제로 트러스트 보안 실전 가이드 — 개발자가 알아야 할 핵심

제로 트러스트란 무엇인가 — Never Trust, Always Verify

mTLS — 서비스 간 상호 인증의 기반

Go — mTLS 서버 및 클라이언트 설정 예시
package main

import (
    "crypto/tls"
    "crypto/x509"
    "net/http"
    "os"
)

// mTLS 서버 설정
func newMTLSServer() *http.Server {
    caCert, _ := os.ReadFile("ca.crt")
    caPool := x509.NewCertPool()
    caPool.AppendCertsFromPEM(caCert)

    serverCert, _ := tls.LoadX509KeyPair("server.crt", "server.key")

    tlsConfig := &tls.Config{
        ClientCAs:  caPool,
        ClientAuth: tls.RequireAndVerifyClientCert, // 클라이언트 인증서 필수
        Certificates: []tls.Certificate{serverCert},
        MinVersion: tls.VersionTLS13,
    }

    return &http.Server{
        Addr:      ":8443",
        TLSConfig: tlsConfig,
    }
}

// mTLS 클라이언트 설정
func newMTLSClient() *http.Client {
    caCert, _ := os.ReadFile("ca.crt")
    caPool := x509.NewCertPool()
    caPool.AppendCertsFromPEM(caCert)

    clientCert, _ := tls.LoadX509KeyPair("client.crt", "client.key")

    tlsConfig := &tls.Config{
        RootCAs:      caPool,
        Certificates: []tls.Certificate{clientCert},
        MinVersion:   tls.VersionTLS13,
    }

    return &http.Client{
        Transport: &http.Transport{TLSClientConfig: tlsConfig},
    }
}

SPIFFE와 SPIRE — 자동화된 워크로드 신원 관리

SPIRE — Kubernetes 환경 기본 설치 (kubectl)
# SPIRE CRD 및 namespace 생성
kubectl apply -f https://spiffe.io/downloads/spire-crds.yaml

# SPIRE Server 배포 (StatefulSet)
kubectl apply -f https://spiffe.io/downloads/spire-server.yaml

# SPIRE Agent 배포 (DaemonSet)
kubectl apply -f https://spiffe.io/downloads/spire-agent.yaml

# 워크로드 등록 예시
kubectl exec -n spire spire-server-0 --   /opt/spire/bin/spire-server entry create   -spiffeID spiffe://example.org/ns/default/sa/myapp   -parentID spiffe://example.org/spire/agent/k8s_psat/default/...   -selector k8s:ns:default   -selector k8s:sa:myapp

# 발급된 SVID 확인
kubectl exec -n spire spire-agent-xxxx --   /opt/spire/bin/spire-agent api fetch x509   -socketPath /run/spire/sockets/agent.sock

서비스 메시와 Istio — 코드 변경 없이 mTLS 적용

Istio — PeerAuthentication (mTLS 강제) 및 AuthorizationPolicy
# PeerAuthentication: 네임스페이스 전체에 mTLS STRICT 적용
apiVersion: security.istio.io/v1beta1
kind: PeerAuthentication
metadata:
  name: default
  namespace: production
spec:
  mtls:
    mode: STRICT  # mTLS가 아닌 트래픽은 거부

---
# AuthorizationPolicy: 서비스 A만 서비스 B에 접근 허용
apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: allow-service-a-to-b
  namespace: production
spec:
  selector:
    matchLabels:
      app: service-b
  action: ALLOW
  rules:
  - from:
    - source:
        principals:
        - "cluster.local/ns/production/sa/service-a"
    to:
    - operation:
        methods: ["GET", "POST"]
        paths: ["/api/*"]

마이크로세그멘테이션과 ID 기반 접근 제어

Kubernetes NetworkPolicy — 명시적 화이트리스트 기반 접근 제어
# 기본 정책: 모든 인바운드 차단
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-all
  namespace: production
spec:
  podSelector: {}  # 네임스페이스 내 모든 Pod
  policyTypes:
  - Ingress
  - Egress

---
# 허용 정책: service-b는 service-a에서 오는 80 포트만 허용
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-service-a
  namespace: production
spec:
  podSelector:
    matchLabels:
      app: service-b
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: service-a
    ports:
    - protocol: TCP
      port: 8080

개발자가 코드에서 적용하는 제로 트러스트 실천