“零信任”是一個(gè)被忽略的奇點(diǎn)事件

（圖片來(lái)源：攝圖網(wǎng)）

作者|凌石   來(lái)源|新眸(ID：xinmouls)

疫情加速催化了許多新事物的誕生，零信任便是其中之一。

去年2月，復(fù)工復(fù)產(chǎn)成為企業(yè)和上班族們的亟需，擁有7萬(wàn)員工基數(shù)的騰訊自然也面臨大考。在只能在家“云辦公”的大前提下，“遠(yuǎn)程辦公的難點(diǎn)在哪里”這一話題在知乎發(fā)酵，回答眾說(shuō)紛紜，但鮮有人提及安全維度。

時(shí)間再往前推半個(gè)月，也就是大年初一，騰訊內(nèi)部所有IT管理干部被突然拉進(jìn)一個(gè)緊急項(xiàng)目組里，騰訊總辦下達(dá)死命令：做好準(zhǔn)備，節(jié)后支持全員全尺寸遠(yuǎn)程辦公。全尺寸辦公意味著滿足信息互通、收發(fā)郵件、流程審批、項(xiàng)目管理等只是基本，還要實(shí)現(xiàn)所有員工無(wú)差別訪問(wèn)OA站點(diǎn)和內(nèi)部系統(tǒng)，IT員工在家能像在公司一樣開發(fā)、運(yùn)維。

兼具安全性、靈活性、穩(wěn)定性，讓這場(chǎng)遠(yuǎn)程辦公大考難度提到了最高級(jí)別。

一時(shí)間，集團(tuán)內(nèi)各 BG 的研發(fā)群、運(yùn)維群紛紛忙碌起來(lái)：緊急上架服務(wù)器，擴(kuò)容至能滿足6萬(wàn)員工同時(shí)在線辦公并反復(fù)調(diào)試、優(yōu)化；為解決非標(biāo)設(shè)備所存在的安全隱患，近800個(gè)常用網(wǎng)站和資源站點(diǎn)需要逐個(gè)梳理……

這次團(tuán)隊(duì)性協(xié)同戰(zhàn)役，騰訊用時(shí)8天半。時(shí)隔一年多，在零信任發(fā)展趨勢(shì)論壇上，騰訊方面回憶了這場(chǎng)猝不及防的戰(zhàn)役，當(dāng)日多名高層談及“遠(yuǎn)程辦公難點(diǎn)在哪”這個(gè)話題時(shí)，答案都紛紛指向“安全”，而支撐起騰訊整套安全體系的背后關(guān)鍵就是“零信任”。

基于此，本文新眸將從零信任出發(fā)，著重回答以下三個(gè)問(wèn)題：

· 從概念角度來(lái)看，零信任究竟是什么？

· 從行業(yè)角度來(lái)看，我們?cè)撊绾卫斫饬阈湃蔚穆涞貐^(qū)間？

· 從商業(yè)化角度來(lái)看，零信任會(huì)成為新的風(fēng)口嗎？

01

網(wǎng)絡(luò)安全的技術(shù)新奇點(diǎn)

10多年前，當(dāng)我們談起互聯(lián)網(wǎng)安全時(shí)，總會(huì)聯(lián)想到在互聯(lián)網(wǎng)邊界豎起無(wú)堅(jiān)不摧的防火墻。電影《黑客帝國(guó)》就有這么一段，尼克要進(jìn)入母體矩陣時(shí)卻被困在火車站臺(tái)內(nèi)，從火車站通往矩陣的軌道就像是網(wǎng)絡(luò)的防護(hù)墻，只要夠高、夠堅(jiān)固，就可以隔絕所有外來(lái)攻擊，這是絕大部分人對(duì)互聯(lián)網(wǎng)安全的最初印象。

隨著互聯(lián)網(wǎng)的進(jìn)化與迭代，“中心散發(fā)式”結(jié)構(gòu)逐漸演變成一張盤根交錯(cuò)的大網(wǎng)，“去中心化”使得每個(gè)節(jié)點(diǎn)都能向外延伸擴(kuò)展，這就造成了傳統(tǒng)安全邊界的模糊不清，一旦邊界失守，企業(yè)所沿用的“好人放行、壞人攔截”的二元安全模型，就會(huì)完全失效。

