单向TLS与双向TLS的保护对象差异

落实零信任安全，第一步是建立信任本身——网络世界里客户端和服务端通常 没有共同私密信息，只能靠”权威公证人”式信任（即PKI体系）来建立，这正是 TLS传输安全层的必要基础。单向TLS只要求服务端出示证书，客户端验证服务端 身份，服务端并不反过来验证客户端——它保护的是”客户端不被冒牌服务器 欺骗”，适用于公开服务，任何客户端都可以连接访问。双向TLS（mTLS）要求 客户端和服务端都出示证书、互相验证对方身份——除了保护客户端不连冒牌 服务器，还额外保护服务端不被非法客户端越权访问，适用于私密服务，只允许 特定身份的客户端接入。零信任网络里之所以要普遍启用mTLS而非公众互联网 常见的单向TLS，是因为零信任的核心前提就是”服务之间没有固有信任关系”—— 如果只验证服务端身份，攻陷了内网某个客户端的攻击者依然能冒充合法调用者 访问其他服务，这正好是边界安全被攻破时暴露的那个漏洞。但围绕TLS的密钥 生成、证书分发、签名请求、更新轮换这一整套流程非常繁琐，稍有疏忽就会 出安全漏洞，如果没有自动化基础设施支撑、只靠应用程序和运维人员手工 操作，是很难真正落地零信任的。