采用ASP. NET Core构建零信任API的开发人员指南

审校 | 重楼

在当今这个网络威胁无处不在（或只需扫描二维码就被攻击）的世界中，传统的“城堡与护城河”安全策略已远远不够。零信任（Zero Trust）安全模型应运而生，它颠覆了传统模式，要求每个请求都必须经过验证、认证和监控，无论它来自何处。对于处理敏感数据的ASP.NET Core API开发者来说，这不仅仅是一种趋势，更是一种必要的措施。

以下将深入了解在ASP. NET Core API实现零信任的原因、内容和方法。

什么是零信任，为什么它很重要？

除了作为流行语之外，“零信任”的意思就像其名称一样： 不信任任何人、任何事，并且始终进行验证。你可以将自己的家想象成为一个零信任的环境。在传统的安全设置中，一旦有人获得房子大门钥匙，就可以进入家中任何房间。零信任则颠覆了这一模式：即使有人打开房子大门，他们仍然需要获得每个房间、衣柜和抽屉的个人权限才能进入。

在零信任的房子里：

• 每一步都进行身份验证：即使进入房子大门之后，也必须反复验证访客身份。想进入厨房？需要证明你是谁。从保险箱里拿东西？再次证明你的访问权限。想打开酒窖？必须年满21岁。
• 最小权限访问：每个房间都有不同的访问级别。例如，快递员只能进入门廊，不能进入客厅；水管工可以进入浴室，但不能进入其他房间。他们没有全面的访问权限——每个人只在需要的时候获得访问权限。
• 持续监控：每个房间都安装了安全摄像头和运动探测器，跟踪谁在何处以及何时出现，如果有人试图进入他们不应该去的地方，就会提醒房主。

零信任意味着从不假设基于先前访问的信任。从房主到访客的每个人，都会不断进行验证，每次互动都是安全的，可以让房子免受他人非法进入。

简而言之，零信任是人们对安全观念的根本转变。传统模式依赖于网络中的一切都是可信的这一理念。但是当威胁已经在内部存在时，会发生什么呢? 零信任说：“永远不要信任，永远要验证。”每个用户、设备和请求都被视为潜在的恶意，除非另有证明。

利弊一览：

• 优点：更强的安全性，最大限度地减少内部威胁，对访问进行精细控制，增强合规性。
• 缺点：实现起来可能很复杂，特别是在原有系统中，需要持续的管理。

零信任不仅适用于银行或医疗保健等高安全环境，它正迅速成为任何构建处理敏感数据、提供远程访问或连接微服务的API的标准。

因此，可以建立一个零信任的房子来进一步推进这个想法。

步骤1：锁上房门——身份验证

在零信任的房子里，第一道防线是房子的门锁。在这里，每个访客（无论是家人、朋友还是快递员）都必须证明自己的身份才能获准进入。同样，ASP. NET Core API在其中充当这个门锁，用户在获得任何级别的访问权限之前必须验证他们的身份。这意味着使用基于令牌的身份验证（如JWT（JSON Web Tokens）等）来实现强大的身份验证机制，以验证每个访问者——无论他们是新客户还是回头客。但需要记住，仅仅因为某人有钥匙并不意味着他们可以访问一切。

• 令牌作为各个房间钥匙： 正如每位客人都会收到一个唯一的密钥一样，API的用户也会收到验证其身份的令牌（如JWT）。这些令牌是在成功登录后发放的，必须在每个访问点出示，反复验证用户。
• 多因素身份验证（MFA）：除了基本的钥匙之外，多因素身份验证(MFA)就像拥有钥匙和安全警报代码一样——增加了另一层安全保障，以确保是正确的人进入。这一额外步骤可以防止未经授权的访问，即使有人设法窃取了密钥(令牌)）。

实施示例：

C#

 services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
 .AddJwtBearer(options =>
 {
 options.TokenValidationParameters = new TokenValidationParameters
 {
 ValidateIssuer = true,
 ValidateAudience = true,
 ValidateLifetime = true,
 ValidateIssuerSigningKey = true,
 ValidIssuer = Configuration["Jwt：Issuer"],
 ValidAudience = Configuration["Jwt：Audience"],
 IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["Jwt：Key"]))
 };
 });

这段代码将API设置为在房门检查令牌，确保没有人在没有正确标识的情况下进入。使用像Microsoft.AspNetCore.Authentication.JwtBearer这样的库来轻松集成JWT身份验证。确保对每个请求安全地生成、签名和验证令牌。

步骤2：逐个房间访问——授权

在传统的房子里，一旦有人进入，就可以进入内部任何房间。零信任改变了这一点：每个房间都需要单独的钥匙才能打开——无论是厨房、卧室还是车库。同样，API应该对每个请求执行授权检查，确保用户只能访问他们被明确允许授权的内容。

• 细粒度访问控制：就像不同的房间只对特定的人开放一样(厨房对家人开放，地下室对修理工开放)，API资源也会根据角色和权限进行限制。这可以防止用户访问他们不需要的敏感数据或功能。
• 动态访问策略：房间访问不是静态的；权限可以根据一天中的时间、用户角色甚至场景而改变——例如在主人不在家时限制他人进入某些房间。同样，API中的授权策略应该是动态的，适应用户角色和当前场景以确保安全。

基于策略的授权示例：

C#

 services.AddAuthorization(options =>
 {
 options.AddPolicy("CanEnterKitchen", policy => policy.RequireClaim("RoomAccess", "Kitchen"));
 });

