涉及网络和物联网安全时，您再小心不过了。随着越来越多的不同设备连接到企业和工业基础设施，安全总比后悔好。对于网络管理员而言，这不再只是保护笔记本电脑和PC的安全，而是管理由各种连接硬件（包括移动和低成本物联网设备）组成的网络。但是，当每台设备都按照自己的规则运行时，您如何才能保证网络安全呢？答案（相对）简单：不要相信任何人！这就是“零信任架构”概念的用武之地，它基于默认情况下不信任设备的安全概念，仅仅因为它是您网络的一部分。相反，每个设备都需要对其想要建立的每个连接进行身份验证。考虑到任何可能的连接都至少涉及两方，因此这里需要的认证称为相互认证。有不同的通信协议使用相互身份验证，例如SSH和TLS。但这些协议的共同点是身份验证基于唯一的设备证书。没有这样的证书，设备就无法验证自己。设备如何获得证书？这一切都始于设备拥有自己独特的公私密钥。要生成证书，第一步是与证书颁发机构(CA)共享这对公钥。CA将通过向设备发送质询来验证公钥是否属于该设备。只有具有相应私钥的设备才能成功应对这一挑战。现在CA知道公钥属于该设备，它会为它创建一个证书。一旦创建，证书就可以发送到设备，现在可以在未来网络的身份验证协议中使用它，这些网络将创建证书的特定CA视为可信来源。这使得“零信任”一词有些误导。即使您不信任这些设备，您也需要信任一些东西。在这种情况下，信任基于证书和提供证书的机构。但还有另一个重要方面需要考虑：私钥。私钥是构建所有安全性的基础。这就是将证书与设备联系起来的原因，因为任何想要检查证书真实性的人都可以通过挑战私钥来实现。因为这个私钥非常重要，所以它应该始终安全地存储在设备中。攻击者永远无法读取、更改或复制此私钥，因为这会危及设备所连接的整个网络的安全。将私钥保密应该是任何设备的最高优先级。网络需要信任设备才能这样做。私钥如何安全地存储在设备上？有多种方法可以做到这一点，首先是使用传统的安全硬件，例如安全元件或可信平台模块。这些是需要添加到设备的安全芯片，负责创建和安全地存储密钥。对于手机和笔记本电脑等昂贵设备来说，这是一个可以接受的解决方案，但通常不能解决所有安全问题，因为有限的各方可以访问它。然而，对于低成本物联网设备，在物料清单中添加安全芯片会增加太多成本。一种更实惠的解决方案是将密钥对存储在设备无论如何都需要的其中一个芯片的内存中，例如微控制器。在这种情况下，密钥对可以在制造过程中由外部提供，也可以在内部生成（如果芯片具有内部随机数发生器）。此选项的主要缺点是物联网设备的芯片并非设计用于安全存储密钥。这意味着存在私钥被有权访问设备的坚定攻击者泄露的严重风险。最重要的是，当从外部注入密钥时，注入这些密钥的一方是另一个需要被信任以保守秘密的实体。这些基于物理不可克隆函数(PUF)的生成和存储密钥的传统方法还有另一种替代方法。PUF在芯片制造过程中使用深亚微米变化来创建设备唯一标识符。这意味着PUF可以从芯片硅中生成加密密钥（例如我们需要的密钥对）。这些密钥对于每个芯片都是唯一的，它们永远不必存储在内存中，它们只是在每次需要时（重新）生成。这消除了对外部提供的密钥的需要和使用专用硬件来保护存储的密钥。这就是PUF的部署迅速受到关注的原因，尤其是对于低成本物联网设备。使用PUF创建和保护生成设备证书所需的密钥可提供零信任架构所需的信任类型。结论我们现在已经了解了在网络中安全连接设备所需的所有不同构建块。这一切都从设备级别开始，通过选择正确的方式为设备提供作为其唯一证书基础的密钥，零信任架构的基础得以建立。选择的方法将根据单个设备的硬件而有所不同。不同的方法提供不同级别的安全性，但它们都有一个共同点，即它们需要灌输适当级别的信任以保持私钥的私密性。当设备配备公私密钥对时，CA可以通过为设备生成证书来解决下一个问题。一旦设备拥有此唯一证书，就可以进行相互身份验证，从而允许安全地进入基于零信任架构构建的网络。将加密密钥存储方式提供的保证与需要置于CA中的信任相结合，可以说，至少在这种情况下，没有信任就没有“零信任”。
