阿里云云原生开源开发者沙龙-通过Dubbo构建零信任安全体系

ApacheDubboPMC2024/04/12目录目录04如何实现100%操作审计01为什么需要构建零信任安全体系合规要求、数据保密、数据授权〔-〕阿里云为什么需要构建零信任安全体系〔-〕阿里云《GB/T22239-2019信息安全技术网络安全等级保护基本要求》-第三级安全要求通信传输本项要求包括：a)应采用校验技术或密码技术保证通信过程中数据的完整性；b)应采用密码技术保证通信过程中数据的保密性。可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。本项要求包括：a)应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；b)审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；c)应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；d)应对审计进程进行保护，防止未经授权的中断。恶意代码防范应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断。访问控制本项要求包括：a)应对登录的用户分配账户和权限；b)应重命名或删除默认账户，修改默认账户的默认口令；c)应及时删除或停用多余的、过期的账户，避免共享账户的存在；d)应授予管理用户所需的最小权限，实现管理用户的权限分离；e)应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；f)访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级；g)应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。数据完整性本项要求包括：a)应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等；b)应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。数据保密性本项要求包括：a)应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据b)应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。〔-〕阿里云为什么需要构建零信任安全体系〔-〕阿里云《GB/T22239-2019信息安全技术网络安全等级保护基本要求》—第三级安全要求数据加密&校验为什么需要构建零信任安全体系数据加密&校验流经多重公网运营商，存在被监听&篡改的风险HTTP1/2/3流经内网机房，云原生时代基础设施资产不再私有化归属0ZZ)〔-〕阿里云为什么需要构建零信任安全体系〔-〕阿里云访问控制HTTP1/2/3来自内部/外部的恶意访问通常会导致数据泄漏、远程命令执行等严重后果〔-〕阿里云为什么需要构建零信任安全体系〔-〕阿里云安全审计HTTP1/2/30ZZ)方案介绍、优/缺点分析>—1.Request—Client<->—1.Request—Client<-3.RequestwithToken4.VertyServer〔-〕阿里云方案介绍(JWT)CraftadbyAlgorithmHS256eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdHMACSHA256(base64UrlEncode(header)+"."+base64UrlEncode(payload),your-256-bit-secret)□secretbase64encoded"sub":"1234567890","name”:“JohnDoe","iat":1516239022DebuggerLibrariesIntroduetionAsk"alg":"HS256","typ":“JWT”AuthObyOkta}〔-〕阿里云〔-〕阿里云方案介绍(DubboToken)BrowserHTTP1/2/32.NotifywithToken1.2.NotifywithToken方案介绍(DubboToken)集群配置元数据过滤keyralue添加过滤端口临时实例权重健康状态元数据操作021side=providerrelease=3.2.6methods=sayHellodeprecated=falsedubbo=2.0.2interface=org.apache.dubbo.samples.api.GreetingServiceservice-name-mapping=trueversion=1.0.0generic=falsetoken=144ccf24-7b43-4a16-8692-176a3f03dab8下线revision=1.0.0path=org.apache.dubbo.samples.api.GreetingServiceprotocol=dubboapplication=nacos-registry-demo-providerprefer.serialization=fastjson2,hessian2dynamic=truecategory=providerstimestamp=1712799772063atorg.apache.dubbo.rpc.filter.TokenFilter.invoke(TokenFilter.java:51)~[dubbo-3.2.6.jar:3.2.6]atorg.apache.dubbo.rpc.cluster.filter.FilterChainBuilder$CopyOfFilterChainNode.invoke(FilterChainBuilder.java:334)~[dubbo-3.2.6.jar:3.2.6]atorg.apache.dubbo.rpc.filter.TimeoutFilter.invoke(TimeoutFilter.java:45)~[dubbo-3.2.6.jar:3.2.6]优/缺点分析性能高明文传输性能高改造低身份易被伪造改造低03通过TLS构建认证鉴权体系方案介绍、优/缺点分析方案介绍JWT+TLSmTLSJWT+TLSmTLSmTLSmTLSmTLSmTLSmTLSAPlsContentHTTP,APlsContentHTTP,gFPC,TCPIngressIngresstraffictrafficCertificateauthorizationCertificate方案介绍2颁发临时凭证Client≤->Operator可信链路建立3发送TLS凭证4建立TLS单向认证6验证Client健证正式签发凭证7下发凭证ClientServerClientClientserver'scertificate→→44522337/zh-cn/learning/access-management/what-is-mutual-tls/方案介绍证书签发与规则下发3.VerifyTokenL7层请求校验4.SendCertwithPermissionOpenID(i.e.Kubernetes、Zeus)App2->Resource1十App3->Resource1L4层全链路加密X.509CertRequestResponseRequestResponseRequestResponseResponse+App1RequestResponseRequestResponse5.RequestRequestResponseApp2优/缺点分析性能低防泄漏、防篡改性能低非对称保证可信机制实现复杂04如何实现100%操作审计方案介绍、成本与价值如何实现100%操作审计方案介绍SLS/ELK3.UploadConsumerIPConsumer—2.GenerateConsumer—2.GenerateSignature1.全链路Trace2.DubboFilter全拦截3.参数脱敏&签名