Zero trust architecture : a comparative study of design and implementation across cloud service providers

Abstract

Το περιμετρικό μοντέλο ασφάλειας που προστάτευε τα εταιρικά δίκτυα για δεκαετίες στηριζόταν σε μια παραδοχή που το υπολογιστικό νέφος έχει ουσιαστικά καταργήσει: ότι υπάρχει ένα σταθερό όριο ανάμεσα σε ένα έμπιστο «μέσα» και ένα αναξιόπιστο «έξω». Η παρούσα διατριβή εξετάζει την Αρχιτεκτονική Μηδενικής Εμπιστοσύνης (Zero Trust Architecture, ZTA) ως διάδοχο αυτού του μοντέλου, με ένα συγκεκριμένο ερώτημα: οι αρχές της τεκμηριώνονται αναλυτικά σε πρότυπα όπως το NIST SP 800-207, ο τρόπος όμως με τον οποίο μετατρέπονται σε λειτουργική υποδομή διαφέρει από πάροχο σε πάροχο, και σε αυτό ακριβώς το χάσμα μεταξύ θεωρίας και υλοποίησης δημιουργούνται προβλήματα στις περισσότερες προσπάθειες υιοθέτησης. Για να μελετηθεί το χάσμα αυτό στην πράξη, σχεδιάστηκε ένα εικονικό εταιρικό περιβάλλον με την ονομασία «Global Retail», βασισμένο σε μια κοινή αρχιτεκτονική αναφοράς, το οποίο αναπτύχθηκε τρεις φορές με Infrastructure as Code (Terraform): στο Google Cloud Platform, στο Microsoft Azure και στο Amazon Web Services. Κάθε υλοποίηση συνδυάζει ένα ιδιωτικό cluster Kubernetes, μια διαχειριζόμενη βάση δεδομένων PostgreSQL, micro-segmentation μέσω Kubernetes network policies και ένα identity-aware σημείο εισόδου για μια προστατευμένη διαχειριστική εφαρμογή, αξιοποιώντας τις εγγενείς υπηρεσίες κάθε παρόχου (Identity-Aware Proxy, Entra ID Application Proxy, ALB με Cognito). Η σύγκριση δείχνει ότι οι βασικές αρχές αντέχουν στη «μετάφραση», η μηχανική προσπάθεια όμως δεν παραμένει σταθερή. Το GCP προσέφερε την πιο ολοκληρωμένη διαδρομή, το Azure συγκέντρωσε τον έλεγχο στο επίπεδο της ταυτότητας με αντίτιμο το κόστος αδειοδότησης, ενώ το AWS παρείχε τον πιο λεπτομερή έλεγχο με τον μεγαλύτερο φόρτο παραμετροποίησης. Η διατριβή καταλήγει ότι το καθοριστικό εμπόδιο στην υιοθέτηση του Zero Trust είναι λειτουργικό, δηλαδή το identity governance, η διαχείριση πολιτικών και τα επαναλαμβανόμενα κόστη ανά χρήστη και ανά gigabyte, και όχι κάποια τεχνολογία που λείπει.