Претпоставимо да неко држи ваш API кључ. Одједном, они имају приступ свему унутар ваших интерних микро-услуга - бесплатан роаминг, нема питања постављених. До тренутка када чак схватите да нешто није у реду, они су већ сифонирали податке, искористили сваку дозволу коју никада нисте желели да дате, и оставили вас са тешким рачуном и још тежим задатком: обнављање поверења купаца. U velikoj meri, to je zato što većina mikroservisa pretpostavlja da mogu da veruju jedni drugima jednostavno zato što sede na istoj mreži. In simple terms: 
 
 Пропуштени поуздани кључ постаје пасош лопова. Пропуштени поуздани кључ постаје пасош лопова. У прошлости, са једним апликацијом и једним складиштем података, као и једним мрежним периметром, сигурност је била много једноставнија, јер се све радило на локалном са локалним центром података. Међутим, када сте прешли на микро-услуге, све се то променило. Сада имате много ( десетине) апликација / услуга, стотине АПИ-ја и многи различити тимови ослобађају код сваки дан.Поред тога, већина услуга ће комуницирати са другим услугама и претпоставити да пошто комуницирају преко заједничке мреже, требало би да буду у стању да верују свакој служби. Ваш архитектонски дизајн је порастао и еволуирао; међутим, ваше "безбедносно" размишљање није. Ваш дом сада изгледа као да је широко отворен. Свако ко може добити кључ за предња врата може ући у сваку собу, отворити сваки сандук и откључати сваки безбедни ормар у згради. The Philosophy That Changed The Way Of Thinking About Architecture: Zero Trust Филозофија која је променила начин размишљања о архитектури: нулто поверење Zero Trust je promena načina na koji razmišljate o poverenju, a ne poboljšanje bezbednosnih trendova. То је некада било, "Веруј, али провери." То више није. Овај принцип се може сумирати једноставно као, "Никада не веруј; увек провери." Све везе (корисник, услуга и интерна мрежа) морају да се идентификују, наводе шта могу да раде и кажу да ли је веза сигурна. У основи, изгледало је овако за микро-услуге Мутуал ТЛС све до: Сва комуникација услуга везе је потврђена употребом узајамног ТЛС (мТЛС) пре него што било која од страна може да комуницира једни са другима. Дозволе засноване на АПИ-у замењују дозволе засноване на заштитном зиду. Сваки позив / трансакција се верификује. Морали смо да преиспитамо како градимо и како верујемо било чему унутар наше архитектуре да бисмо испунили принципе нулте поверења - али тако смо завршили са далеко сигурнијим системом. 
 
 Наши системи су сада много сигурнији због нултог поверења, а то је променило начин на који дизајнирамо, комуницирамо и верујемо другим услугама у нашој архитектури, било да су интерне или спољне. Наши системи су сада много сигурнији због нултог поверења, а то је променило начин на који дизајнирамо, комуницирамо и верујемо другим услугама у нашој архитектури, било да су интерне или спољне. Zero Trust: Not Optional — Not Anymore Ниво поверења: Не опционално - не више Да ли покрећете микро-услуге без нулте поверења? Ако чекате превише дуго, ваш посао неће само пасти – можда ће ударити зид. Сада је време да почнете, много пре него што се ваши системи зауставе. Наша сопствена имплементација није била беспрекорна. Ми смо се бавили прекидима, гурали отпор програмера, и научили неколико тешких лекција на путу. Али након шест месеци, испоручили смо га - и доказали да сигурност није нешто у шта сте наишли. То је нешто за шта сте намерно дизајнирали од првог дана. Solution/Tools Ево неких технологија које смо користили за прелазак нашег модела поверења, који се заснива на мрежама, на модел поверења заснован на идентитету: 
 
 
 
 
 
 
 За идентитет услуге: SPIFFE/SPIRE сервисна мрежа / шифрована комуникација од услуге до услуге: Istio mTLS Код политике: Агент за отворене политике (openpolicyagent.org) Активно управљање тајнама, Динамичко управљање тајнама: ХасхиЦорп Ваулт Анализа динамичких претњи: Фалцо. Ограничавање цена, регистрација ревизије, OAuth2: Kong API Gateway Optimization 
 
 
 
 Одлуке које доноси ОПА су кеширане (Редис / Кафеин). Повезивање за mTLS Аудиторски дневници Кафке се асинхроно преписују. Затим ћу описати имплементацију нултог модела поверења за моје апликације за микро-услуге засноване на Јави, укључујући како се верификују идентитети, користи се мТЛС и тајне се ротирају у апликацији, као и пружају примере из стварног света кода и конфигурација које се користе. JWT користи услугу идентитета Свака услуга стиче свој идентитет. Ми генеришемо и потпишемо ЈВТ користећи РСА-256 кључеве. package com.zero.trust.common;
import com.auth0.jwt.JWT;
import com.auth0.jwt.algorithms.Algorithm;
import java.security.*;
import java.security.interfaces.*;
import java.util.*;
public class IdentityServiceManager {

    private final String serviceName;
    private final Algorithm algorithm;

    public IdentityServiceManager(String serviceName) {
        this.serviceName = serviceName;
        try {
            KeyPairGenerator gen = KeyPairGenerator.getInstance("RSA");
            gen.initialize(2048);
            KeyPair pair = gen.generateKeyPair();
            this.algorithm = Algorithm.RSA256(
                    (RSAPublicKey) pair.getPublic(),
                    (RSAPrivateKey) pair.getPrivate());
        } catch (Exception e) {
            throw new RuntimeException("KeyPair creation failed", e);
        }
    }

    public String generateTokenData() {
        return JWT.create()
                .withIssuer(serviceName)
                .withClaim("service", serviceName)
                .withExpiresAt(new Date(System.currentTimeMillis() + 3600_000))
                .sign(algorithm);
    }

    public boolean verifyTokenData(String token) {
        try { JWT.require(algorithm).build().verify(token); return true; }
        catch (Exception e) { return false; }
    }
}
 Service Auth користећи SpringSecuirty Filter Сваки захтев се валидира да би се проверило да ли је токен валидан или не. Нема токена / Неважећи токен: то је 401. package com.zero.trust.demo.config;
 import org.springframework.web.filter.OncePerRequestFilter;
 import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.security.web.*;
import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;
 //few importing missing refer git hub as i am getting error to copy the all imports 
 
