十二年没有使用 VPN

我已经十多年没有使用过企业 VPN 了。在 Google，对内部应用程序的访问取决于用户和设备，而不是网络。自 BeyondCorp 转型以来，情况一直如此。没有要启动的客户端，也没有要输入的令牌。我唯一一次注意到系统是当我推迟操作系统更新太久的时候。然后访问会悄悄降级，直到我安装它。这就是单一体验中的整个模型：信任是您的设备和身份的属性，而不是您所在网络的属性。昨天，谷歌宣布了继任者：超越零。我现在想从一开始就写下我读到的内容。 2014 年，几乎没有人及时认真对待第一篇论文，包括大多数安全行业人士。 2014 年论文 Rory Ward 和 Betsy Beyer 的原始论文于 2014 年 12 月发表在 USENIX ;login: 上。PDF 仍然在线，阅读起来可能需要 20 分钟。主张：内部网络与公共互联网一样危险，因此边界不能成为信任边界。谷歌完全删除了特权网络。所有应用程序都位于公共 DNS 中面向互联网的代理后面，每个请求都根据用户、组、设备证书和随设备状态变化的信任层单独授权。大多数人跳过的部分是迁移，它是本文的一半。谷歌收集了每台交换机的网络流量数据，在每台员工笔记本电脑上运行新网络的模拟器，并在连续 30 天兼容流量超过 99.9% 后才转移人员。没有东西坏掉。此后我见过的大多数停滞的零信任程序都跳过了这一步。接下来还有五篇论文，内容涉及代理、迁移工具、用户体验和机群。 NIST 于 2020 年将该模型标准化为 SP 800-207，美国政府于 2021 年强制联邦机构使用该模型，并且在某个时候，每个 RFP 都有一个零信任部分。我还参加过一些演示，据我所知，零信任意味着具有更好营销的防火墙。这就是企业 IT 创意的成功之道。为什么是续集 现在，我几乎在每次企业人工智能对话中都会听到一个问题：我们的代理到底可以做什么？大多数组织中诚实的答案是：无论构建试点的人的服务帐户可以做什么。没有人决定这一点。它积累了。零信任在这里没有帮助。它根据请求验证用户和设备，之后会话可以执行应用程序允许的任何操作。对于人类来说这是可以接受的，因为人类很慢。 2015 年的一次凭证被盗对于打字速度来说是危险的。 2026 年，凭证被盗对于软件速度来说是危险的，对于误读其任务的合法代理来说也是如此。超越零将决策下一级。不是“这个身份可以访问财务系统”，而是“这个身份可以在这种情况下对这个特定记录执行这个特定操作”。读取一条记录和导出五万条记录成为不同的授权问题。第一篇技术论文位于 ACM Queue 中，该公告承诺后续论文将包含实现细节，与原始系列相同。到目前为止，部署都是内部的。我们正处于 2014 年曲线的点，而不是 2020 年的点。人工智能的三个角色 这个架构与之前的一切有何不同：人工智能以所有三个角色出现。作为演员。现在劳动力的一部分是软件。代理持有凭证、调用 API 并使用与员工相同的工具。假设每个凭证背后都有一个人的身份系统对于其自身流量份额的不断增长是错误的。作为攻击者，出于上述速度原因。并且作为后卫。该公告描述了自动触发调查的风险信号以及直接引发挑战或遏制的政策。实际上，这意味着一级 SOC 分析师成为代理。以这种速度，没有其他选择。人类不会在四秒钟内查看警报，因为泄露的凭证会触及一万条记录。谷歌的 DeepMind 代理安全工作从代理方面提出了同样的论点。我最关心的设计决策：策略核心保持静态。超越零显然不是人工智能实时判断每次访问的模型。规则是细粒度的、书面的和可验证的，动态控制只会在它们之上升级。谷歌长期以来一直以这种方式大规模运行授权。 Zanzibar 是云端硬盘和日历权限背后的系统，每秒从存储的关系中应答数百万次检查。几年前，BeyondProd 对服务间流量做了同样的事情。对于欧洲部署来说，静态核心是决定性的特性。工作委员会或 BaFin 审计员将询问准入决定是如何做出的。 “模型决定”不是你可以给出的答案。书面政策加上记录的升级路径是。这也是NIS2和DORA的效果