当我在同一个网络中部署一个 kubertenes 集群时，在我的组织内部，有防火墙规则和控制访问，那么加密 pod 之间的通信的原因是什么？
我正在讨论实施 TLS Side car 模式，我真的很想知道是否有必要，到目前为止，唯一的论点是避免我组织内的恶意人员试图进行嗅探。
可以帮我找出有效的业务场景是什么吗？
问问题
156 次
2 回答
1
这是纵深防御战略的一部分。如果您的一个 pod 遭到入侵，则通过读取流量来利用它会变得更加困难。它可能会受到内部人员或外部攻击者的破坏。
读取访问令牌可能用于重放攻击。
好吧，如果这是“必要的”，可能取决于您的要求。它可能不会立即为您带来商业利益。然而，“仅仅”读取数据已经是一个严重的安全漏洞。
话虽如此，使用像 Istio 这样的服务网格，在服务之间实现双向 TLS 相对容易。
此外，Istio 提供了更多的安全功能，而不仅仅是加密 pod 之间的通信。它还使用身份的概念，并可以在服务级别而不是 IP 地址（这可能难以管理）上指定授权规则。
除了安全优势之外，Istio 还可以提供其他功能，例如高级流量管理或可以将常见的横切关注点（例如指标、跟踪、CORS 策略、JWT 验证）转移到网格中的功能。
这些可能为应用程序开发人员和维护人员提供更多切实的好处（与安全性相比，安全性可能仅在受到损害时才相关......）
于 2020-12-23T22:03:26.920 回答
0
网络层永远不会被认为是值得信赖的。您如何知道连接到您网络的计算机和手机上安装了什么？它可能是间谍软件嗅探网络流量。对于嗅探网络流量的间谍软件，它不需要安装在正在通信的计算机上，它可以（在某些常见的网络拓扑中）安装在连接到同一组织的 WiFi 的手机上。
于 2020-12-23T20:00:43.183 回答