@Configuration
public class ZeroTrustSecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.csrf(AbstractHttpConfigurer::disable)
                .authorizeHttpRequests(req -> req
                        .requestMatchers("/health").permitAll()
                        .anyRequest().authenticated())
                .addFilterBefore((Filter) new TokenFilter(), UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }

    static class TokenFilter extends OncePerRequestFilter {
        @Override
        protected void doFilterInternal(HttpServletRequest req,
                                        HttpServletResponse res,
                                        FilterChain chain)
                throws ServletException, IOException {

            String auth = req.getHeader("Authorization");
            if (auth == null || !auth.startsWith("Bearer ")) {
                res.sendError(HttpServletResponse.SC_UNAUTHORIZED, "Missing token");
                return;
            }
            String jwt = auth.substring(7);
            IdentityServiceManager manager = new IdentityServiceManager("user-service");
            if (!manager.verifyTokenData(jwt)) {
                res.sendError(HttpServletResponse.SC_UNAUTHORIZED, "Invalid token");
                return;
            }
            Authentication a = new UsernamePasswordAuthenticationToken("service", null, List.of());
            SecurityContextHolder.getContext().setAuthentication(a);
            chain.doFilter(req, res);
        }
    }
}
 Динамичке тајне користећи Vault Simulator У стварном свету, користићемо ХасхиЦорп Ваулт. али локално, симулирамо ротирајуће ДБ верификације у меморији сваки минут. package com.zero.trust.valut;

import org.springframework.scheduling.annotation.Scheduled;
import org.springframework.stereotype.Component;
import java.util.UUID;

@Component
public class VaultServ {
    private String username = "dbuser";
    private String password = UUID.randomUUID().toString();

    @Scheduled(fixedRate = 60000)
    public void rotate() {
        password = UUID.randomUUID().toString();
        System.out.println("[VaultSim] Rotated password -> " + password);
    }

    public String getUsername() { return username; }
    public String getPassword() { return password; }
}
 Гатеваи код Гатеваи генерише ЈВТ са сопственим идентитетом и повезује се са Корисничком услугом преко узајамног ТЛС-а. Корисничка услуга затим аутентификује и токен и сертификат - осигуравајући да само поуздане, верификоване услуге могу да комуницирају. package com.damu;

import com.zero.trust.common.IdentityServiceManager;
import org.springframework.boot.*;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.context.annotation.Bean;
import org.springframework.web.bind.annotation.*;
import org.springframework.web.client.RestTemplate;
import org.springframework.http.*;

@SpringBootApplication
@RestController
public class Main {

    public static void main(String[] args) {
        SpringApplication.run(Main.class, args);
    }

    @Bean
    public RestTemplate restTemplate() { return new RestTemplate(); }

    private final IdentityServiceManager identity = new IdentityServiceManager("gateway-service");
    private final RestTemplate rest = new RestTemplate();

    @GetMapping("/gatewaytest")
    public String test() {
        String token = identity.generateTokenData();
        HttpHeaders h = new HttpHeaders();
        h.set("Authorization","Bearer "+token);
        HttpEntity<Void> entity = new HttpEntity<>(h);
        ResponseEntity<String> res = rest.exchange(
                "https://localhost:8443/api/users/1",
                HttpMethod.GET, entity, String.class);
        return "Gateway → " + res.getBody();
    }
}
 Pogledajte naš За детаљнији ток. GitHub 
 
 Овај крај до краја демо ће вам показати како да имплементирате ово са чистом Јава и Спринг Боот. Овај крај до краја демо ће вам показати како да имплементирате ово са чистом јавом и пролеће боот. Овај крај до краја демо ће вам показати како да имплементирате ово са чистом Јава и Спринг Боот. Овај крај до краја демо ће вам показати како да имплементирате ово са чистом јавом и пролеће боот.

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

Read My Stories

Овај аудио је произведен на оригиналном језику приче!

Обезбеђивање Јава Мицросервице са архитектуром нула поверења

About Author

КОМЕНТАРИ

ХАНГ ТАГС

ОВАЈ ЧЛАНАК ЈЕ ПРЕДСТАВЉЕН У

Related Stories

Sravana Kumar Reddy Yeruva’s Fusion Transformation Sets a New Standard in ERP Excellence

Building the Cloud Future: Sreedevi Velagala's Trek in AWS Architecture

Scaling Web Testing with Automation: Srikanth Srinivas’s Digital Strategy Breakthrough

Building a website with React and Bulma

Sravana Kumar Reddy Yeruva’s Fusion Transformation Sets a New Standard in ERP Excellence

Building the Cloud Future: Sreedevi Velagala's Trek in AWS Architecture

Scaling Web Testing with Automation: Srikanth Srinivas’s Digital Strategy Breakthrough

Building a website with React and Bulma

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps