在网络和物联网安全方面，你永远不会太小心。与企业和工业基础设施相连的不同设备越来越多，安全总比后悔好。
对于网络管理员来说，它不再仅仅是保护笔记本电脑和 PC，但管理由各种连接硬件（包括移动和低成本物联网设备）组成的网络。但是，当每个设备按照自己的规则运行时，你如何保持网络安全呢？答案是（相对）很简单：不要相信任何人！
这就是“零信任架构”这个概念是一个基于默认情况下不信任设备的安全概念，仅仅因为它是你网络的一部分。相反，每个设备都需要验证其想要建立的每个连接。考虑到任何可能的连接至少涉及双方，这里所需的身份验证称为相互身份验证。
不同的通信协议使用相互身份验证，如SSH和TLS。但这些协议的共同点是身份验证是基于唯一的设备证书。没有这样的证书，设备就无法验证自己的身份。
如何获得设备证书？
所有这些都始于设备拥有自己唯一的公共和私钥。生成证书的第一步是与证书颁发机构 (CA)共享这对公钥。CA 将通过发送查询来验证公钥是否属于设备。只有拥有相应私钥的设备才能成功应对这一挑战。CA 知道公钥属于设备，它会为它创建证书。
创建后，证书可以发送到设备，设备现在可以在未来的网络身份验证协议中使用。这些网络将创建具体的 证书CA 被视为可信的来源。这使得它成为可信的来源。“零信任”这个词有点误导。即使你不信任这些设备，你也需要信任一些东西。在这种情况下，信任基于证书和提供证书的机构。
但还有另一个重要的方面需要考虑：私钥。私钥是构建所有安全的基础。这就是为什么证书与设备相连，因为任何想要检查证书真实性的人都可以通过挑战私钥来做到这一点。由于私钥非常重要，它应该始终安全地存储在设备中。
攻击者永远不会读取、更改或复制这个私钥，因为它会危及设备连接的整个网络的安全。保持私钥应该是任何设备的最高优先级。网络需要信任，设备可以这样做。
私钥如何安全地存储在设备上?
有几种方法可以做到这一点，首先是传统的使用安全硬件，如安全元件或可靠的平台模块。这些都是需要添加到设备中的安全芯片，以创建和安全存储密钥。这是一个可接受的解决方案，昂贵的设备（如手机和笔记本电脑），但通常不能解决所有的安全问题，因为有限的各方都可以访问它。然而，在材料清单中添加安全芯片会增加太多的成本。
一个更实惠的解决方案是将密钥存储在设备所需的芯片之一的内存中，如微控制器。在这种情况下，密钥对可以在制造过程中从外部或内部生成（如果芯片有内部随机数生成器）。该选项的主要缺点是，物联网设备的芯片不是为安全存储密钥而设计的。这意味着有权访问设备的坚定攻击者破坏私钥的严重风险。最重要的是，当从外部注入密钥时，注入密钥的一方是另一个需要信任以保密的实体。
另一种替代方法是基于物理不可克隆功能 (PUF)。
PUF 在芯片制造过程中，使用深亚微米变化来创建设备的唯一标识符。这意味着 PUF 可以从芯片硅中生成加密密钥（如我们需要的密钥对）。这些密钥是每个芯片中唯一的，它们永远不需要存储在内存中，它们只是在每次需要时（重新）生成。这消除了外部供应密钥和使用特殊硬件来保护存储密钥的需要。
这就是为什么 PUF 部署迅速引起关注的原因，尤其是低成本的物联网设备。PUF 创建和保护生成设备证书所需的密钥提供了零信任架构所需的信任类型。
结论
现在我们已经看到了安全连接网络中设备所需的所有不同的建筑块。
所有这些都始于设备级别。可以通过选择正确的方式为设备提供作为其唯一证书基础的钥匙，建立零信任架构的基础。所选方法因个别设备的硬件而异。
不同的方法提供不同级别的安全，但它们都有一个共同点，即它们需要灌输适当级别的信任来保密私钥。当设备配备公钥时-私钥对时，CA 通过生成设备证书，可以提供下一个问题。设备一旦拥有此唯一证书，就可以进行相互身份验证，并允许安全进入基于零信任架构的网络。
将加密密钥存储方法提供的保证和需求放在一起CA中的信任结合起来，可以说，至少在这种情况下，没有信任就没有 "零信任"。