在ASP.NET Core中实施基于策略或基于角色的访问控制，使用AuthorizeAttribute和策略定义。在设计策略时要尽可能具体，只授予每个操作所需的最小访问权限。在这个例子中，上述策略确保了只有具有正确声明的用户才能访问特定的API端点，这类似于每个房间都有单独的钥匙。

步骤3：最小权限原则——仅授予必要的权限

“零信任”的运作原则是最小特权原则，例如只允许水管工进入浴室，而不是其他房间。通过确保每个用户都具有执行任务所需的最低级别访问级别，并将这一原则应用于API。最小特权原则是零信任制度的基石之一。可以这样想：每个用户、服务和设备只获得他们需要的最低权限。ASP.NET Core基于策略的授权使其易于使用[Authority]和基于角色的策略等属性进行管理。

• 减少攻击面：通过限制访问，减少了入侵者可以利用系统的途径。就像可访问的房间越少，入侵者可以隐藏的地方就越少一样，最小权限原则降低了数据泄露或未经授权操作的风险。
• 临时访问：在某些情况下，可能会暂时授予某个房间的访问权限，就像让水管工工作一个小时后再锁上门一样。同样地，API中的临时或限时访问可以确保权限不会在需要之后仍然保持开放状态。
• 微分段：另一个应该记住的专业术语是微分段。这个想法是将API划分为孤立的段，每段都由自己的一套规则保护。可以将其想象成将其应用程序拆分成更小、更易管理的部分，这样更容易确保安全。假设水管工来修理坏掉的水槽；他可以进入厨房，然后修理水槽，因此将提供足够完成工作的访问权限。

示例：

C#

 [Authorize(Policy = "CanEnterKitchen")]
 [Authorize(Policy = "CanAccessSink")]
 public IActionResult FixSink()
 {
 // Kitchen and sink specific logic
 }

使用基于声明的授权来指定用户可以执行的操作，并确保在不再需要时撤销权限。通过在细粒度级别上限制访问，可以减少系统中未经授权操作的风险。

步骤4：持续监控——密切关注每个房间

想象一下，每个房间都有安全摄像头(在现实生活中不应该这样做……)，跟踪每一个动作，并在出现异常活动时向房主发出警报。这是零信任设置中持续监控的核心——时刻监视，时刻验证。在零信任API中，这体现为持续的监控和日志记录。实施像Application Insights或Serilog这样的解决方案来密切关注API中发生的事情，实时识别潜在的威胁。在零信任架构中，监控不是事后才考虑的事情；它是一个核心原则。持续监控有助于及早发现异常行为，并在其演变成全面安全漏洞之前采取行动。

• 实时警报：就像摄像头可能会在有人进入受到限制的房间时通知房主一样，API中的监控工具在发生可疑操作(例如多次失败的登录尝试或访问受限制的数据)时提供实时警报。
• 审计跟踪：除了即时警报之外，记录每次访问尝试就像记录每个访客在房子里的活动一样。这有助于事后分析，并通过识别薄弱环节加强安全态势。

Serilog示例：

C#

Log.Information("User {UserId} accessed {Endpoint} at {Time}", userId, endpoint, DateTime.UtcNow);

记录每个操作可以发现的模式，检测异常，并在问题升级之前快速采取行动。除了日志记录之外，还可以对异常设置自动警报，以实现快速响应。

步骤5：验证、重新验证——信任，但始终验证

即使在这个房子里，零信任原则也要求时刻保持警惕。仅仅因为某人已进入某个房间，并不意味着他们可以随意走动。通过不断重新验证用户权限，确保没有人可以访问超出其允许范围的权限，将同样的严格性应用于API。

• 自适应安全性：就像看门狗一样，零信任原则确保根据最新的场景(访问时间、位置或用户行为)不断检查权限和访问。这种自适应方法意味着安全策略可以动态调整以保持最高级别的保护。

上述代码对于熟悉ASP.NET Core的开发者来说，其内容清晰易懂。ASP. NET core开发人员用来保护API的常用机制可以在特定的用例中选择基于角色的授权(RBAC)和/或基于属性的授权(ABAC)，而不是基于策略的授权。

总结：掌握钥匙，守护家园

在零信任架构中，设计的系统最初会假定每个人和每件事都是不可信任的，然后根据所呈现的密钥类型来允许特定的请求“进入”。零信任架构旨在重新定义如何保护数字空间。通过在每个环节锁定访问权限、持续验证行为，并确保默认情况下不信任任何人，可以创建一个能够抵御现代安全威胁的系统。需要记住的是，安全可靠的房子不仅仅依赖于坚固的大门；它在各个层面都受到保护。

在ASP.NET Core API中实现零信任架构，就像升级家庭安全系统一样——每个房间都被锁住，每个动作都被验证，每个访客都在监视之下。这不是偏执狂的表现；而是逐步确认房子安全。这个模型不仅能把入侵者挡在门外；还能让系统在面对不断变化的数字威胁时保持弹性、响应性和鲁棒性，能够应对不断变化的数字威胁。

关键要点是什么？在零信任的房子里，规则很简单：未经证明身份和归属，谁也不能进去，谁也不能移动，谁也不能行动。在ASP.NET Core API中实现这一点，不仅仅是智能安全——如果需要保护数字空间中的敏感数据和端点，这是一个必要的发展。

原文Building a Zero Trust API With ASP.NET Core： A Developer’s Guide，作者：Aneesh Gopalakrishnan