“全面安全”时代的规模化扩展

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

在Apple于6月举办的WWDC（全球开发者大会）上，这家移动行业巨头宣布，自2017年1月1日起，App Store中的所有应用都必须（对于关注此事的网络专业人士来说，这里的“必须”是RFC规范中的MUST）使用App Transport Security（ATS）。

简而言之，它强制应用使用HTTPS，而不是HTTP。

这意味着，大家只有几个月的时间来：

1. 更新移动应用
   这似乎显而易见。毕竟，要求是在iOS上运行的移动应用使用HTTPS。所以，这一点自然要做到。
2. 后端支持HTTPS
   这一点可能不那么显而易见，但HTTPS的核心作用是保护通信安全，这意味着至少涉及两方。对于移动应用而言，另一方是部署在本地或云端的某种端点（应用、服务或API网关）。该端点也需要支持HTTPS。

第二项要求在技术和运维层面都比第一项更复杂，因为它并非只需打开一个开关即可实现。其中涉及证书和密钥的管理、分发与升级，还需要更改此前不支持HTTPS的Web服务器和API网关配置。为支持HTTPS，可能需要对基础设施（以及架构）进行大范围调整。此外，还必须调整运维流程，包括监控证书到期时间并及时更换证书。

在一切皆需安全的时代，扩展不仅关乎容量，也关乎运维能力。为安全的应用基础设施提供支持会对运维产生显著影响，并非勾选几个复选框或添加一个新的配置文件那么简单。

1. 流程变更

无论是否在“实施DevOps”，都需要检查部署流水线流程，确保其中包含支持HTTPS所需的组件。这意味着必须将密钥、证书和配置纳入该流程。

2. 管理变更

证书会过期，而证书过期可不是什么好事™。运维团队必须掌握证书的到期时间，并确保已建立相应流程，以便续订并部署这些证书（这基本上就是 GOTO #1，即流程变更）。

3. 容量变更

加密和解密需要消耗大量计算资源。尽管如今的资源消耗已不如以往，但安全连接仍比不安全连接占用更多资源。对于用户很少的应用，可能看不出明显差异。但对于大量用户同时使用的应用，则需要评估可用于横向扩展的容量。这不仅涉及服务器（虚拟或物理服务器），还涉及基础设施，包括API网关（或充当API网关的设备或系统），还可能包括服务注册中心（如果已在使用容器和微服务）。

4. 架构变更

端到端安全连接可能会限制用户与应用之间所有安全服务的作用，使其在阻止恶意软件或恶意代码侵入可访问敏感数据的应用和服务方面几乎失效。拦截并检查安全连接（包括入站请求和出站响应）的能力，是有效安全策略的重要组成部分。为确保关键安全基础设施持续具备履行其职责所需的可见性，从而防止安全漏洞和感染，可能需要调整架构。

由核心网络管理安全连接的双层架构，可以大幅缓解证书和密钥分散在应用基础设施中所带来的运维难题。这是因为安全代理可以在核心网络中终止安全连接。与后端应用的通信可以根据需要继续使用明文，也可以重新加密，以维持端到端的安全通信。未加密的数据可以镜像到安全解决方案（如IDS/IPS）进行进一步检查，从而保护现有基础设施投资。这意味着只需在一个集中位置部署、管理和监控证书与密钥。此外，该架构还在南北向数据路径中提供了一个关键节点，可在不干扰移动设备<—>应用通信的情况下进行拦截和检查。

无论如何，对应用（包括移动应用及其他应用）采取“全面保护”方法所带来的规模影响，不仅涉及计算资源，也涉及运营。Apple固然是推动这些变化的一方，但并非唯一的推动者。需要注意的是，尽管官方标准已取消HTTP/2必须使用SSL/TLS的要求，但Web浏览器领域仅支持基于SSL/TLS的HTTP/2。这意味着，随着越来越多的Web流量从HTTP/1.x迁移到HTTP/2，“全面保护”的覆盖范围将继续扩大。

这种持续消除应用与用户之间各类未加密通信的趋势（无论是出于强制要求还是功能需求），将要求一些组织对流程和产品进行重大调整。

关于作者

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。

Lori Mac Vittie 的更多博客文章