在這種時(shí)代背景下，“零信任”應(yīng)運(yùn)而生。

稻盛和夫曾在《活法》一書中闡明，“越是錯(cuò)綜復(fù)雜的問(wèn)題，就越要根據(jù)簡(jiǎn)單的原理和樸素的思想進(jìn)行判斷和行動(dòng)。”這種邏輯同樣也是適用于網(wǎng)絡(luò)安全領(lǐng)域。零信任最早由Forrester 分析師John Kindervag于2010年提出，它既不是一項(xiàng)技術(shù)，也不是一款產(chǎn)品，而是一種新理念，基本原則是“從不信任，總是驗(yàn)證”。

簡(jiǎn)單來(lái)說(shuō)，就是用戶、設(shè)備或應(yīng)用程序創(chuàng)建的每個(gè)會(huì)話，在允許通信之前必須經(jīng)過(guò)身份驗(yàn)證；無(wú)論來(lái)源哪里的訪問(wèn)請(qǐng)求、無(wú)論從什么設(shè)備上發(fā)起的請(qǐng)求，都應(yīng)該一視同仁采取最小特權(quán)的網(wǎng)絡(luò)訪問(wèn)策略，進(jìn)行嚴(yán)格的訪問(wèn)授權(quán)。

這種原則為我們帶來(lái)了一種全新的企業(yè)安全防控模式，即傳統(tǒng)的內(nèi)外網(wǎng)的天塹不復(fù)存在，企業(yè)甚至可以取消職場(chǎng)網(wǎng)絡(luò)，員工全部接入互聯(lián)網(wǎng)辦公，因而天然適配遠(yuǎn)程工作場(chǎng)景。

“事實(shí)上，我們很早就關(guān)注到了零信任，在行業(yè)中也經(jīng)常翻閱一些Google的實(shí)踐論文，并結(jié)合騰訊自身情況，在騰訊內(nèi)部推出了遠(yuǎn)程辦公零信任的解決方案，當(dāng)時(shí)的效果非常好，于是我們?cè)?018年底就將騰訊內(nèi)部網(wǎng)絡(luò)和遠(yuǎn)程辦公網(wǎng)絡(luò)用零信任方案重構(gòu)了一遍。”騰訊企業(yè)IT部安全負(fù)責(zé)人蔡晨對(duì)新眸談到。

看到這里，你或許對(duì)零信任還是一頭霧水，接下來(lái)我們通過(guò)具體案例來(lái)解讀。就目前來(lái)看，業(yè)內(nèi)普遍認(rèn)為軟件定義邊界（SDP）、身份識(shí)別與訪問(wèn)管理（IAM）、微隔離（MSG）是實(shí)現(xiàn)零信任的三大技術(shù)路徑，雖然名稱繞口，但是本質(zhì)并不難理解。

圖：零信任三大關(guān)鍵技術(shù)（來(lái)源：《網(wǎng)絡(luò)安全先進(jìn)技術(shù)與應(yīng)用發(fā)展系列報(bào)告—零信任技術(shù)》）

SDP基于控制通道與數(shù)據(jù)通道分離的設(shè)計(jì)，構(gòu)造了一個(gè)“暗黑網(wǎng)絡(luò)”，減少了企業(yè)業(yè)務(wù)在外網(wǎng)上的暴露面，只有通過(guò)特定客戶端發(fā)送攜帶授信的種子/口令，服務(wù)器通過(guò)后，才可以響應(yīng)連接要求。

這就類似于在添加微信好友時(shí)，將微信號(hào)、手機(jī)號(hào)、群聊等好友添加通道關(guān)閉，只保留共同好友分享名片的添加方式，一方面減低了暴露程度，另一方面共同好友就像是授信種子，服務(wù)器可以默認(rèn)信任。

僅具備授信種子還遠(yuǎn)遠(yuǎn)不夠，要知道用戶存在于互聯(lián)網(wǎng)是基于各種數(shù)字標(biāo)簽的，身份管理的有效與否往往與權(quán)限訪問(wèn)數(shù)據(jù)資產(chǎn)相掛鉤，流行的后臺(tái)實(shí)名制雖然能在一定程度上加強(qiáng)身份管理，卻不能保證訪問(wèn)過(guò)程中的設(shè)備安全和行為安全。

這時(shí)候，通過(guò)IAM技術(shù)就可以決定訪問(wèn)對(duì)象和訪問(wèn)方式，而微隔離技術(shù)（MSG）的存在，可以將企業(yè)資源更加細(xì)粒度分割，將用戶在應(yīng)用層面的訪問(wèn)權(quán)限降到最小化，既能防范違規(guī)的“東西橫移”，又可以為“南北向”訪客精細(xì)分配資源。

