Workload Identity, SPIFFE/SPIRE, mTLS και Zero-Trust Service Identity — DedSec Project
Workload Identity, SPIFFE/SPIRE, mTLS και Zero-Trust Service Identity Ελληνική έκδοση — Μάθημα 113. Διατηρούνται οι διεθνείς τεχνικοί όροι όπου είναι ακριβέστεροι και ευκολότεροι στην…
Ελληνική έκδοση — Μάθημα 113. Διατηρούνται οι διεθνείς τεχνικοί όροι όπου είναι ακριβέστεροι και ευκολότεροι στην αναζήτηση.
Στόχος του μαθήματος
Να κατανοήσεις σε βάθος το Workload Identity, SPIFFE/SPIRE, mTLS και Zero-Trust Service Identity, να αναγνωρίζεις trust boundaries και failure states και να μπορείς να αποδείξεις ένα συμπέρασμα με ασφαλές, επαναλήψιμο evidence.
Βαθιές τεχνικές έννοιες
1. Workload identity
Service-to-service authorization χρειάζεται identity για workload instance και όχι shared static password. Identity πρέπει να παράγεται από attested workload/platform context και να είναι short-lived.
2. SPIFFE IDs
SPIFFE ID είναι structured URI identity μέσα σε trust domain. Policy πρέπει να δένει ID με συγκεκριμένο workload/service role και να αποφεύγει broad wildcard trust.
3. Attestation
SPIRE-style node/workload attestation αποφασίζει ποιο runtime μπορεί να λάβει identity. Protect registration selectors και attestor/admin plane γιατί ορίζουν ποιος “είναι” κάθε service.
4. Short-lived credentials
Frequent automatic rotation μειώνει credential theft window. Issuance, clock, cache και outage behavior πρέπει να λειτουργούν χωρίς fallback σε long-lived secret.
5. mTLS
mTLS αυθεντικοποιεί endpoints και encrypts transport. Application/service authorization πρέπει ακόμη να ελέγχει source identity, destination/action και tenant/context.
6. Trust domains
Trust domain είναι administrative security boundary. Federation μεταξύ domains χρειάζεται explicit bundles/policy και δεν πρέπει να μετατρέπει κάθε identity του άλλου domain σε trusted caller.
7. Rotation and revocation
Short lifetime είναι βασικό revocation mechanism αλλά emergency distrust μπορεί να χρειάζεται bundle/registration change. Measure propagation και stale sessions.
8. Policy and telemetry
Logs πρέπει να δείχνουν source workload identity, destination, policy/version και result. Correlate issuance και use ώστε compromised identity να traceable.
Καθοδηγούμενο εργαστήριο
- Design a three-service toy architecture using short-lived workload identities and write an allow matrix for service-to-service calls — εκτέλεσέ το μόνο στο isolated/owned lab και κατέγραψε before/after αποτέλεσμα.
- Model what changes when one node is considered untrusted: which credentials expire, what should be denied, and what evidence is needed — εκτέλεσέ το μόνο στο isolated/owned lab και κατέγραψε before/after αποτέλεσμα.
- Compare static API keys, cloud workload federation, and SPIFFE-style identities across rotation, attribution, and blast radius — εκτέλεσέ το μόνο στο isolated/owned lab και κατέγραψε before/after αποτέλεσμα.