الثقة الصفرية وVPN وفحص TLS تؤدي وظائف مختلفة

تتعامل وثائق الشراء مع الثقة الصفرية وVPN وفحص TLS كما لو كانت عملية شراء واحدة، بينما كل واحد منها يجيب على سؤال لا تستطيع الآخران الإجابة عليه. النفق يبني مسارًا محميًا، وبوابة الفحص تقرأ حركة المرور التي تستطيع إنهاءها، والسياسة تقرر ما إذا كان هوية مسماة يجوز لها تنفيذ عملية مسماة على مورد مسمى. الأخير وحده قرار تصريح. ويمكن لمنتج أن يؤدي الأولين على أكمل وجه ويترك السؤال الحقيقي مفتوحًا.

ثلاث آليات، ثلاثة أسئلة

النفق يجيب على كيف تصل حركة المرور إلى الشبكة. وبوابة الفحص تجيب على ما يمكن لصندوق وسيط أن يراه ويتصرف بناءً عليه حيث يُصرَّح لها بإنهاء TLS. ومحرك السياسة يجيب على من يجوز له فعل ماذا بأي مورد، ثم يحتاج إلى نقطة تنفيذ قادرة على تطبيق ذلك الجواب. معمارية الثقة الصفرية لدى NIST تضع المورد في المركز وترفض استنتاج الثقة من مصدر الحزمة.

هذا التأطير أصعب في الإرضاء من ملصق، وأصعب بكثير في تزييفه أثناء المراجعة. كما أنه ينقل السؤال بعيدًا عن المنتجات المنشورة نحو القرارات المنفَّذة ومن ينفذها.

أين يُطبَّق القرار فعليًا

خذ طلبًا واحدًا: مهندس دعم يفتح وحدة تحكم خدمة، وجهاز شخصي موصول بالمحول نفسه يجب ألا يرث ذلك التصريح لمجرد قربه. اكتب العملية المسموح بها وشروط الجهاز والمكوّن الذي ينفذها. الموضع يقرر كل شيء: بوابة تطبيق، أو وكيل خدمة، أو تحكم مضيف، أو حدود أخرى تدعمها المؤسسة فعليًا. وأيًا كان ذلك المكوّن، فعليه أن يجلس في مسار المحاولات البعيدة والمحلية معًا.

حركة المرور التي لا تعبر مدخل VPN لا يحكمها فحص يُجرى هناك، مهما كان ذلك الفحص شاملًا. تلك الفجوة الواحدة تفسر معظم المسافة بين مخطط الثقة الصفرية ونشر عامل. ارسم مسار الطلب قبل أن ترسم المعمارية.

فك التشفير ليس تصريحًا

الاعتراض يخدم أهداف فحص ضيقة ويحمل عبئه الخاص من الشهادات والجذور الموثوقة ومراجعة الخصوصية والتطبيقات التي تنكسر تحته. لا شيء من ذلك هو معنى الثقة الصفرية، ولا شيء منه بديل عن قرار سياسة. مصادقة شخص وتصريح خدمة أمر ممكن تمامًا دون فك تشفير حزمة واحدة. التدفق المفكوك التشفير لا يقول شيئًا عن مدى استحقاق المستخدم للعملية التي يحملها.

السياسة تحتاج نوعًا واحدًا من الأدلة، وفك التشفير ليس هو. صحة الجهاز مدخل واحد بين الهوية وحساسية المورد والسياق، واجتيازها مرة لا يمنح ذلك الجهاز بقية الشبكة. خلط الاثنين يحول سؤال تصريح إلى مشروع شهادات.

حين لا تكون البوابة في المسار إطلاقًا

اجرد ما يسير دون لمس البوابة البعيدة: الروابط بين الأجهزة على القطاع المحلي، والنداءات من حمل عمل إلى آخر، ونقاط النهاية التي تُبلغ مباشرة داخل حساب سحابي. لكل مسار، سمِّ طريقة تنفيذ يمكن نشرها اليوم فعلًا. المعدات التي لا تستضيف وكيلًا تحتاج مع ذلك ضابطًا آخر مدعومًا صراحةً، وافتراض وصول الوكيل لاحقًا لا يغلق شيئًا الآن. وصول الخدمة إلى الخدمة يناسب عادة هوية حمل العمل وفحصًا مكتوبًا مقابل المورد أفضل من شبكة تراكب أخرى.

اقبل التصميم على أساس السلوك لا المخططات: أي العمليات مسموح وأيها مرفوض، وأين ينفَّذ كل جواب. اعتمد عمليات محددة مسموحة ومرفوضة، وأدرج مسارًا محليًا واحدًا لا يصل إلى البوابة أبدًا. سجل من يملك السياسة وكيف تتغير وكيف يعمل الإلغاء.

النفق المعاد تسميته يبقى نفقًا. السياسة تقرر، ولا بد لشيء أن ينفذها.