三大技術(shù)協(xié)同完成“業(yè)務(wù)隱身”、“實(shí)時(shí)動(dòng)態(tài)驗(yàn)證”、“最小訪問(wèn)權(quán)限”安全防護(hù)功能，重新定義了傳統(tǒng)互聯(lián)網(wǎng)安全防護(hù)的基本邏輯，這種迭代像是一個(gè)新奇點(diǎn)事件，恰巧印證了學(xué)者保羅·萊文森在其作品《新新媒介》中所寫的一段話：人類對(duì)于技術(shù)理念開發(fā)的歷史說(shuō)明，發(fā)展趨勢(shì)是越來(lái)越人性化的，能更好地滿足人們所需才能被保留。

02

解構(gòu)“零信任”落地區(qū)間

新理念從定義到體系構(gòu)建，再到解決方案的具體落地，是一項(xiàng)長(zhǎng)期且系統(tǒng)性的工程，零信任亦是如此。

“在騰訊內(nèi)部，零信任被二分化，一塊是將理念融于對(duì)內(nèi)的產(chǎn)品中去，一塊是基于零信任對(duì)外推出商業(yè)化產(chǎn)品或解決方案。”騰訊安全總經(jīng)理王宇對(duì)新眸談到，“從商業(yè)化設(shè)施來(lái)看，眼下的最大問(wèn)題還是人們對(duì)零信任的體系定義較為模糊，當(dāng)你真正地去落地零信任，比如申報(bào)安全或者設(shè)備安全時(shí)，是否圍繞這你的建設(shè)目標(biāo)顯得非常關(guān)鍵。”

造成這種局面的背后原因很簡(jiǎn)單。

一方面，市面上基于零信任理念打造的商業(yè)產(chǎn)品或解決方案相對(duì)較少，國(guó)外方面，以谷歌為代表，雖然在零信任方面有先發(fā)優(yōu)勢(shì)，但更多的也只是集中于理論層面，國(guó)內(nèi)方面，騰訊算是一個(gè)樣板工程；另一方面，人們對(duì)于零信任存在成本誤區(qū)，零信任里面強(qiáng)調(diào)的是身份，并不是意味著將過(guò)去的安全防護(hù)體系全部替換掉，而是在現(xiàn)有的基礎(chǔ)上做對(duì)接，讓原有的系統(tǒng)在現(xiàn)在狀態(tài)下發(fā)揮它的作用。

因而，有的企業(yè)在構(gòu)建零信任體系時(shí)，容易陷入急功近利的狀態(tài)，總想著把一切推倒重來(lái)，完全按照零信任體系做一遍，成本高企是必然的。在王宇看來(lái)，“想要落地零信任，第一步企業(yè)要對(duì)自己業(yè)務(wù)有一個(gè)清晰的了解和認(rèn)知，不可能沒(méi)有目標(biāo)憑空建設(shè)零信任體系；第二，零信任是實(shí)踐下的產(chǎn)物，要充分考慮IT體系所屬階段，用零信任體系補(bǔ)充和完善整個(gè)安全體系。”

舉個(gè)簡(jiǎn)單的例子，在遠(yuǎn)程辦公接入企業(yè)內(nèi)網(wǎng)的場(chǎng)景中，人們總是會(huì)想到，零信任會(huì)不會(huì)淘汰或者取代VPN。實(shí)際上，兩者根本就不是同一個(gè)維度的物種，可以預(yù)見的是，在未來(lái)零信任解決方案將會(huì)替代傳統(tǒng)VPN，部分傳統(tǒng)VPN產(chǎn)品也可能會(huì)融入零信任體系，擴(kuò)展升級(jí)成為零信任的核心組件，兩者是一個(gè)包含與被包含的關(guān)系。

從技術(shù)理念演進(jìn)角度來(lái)看，零信任是網(wǎng)絡(luò)安全防護(hù)的最優(yōu)解，也是終極目標(biāo)，這意味著，當(dāng)在線辦公漸趨主流，零信任將成為多數(shù)企業(yè)在構(gòu)建網(wǎng)絡(luò)安全體系的必選項(xiàng)。

