Procesator de plăți din Chișinău
Serviciul care atinge datele de card rulează cu identitate proprie și acceptă apeluri doar de la două componente anume. Restul aplicației nu îl poate contacta, chiar dacă ajunge în aceeași rețea internă.
Zero Trust și mTLS între servicii în Moldova
Servicii DevOps · Zero Trust · Moldova
Identitate per serviciu, nu încredere pe adresă IP
Arhitectura Zero Trust aplicată între servicii, nu doar între angajați, pentru echipele din Moldova care rulează mai multe componente pe același server sau cluster. Fiecare serviciu primește identitate proprie și certificat cu viață scurtă, iar apelurile interne se autentifică reciproc prin mTLS. Ridicăm autoritatea de certificare internă și rotația automată din orele DevOps incluse.
- Certificate cu viață scurtă, rotite automat
- Secrete în Vault sau criptate în Git cu SOPS
- VPS 1–8 h · dedicate 5–10 h (în funcție de plan), GPU 10 hOre incluse lunar
- Frankfurt (UE)Datacentere
- GDPR, DPA art. 28, aliniere la ISO 27001Conformitate
- română și rusăSuport
Zero Trust între servicii, nu între angajați
Piața locală vorbește despre Zero Trust aproape numai în legătură cu angajații și dispozitivele lor. Partea neacoperită, și cea care produce incidentele grave, este traficul dintre componentele propriei aplicații. Într-o instalare obișnuită, orice proces care ajunge în rețeaua internă poate vorbi cu baza de date, cu coada de mesaje și cu serviciul de plăți, doar pentru că este acolo. Noi înlocuim această încredere implicită cu identitate verificabilă: fiecare apel intern dovedește cine este și primește exact drepturile care i se cuvin.
- Fără încredere acordată pe baza rețelei sau a adresei IP
- Identitate criptografică pentru fiecare serviciu, nu pentru fiecare mașină
- Autorizare pe apel, cu privilegii minime pe fiecare rută internă
Autoritate de certificare internă și certificate scurte
Ridicăm o autoritate de certificare privată cu cert-manager sau step-ca, separată de certificatele publice ale site-ului. Fiecare serviciu primește un certificat valabil ore sau zile, nu ani, reînnoit automat înainte de expirare. Avantajul practic e dublu: un certificat furat devine inutil repede, iar echipa nu mai are de făcut migrări anuale în panică. Configurăm și verificarea în ambele sensuri, deci clientul verifică serverul, dar și serverul verifică clientul, ceea ce lipsește dintr-o configurație TLS obișnuită.
- Autoritate de certificare internă, separată de certificatele publice
- Reînnoire automată înainte de expirare, fără intervenție manuală
- Verificare în ambele sensuri, nu doar clientul care verifică serverul
Bune practici pe care le aplicăm între servicii
Zero Trust nu este un produs pe care îl instalezi, este un set de decizii pe care le respecți consecvent. Cea mai frecventă cădere în practică este excepția temporară care rămâne definitivă: un serviciu lăsat fără certificat, o regulă permisivă adăugată la o depanare de noapte. De aceea lista de mai jos se verifică la fiecare intervenție din orele incluse, iar excepțiile se documentează cu termen. Alegerea între service mesh și implementare fără sidecar o facem după complexitatea reală, nu după modă.
- Nicio încredere implicită în rețeaua internă, oricât de privată pare
- Identitate per workload, cu politici scrise pe identitate, nu pe adresă
- Privilegiu minim pe fiecare apel între servicii, revizuit periodic
- Rotație automată a certificatelor și a cheilor, cu alertă la eșec
- Secrete în HashiCorp Vault sau criptate în Git cu SOPS, cu jurnal de audit
Ce înseamnă asta pentru o firmă din Moldova
Dacă vinzi servicii în Uniunea Europeană, clienții tăi te vor întreba mai devreme sau mai târziu cum sunt protejate datele în interiorul sistemului, nu doar la intrare. Un răspuns documentat, cu identitate per serviciu și jurnal de audit, scurtează chestionarele de securitate. Datele stau la Frankfurt, cu contract de prelucrare conform art. 28 și clauze contractuale standard, iar infrastructura este aliniată la ISO 27001. Pentru prelucrările din țară rămâne aplicabilă Legea nr. 195/2024, cu CNPDCP ca autoritate de referință.
