Không tin tưởng so với Không kiến ​​thức: Đâu là sự khác biệt?

Mặc dù cả hai khái niệm không tin tưởng và không kiến ​​thức đều là những thành phần quan trọng của xu hướng an ninh mạng ngày nay, nhưng chúng không giống nhau.

Chúng nghe có vẻ giống nhau và có chung mục đích, nhưng việc không có kiến ​​thức tiến thêm một bước so với việc không có niềm tin trong việc tạo ra một hệ thống bảo mật có thể chống lại các mối đe dọa mạng không ngừng phát triển.

Trên thực tế, bằng chứng không kiến ​​thức có thể được sử dụng để biến ý tưởng về mô hình bảo mật không tin cậy thành hiện thực. Tuy nhiên, trước khi tiếp tục, chúng ta hãy làm rõ hai khái niệm này là gì.

Zero Trust là gì?

Nói tóm lại, ý tưởng trung tâm đằng sau khái niệm không tin tưởng là “không tin ai, hãy kiểm tra mọi người”. Vì vậy, trong khuôn khổ không tin cậy, không có sự tin cậy giữa mạng và người dùng, mạng và các thành phần phần cứng và phần mềm của mạng hoặc giữa một tổ chức và người dùng của nó.

Với giả định rằng mọi người và mọi thứ đều là mối đe dọa cho đến khi được chứng minh ngược lại, bảo mật không tin cậy luôn yêu cầu một số loại xác thực trước khi cho phép truy cập vào các ứng dụng và dữ liệu đằng sau chúng. Tất cả người dùng trong khuôn khổ không tin cậy phải được xác thực, ủy quyền và vượt qua đánh giá trạng thái bảo mật trước.

Ngoài ra, Zero Trust trao quyền cho quản trị viên CNTT để đảm bảo khả năng hiển thị đầy đủ đối với tất cả người dùng, thiết bị và hệ thống. Điều này không chỉ đảm bảo tuân thủ quy định mà còn giúp tránh các cuộc tấn công mạng do thông tin đăng nhập của người dùng bị xâm phạm và giảm thiểu vi phạm dữ liệu. Vì vậy, có nhiều lý do để áp dụng mô hình bảo mật không tin cậy.

Kiến thức không là gì?

Khái niệm không có kiến ​​thức cố gắng tìm ra cách ai đó có thể chứng minh rằng họ có điều gì đó bí mật, chẳng hạn như một phần thông tin nhạy cảm, mà không tiết lộ bất kỳ thông tin nào trong số đó. Trong bối cảnh mã hóa không có kiến ​​thức, bảo mật không có kiến ​​thức đảm bảo rằng dữ liệu của người dùng được mã hóa trước khi người dùng giao tiếp với nhà cung cấp dịch vụ. Ngoài ra, dữ liệu có thể được giải mã bằng một khóa duy nhất mà nhà cung cấp không biết—chỉ người dùng mới có khóa đó.

Vì vậy, với mã hóa không kiến ​​thức, không ai ngoài người dùng có thể truy cập dữ liệu của họ ở dạng không được mã hóa. Lý tưởng nhất là không ai ngoài người dùng có thể truy cập dữ liệu ở dạng được mã hóa, nhưng các quốc gia trong liên minh Five Eyes, Nine Eyes và 14 Eyes sẽ nói khác.

Trong an ninh mạng, không có kiến ​​thức có thể được coi là một thành phần của mô hình không tin cậy vì nó cho phép thực hiện các hành động như xác thực mà không tiết lộ bất kỳ thông tin nhạy cảm nào về người dùng.

Zero Trust vs Zero-Knowledge: Điểm tương đồng và khác biệt

Nếu khẩu hiệu của khái niệm không tin tưởng là “không tin ai”, thì khẩu hiệu của Zero Knowledge là “chúng tôi không biết gì cả”. Mặc dù hai khái niệm này có chung mục đích—đó là tăng cường bảo mật dữ liệu và an ninh mạng nói chung—chúng không hoạt động theo cùng một cách.

Trong an ninh mạng, không có kiến ​​thức có thể được coi là một thành phần của mô hình không tin cậy vì nó cho phép thực hiện các hành động như xác thực mà không tiết lộ bất kỳ thông tin nhạy cảm nào về người dùng.

Mô hình không có kiến ​​thức có thể được sử dụng để bảo vệ quyền riêng tư của dữ liệu vì nhà cung cấp dịch vụ “không có kiến ​​thức” về nó. Trong hầu hết các trường hợp, dữ liệu này bao gồm mật khẩu, thông tin đăng nhập và thông tin nhạy cảm khác. Nhiều loại xác thực hai yếu tố (2FA) và xác thực đa yếu tố (MFA) sử dụng mô hình không có kiến ​​thức, nghĩa là bạn sẽ không bắt buộc phải chia sẻ bí mật hoặc cung cấp bất kỳ thông tin nhạy cảm nào để xác minh danh tính của mình.

Cả 2FA và MFA đều là những thành phần quan trọng của khung không tin cậy, được hỗ trợ thêm bằng mã hóa và phân tách dữ liệu. Nhà cung cấp dịch vụ sử dụng cả khung bảo mật không kiến ​​thức và không tin cậy có thể đảm bảo rằng hệ thống của họ được bảo vệ khỏi các mối đe dọa bên trong và bên ngoài, đồng thời không có dữ liệu nhạy cảm nào bị xâm phạm trong trường hợp vi phạm dữ liệu.

Zero Trust vs. Zero-Knowledge: Cái nào quan trọng hơn đối với An ninh mạng?

Không có lý do gì khiến các chuyên gia an ninh mạng phải lựa chọn giữa các khái niệm bảo mật không tin cậy và không kiến ​​thức. Sau khi tìm ra cách hai thứ này hoạt động trong an ninh mạng, chúng ta có thể thấy kiến ​​thức bằng không là một thành phần quan trọng của mô hình bảo mật không tin cậy.

Chúng ta cũng nên lưu ý rằng mặc dù việc triển khai khái niệm không tin cậy có vẻ đơn giản về mặt lý thuyết, nhưng nói thì dễ hơn làm khi thực hành.