在這里需要提醒各位的是，零信任并不是一蹴而就的，以騰訊為例，從2016年開始在企業(yè)內(nèi)部進(jìn)行零信任實(shí)踐和落地，到后來(lái)可以和集團(tuán)其它產(chǎn)品如企業(yè)微信進(jìn)行深度整合，再到現(xiàn)在推出零信任商業(yè)版本，沿用的是循序漸進(jìn)的部署方式。

在談及零信任商業(yè)落地場(chǎng)景時(shí)，王宇告訴新眸，“金融行業(yè)走在所有行業(yè)的安全最前沿，也是最有可能完成零信任落地的，另外就是在線教育領(lǐng)域，老師們辦公往往呈現(xiàn)高離散性，構(gòu)建邊界防御式體系是不可取的，而零信任可以保證內(nèi)網(wǎng)和外網(wǎng)得到相同的安全保障。”

03

“零信任”會(huì)成為新風(fēng)口嗎？

互聯(lián)網(wǎng)從不缺風(fēng)口，判斷零信任能不能成為新風(fēng)口，首先要看風(fēng)口的構(gòu)成要素：1、解決了某個(gè)社會(huì)問(wèn)題；2、這個(gè)社會(huì)性問(wèn)題越來(lái)越明顯。

單從零信任定義出發(fā)的話，它的確解決了社會(huì)中的某個(gè)問(wèn)題，即網(wǎng)絡(luò)安全防護(hù)，這一點(diǎn)，騰訊副總裁丁珂亦有所闡明，“零信任的互聯(lián)互通特征，取代了傳統(tǒng)彼此隔離的物理空間，是產(chǎn)業(yè)數(shù)字化和萬(wàn)物互聯(lián)發(fā)展必須要面對(duì)的技術(shù)路徑。”

但關(guān)于第二點(diǎn)，根據(jù) MarketsandMarkets 調(diào)研，全球零信任安全市場(chǎng)規(guī)模預(yù)計(jì)將從2020年的196 億美元增長(zhǎng)到2026年的516億美元，從2020年到2026年的復(fù)合年增長(zhǎng)率（CAGR）為 17.4％。客觀的說(shuō)，相比于其他技術(shù)理念型風(fēng)口，零信任現(xiàn)階段的表現(xiàn)顯然還未到爆發(fā)期。

另外，就全球范圍內(nèi)來(lái)看，零信任在國(guó)外的成熟度會(huì)更高一些。

根據(jù) Forrester 在 2020 年二季度對(duì)于零信任產(chǎn)業(yè)的統(tǒng)計(jì)數(shù)據(jù)，海外零信任已經(jīng)進(jìn)入規(guī)?；a(chǎn)業(yè)發(fā)展階段，這主要是因?yàn)楹Ｍ饬阈湃纹鸩捷^早，由Google、Microsoft 等巨頭率先在企業(yè)內(nèi)部實(shí)踐零信任，并推出了完整的解決方案，之后OKTA、Centrify等安全廠商先后入局。

反觀國(guó)內(nèi)，雖然業(yè)內(nèi)針對(duì)零信任提出了諸多解決方案和思路，但整體看零信任仍處于生態(tài)分散化野蠻生長(zhǎng)中，不同主體對(duì)零信任的基本概念、技術(shù)路徑等認(rèn)識(shí)差別較大。在野蠻生長(zhǎng)時(shí)代，零信任亟需形成更多業(yè)內(nèi)共識(shí)。

這也解釋了為什么騰訊會(huì)在去年6月聯(lián)合多家業(yè)界權(quán)威機(jī)構(gòu)，共同發(fā)起國(guó)內(nèi)首個(gè)零信任產(chǎn)業(yè)標(biāo)準(zhǔn)聯(lián)盟“零信任產(chǎn)業(yè)標(biāo)準(zhǔn)工作組”，和廠家做了零信任互任證，從技術(shù)標(biāo)準(zhǔn)、技術(shù)聯(lián)盟、技術(shù)白皮書繼續(xù)向下推進(jìn)，契合場(chǎng)景開始對(duì)外輸出體系性解決方案。

由此可見，零信任是一個(gè)“銀彈”，有潛在價(jià)值挖掘空間，但這并不意味著它是低門檻的（人人都可參與），玩家想要出圈需要自身實(shí)力過(guò)硬。

編者按：本文轉(zhuǎn)載自微信公眾號(hào)：新眸(ID：xinmouls)，作者： 凌石