Orele de DevOps, CyberSecurity și Programare sunt incluse în abonament, lună de lună: 1 h de la planul cPanel Advanced în sus, 1–8 h pe VPS și 5–10 h pe serverele dedicate, în funcție de plan, și 10 h pe GPU. Le ceri din panoul de client și propui termenul; cota expiră la sfârșitul lunii calendaristice, iar lucrul de peste cotă se acceptă și se facturează separat, în euro, cu TVA 20 % și factură SFS. Cu abonamentele care includ minimum 2 ore lunare îți construim un site de prezentare, iar cu cele care includ minimum 5 ore, un magazin online — din orele deja plătite în abonament.
Cazuri de utilizare
Platformă medicală cu date sensibile
Modulul de fișe de pacient și cel de programări comunică prin mTLS, cu politici scrise pe identitate. Jurnalul de audit arată exact ce serviciu a cerut ce, util pentru documentația cerută de Legea nr. 195/2024.
SaaS B2B care vinde clienților din UE
Chestionarele de securitate primite de la clienți europeni se completează cu dovezi: certificate cu viață scurtă, rotație automată, privilegiu minim pe apeluri și secrete păstrate în afara codului sursă.
Cum lucrăm
Inventariem apelurile interne
Din panou, la Servicii DevOps, ne dai lista serviciilor și a bazelor de date. Cartografiem ce vorbește cu ce și stabilim termenul intervenției.
Proiectăm identitățile și politicile
Definim o identitate pentru fiecare serviciu, scriem politicile de acces pe identitate și alegem între service mesh și implementare fără sidecar.
Implementăm treptat
Ridicăm autoritatea de certificare internă, activăm mTLS în modul permisiv, verificăm că nimic nu se rupe, apoi trecem la modul strict.
Predăm cu schema și jurnalul
Primești harta apelurilor interne, politicile în repo, procedura de rotație a certificatelor și accesul la jurnalul de audit al secretelor.
Tehnologii
- cert-manager
- step-ca
- Linkerd
- Istio
- HashiCorp Vault
- SOPS
- SPIFFE
- OpenSSL
Întrebări frecvente
Ce este Zero Trust și ce înseamnă concret?
Este principiul conform căruia nimic nu primește încredere doar pentru că se află în rețeaua internă. Fiecare cerere se autentifică, se autorizează și se înregistrează, indiferent de unde vine. Concret înseamnă identitate per utilizator și per serviciu, privilegii minime și verificare continuă, nu un perimetru pe care îl treci o dată.
Ce este mTLS și prin ce diferă de TLS obișnuit?
La TLS obișnuit doar clientul verifică identitatea serverului, prin certificatul acestuia. La mTLS verificarea e reciprocă: și serverul cere clientului un certificat valid. Așa un serviciu intern nu mai acceptă apeluri de la orice proces ajuns în rețea, ci numai de la identități pe care le recunoaște explicit.
Cum implementez Zero Trust fără să rescriu aplicația?
Se poate în cea mai mare parte fără atingerea codului. Un service mesh sau un proxy local preia terminarea mTLS și aplicarea politicilor, iar aplicația continuă să vorbească pe conexiuni obișnuite către proxy. Activăm întâi modul permisiv, verificăm că nimic nu se rupe, apoi trecem la strict.
Istio sau Linkerd?
Linkerd e mai simplu, mai ușor pe resurse și acoperă bine mTLS cu politici de bază, deci potrivit pentru majoritatea instalărilor de dimensiune medie. Istio oferă mult mai mult control pe trafic și politici avansate, dar cere o echipă dispusă să îl întrețină. Alegem după complexitatea reală.
Cum rotesc automat certificatele între servicii?
Autoritatea de certificare internă emite certificate cu durată scurtă, iar un controler precum cert-manager le reînnoiește înainte de expirare și repornește sau reîncarcă serviciile care le folosesc. Adăugăm alertă la eșec de reînnoire, ca o rotație blocată să nu devină o cădere la termen.
Ce beneficii aduce modelul pentru o firmă care vinde în UE?
Reduce impactul unei componente compromise, pentru că un atacator ajuns în rețea nu poate vorbi liber cu restul serviciilor. În plus, dă dovezi documentate pentru chestionarele de securitate ale clienților europeni și pentru cerințele contractuale de prelucrare a datelor, ceea ce scurtează vânzarea.
Punem identitate pe fiecare apel intern
Trimite-ne lista serviciilor tale. Cartografiem apelurile interne, propunem politicile pe identitate și activăm mTLS treptat, fără să oprim aplicația.