Mae Zero Trust, VPN ac archwiliad TLS yn gwneud gwaith gwahanol

Mae dogfennau caffael yn trin zero trust, VPN ac archwiliad TLS fel pe baent yr un pryniad, ac mae pob un yn ateb cwestiwn na all y lleill ei ateb. Mae twnnel yn adeiladu llwybr gwarchodedig, mae porth archwilio yn darllen traffig y gall ei derfynu, ac mae polisi yn penderfynu a gaiff hunaniaeth a enwir gyflawni gweithrediad a enwir ar adnodd a enwir. Dim ond yr olaf o’r rhain yw penderfyniad awdurdodi. Gall cynnyrch wneud y ddau gyntaf yn berffaith a gadael y gwir gwestiwn yn agored o hyd.

Tri mecanwaith, tri chwestiwn

Mae’r twnnel yn ateb sut mae traffig yn cyrraedd y rhwydwaith. Mae porth archwilio yn ateb beth y gall blwch canol ei weld a’i wneud lle y mae wedi’i awdurdodi i derfynu TLS. Mae peiriant polisi yn ateb pwy gaiff wneud beth i ba adnodd, ac yna mae angen pwynt gorfodi arno sy’n gallu cymhwyso’r ateb hwnnw. Pensaernïaeth zero trust NIST yn gosod yr adnodd yn y canol ac yn gwrthod casglu ymddiriedaeth o ble y daeth pecyn.

Mae’r fframio hwnnw’n anoddach ei fodloni na label, ac yn llawer anoddach ei ffugio mewn adolygiad. Mae hefyd yn symud y cwestiwn oddi wrth ba gynhyrchion sy’n cael eu defnyddio, tuag at ba benderfyniadau sy’n cael eu gorfodi a chan beth.

Lle mae’r penderfyniad yn cael ei gymhwyso mewn gwirionedd

Cymerwch un cais: mae peiriannydd cymorth yn agor consol gwasanaeth, ac ni ddylai peiriant personol sydd wedi’i blygio i’r un switsh etifeddu’r caniatâd hwnnw dim ond am ei fod gerllaw. Ysgrifennwch y gweithrediad a ganiateir, amodau’r ddyfais a’r gydran sy’n eu gorfodi. Mae lleoliad yn penderfynu popeth: porth cymhwysiad, dirprwy gwasanaeth, rheolaeth westeiwr, neu ffin arall y mae’r sefydliad yn ei chefnogi mewn gwirionedd. Beth bynnag yw’r gydran honno, rhaid iddi fod ar lwybr ymdrechion o bell ac ar y safle.

Nid yw traffig nad yw byth yn croesi mynedfa VPN yn cael ei lywodraethu gan wiriad a wneir yno, waeth pa mor drylwyr yw’r gwiad hwnnw. Mae’r un bwlch hwnnw’n esbonio rhan fwyaf o’r pellter rhwng diagram zero trust a defnydd gweithredol. Tynnwch lwybr y cais cyn tynnu’r bensaernïaeth.

Nid yw dadgryptio yn awdurdodiad

Mae rhyng-gipio yn gwasanaethu nodau archwilio cul ac yn cario ei faich ei hun o dystysgrifau, gwreiddiau ymddiried, adolygiad preifatrwydd a chymwysiadau sy’n torri oddi tano. Nid oes unrhyw un o’r rhain yn golygu zero trust, ac nid oes yr un yn disodli penderfyniad polisi. Mae dilysu person ac awdurdodi gwasanaeth yn hollol bosibl heb ddadgryptio un pecyn. Nid yw llif wedi’i ddadgryptio yn dweud dim am a oedd gan y defnyddiwr hawl i’r gweithrediad a gludir ynddo.

Mae angen un math o dystiolaeth ar y polisi, ac nid dadgryptio yw hwnnw. Mae iechyd dyfais yn un mewnbwn ymhlith hunaniaeth, sensitifrwydd adnodd a chyd-destun, ac nid yw ei basio unwaith yn rhoi gweddill y rhwydwaith i’r peiriant hwnnw. Mae cymysgu’r ddau yn troi cwestiwn awdurdodi yn brosiect tystysgrifau.

Pan nad yw’r borth yn unman ar y llwybr

Rhestrwch beth sy’n teithio heb gyffwrdd â’r borth o bell: cysylltiadau rhwng peiriannau ar y segment lleol, galwadau o un llwyth gwaith i un arall, a phenbyniau a gyrchir yn uniongyrchol o fewn cyfrif cwmwl. Ar gyfer pob llwybr, enwch ddull gorfodi y gellir ei ddefnyddio heddiw mewn gwirionedd. Mae angen rhyw reolaeth arall a gefnogir yn benodol ar gyfarpar na all gynnal asiant, ac nid yw tybio y bydd yr asiant yn cyrraedd yn ddiweddarach yn cau dim nawr. Mae mynediad gwasanaeth-i-wasanaeth fel arfer yn gweddu’n well i hunaniaeth llwyth gwaith a gwirio a ysgrifennwyd yn erbyn yr adnodd nag i rwydwaith gorlifiadol arall.

Derbyniwch y dyluniad ar sail ymddygiad yn hytrach nag ar sail diagramau: pa weithrediadau a ganiateir, pa rai a wrthodir, a lle mae pob ateb yn cael ei orfodi. Arwyddwch weithrediadau caniataol a gwrthodedig penodol, a chynhwyswch un llwybr lleol nad yw byth yn cyrraedd y borth. Cofnodwch pwy sy’n berchen ar y polisi, sut mae’n newid a sut mae dirymu’n gweithio.

Mae twnnel wedi’i ail-labelu yn dal yn dwnnel. Mae polisi yn penderfynu, ac mae’n rhaid i rywbeth ei orfodi.