默认关闭所有服务端口，访问者必须先通过控制平面完成身份认证与授权，才能获得目标资源的连接信息。SPA是SDP中常用的“敲门”机制：客户端发送一个经过加密与签名的单包，网关验证通过后才临时开放对应端口。未通过验证的扫描流量在网关看来等同于不存在，从而大幅缩小攻击面。

在PQC接入场景中，SPA包本身就需要抗量子保护。如果SPA的签名算法仍使用RSA或ECDSA，攻击者可以“先记录、后破解”，在未来量子计算机成熟后伪造敲门包。因此，SPA的签名与密钥封装应优先迁移到ML-DSA（Dilithium）或SLH-DSA（SPHINCS+）等后量子签名算法，密钥协商则采用ML-KEM（Kyber）等后量子KEM。这样，敲门包从第一跳就具备抗量子能力。

三、身份控制平面与策略引擎

身份控制平面是零信任的“户籍系统”。它需要回答三个问题：主体是谁（身份认证）、主体当前是否可信（信任评估）、主体能访问什么（授权决策）。在PQC接入中，身份控制平面自身也面临密码迁移问题：用户登录时的TLS通道、令牌签名（如JWT的签名算法）、MFA挑战的加密保护，都应逐步支持后量子算法。

策略引擎是零信任的“决策大脑”。它接收来自身份控制平面的身份断言、来自终端的安全状态、来自环境的风险信号，然后输出一个访问决策。这个决策不仅包含“允许/拒绝”，还应包含“以什么密码强度建立连接”。例如，当策略判定本次访问涉及高敏感数据时，可以要求必须使用ML-KEM+ML-DSA的混合模式，而不是仅使用经典ECDHE。

下面给出一个策略规则的示例片段，展示PQC要求如何嵌入策略：

rule "high_sensitive_access" {
  when {
    resource.classification == "secret"
    and device.compliance == "verified"
    and user.mfa == "passed"
  }
  then {
    decision = "allow"
    crypto_profile = "hybrid-pqc"   // ML-KEM-768 + X25519
    signature_alg = "ML-DSA-65"     // 替代ECDSA P-256
    session_ttl = 300               // 秒，短时令牌
  }
}

这段规则的含义是：当访问高敏感资源、设备合规且MFA通过时，允许访问，但必须使用混合PQC密码套件，签名使用ML-DSA-65，会话有效期仅300秒。这样，策略引擎就把“密码算法选择”纳入了零信任的动态授权范畴。

四、PQC与零信任的四个衔接点

衔接点一：SPA敲门包的签名与加密。SPA包是访问的第一跳，必须使用后量子签名算法（如ML-DSA）保证不可伪造，使用后量子KEM（如ML-KEM）保护包内敏感信息。若此处仍用RSA，攻击者可长期收集敲门包，待量子计算成熟后伪造合法敲门。

衔接点二：访问隧道的密钥协商。SPA验证通过后，客户端与网关建立访问隧道。隧道握手应支持混合密钥交换，即同时执行X25519和ML-KEM，两者都成功才派生会话密钥。这样即使ML-KEM未来被攻破，X25519仍提供保护；反之亦然。

衔接点三：身份令牌的签名。零信任架构中广泛使用JWT、SAML断言等令牌。这些令牌的签名算法应从RS256/ES256迁移到ML-DSA或SLH-DSA。策略引擎在验证令牌时，需要同时支持经典与PQC签名算法，以便平滑过渡。

衔接点四：策略引擎的密码套件决策。策略引擎不仅要决定“是否允许”，还要决定“用什么密码”。这要求策略模型中有明确的密码配置字段，并且能够根据资源敏感度、客户端能力、合规要求动态选择密码套件。

工程提示：PQC迁移不是一次性替换，而是长期共存。建议采用“混合模式”作为过渡：经典算法与PQC算法同时运行，两者都通过才认为安全。这样既不影响现有客户端，又能逐步积累PQC运行经验。

五、一个可执行的检查清单

在落地零信任PQC接入时，可按以下清单逐项核对：

SPA包：签名算法是否为ML-DSA或SLH-DSA？密钥封装是否为ML-KEM？是否保留经典算法作为回退？
隧道握手：是否支持X25519+ML-KEM混合密钥交换？密码套件是否在策略中可配置？
身份令牌：JWT/SAML签名算法是否已规划PQC迁移？验证端是否同时支持经典与PQC？
策略引擎：策略规则中是否包含crypto_profile字段？是否根据资源敏感度动态选择密码套件？
会话管理：会话有效期是否足够短？是否支持持续验证与动态重授权？
监控与回退：是否监控PQC握手成功率？是否具备经典算法回退路径？

零信任与PQC的结合，本质上是把“永不信任”从身份维度扩展到密码维度：不仅不默认信任访问者，也不默认信任任何单一密码算法。只有把SPA、隧道、令牌、策略四个衔接点都纳入后量子保护，整条接入链路才真正具备抗量子能力。