Peer to Peer Communication under Zero Trust Principle
Coexistence of SDP and Microsegmentation

License

Copyright (c) 2024 Masashi Sonoyama
Released Under the MIT License
Author: Masashi Sonoyama and OpenAI ChatGPT 4o
Date: 2024-12-15T11:06Z

Question

We should protect our resources by creating a logical perimeter with application software, not a physical perimeter with physical devices.
We can never achieve completeness, i.e. 100%, but we can achieve almost everywhere completeness of 99.9% with an enormous amount of people and time. We should realize a.e. complete security with logic, just as we have created artificial intelligence.
Under the Zero Trust principle, arbitrary devices, such as Internet of Things (IoT) devices, should interact with each other in P2P communication.
We can substitute any Software Defined Perimeter (SDP) gateway functionality with a microsegmentation controller and microsegmentation agent.

• SDP controllers authenticate and authorize any communications.
• Microsegmentation controllers distribute security rules to devices and classify devices to groups.
• In addition to the two functionalities written above, we should allocate the functionalities to several regions as a SaaS service for service availability.
• If we use IPv6, we do not need NAT, NAPT and so forth.

First, we delegate authentication and authorization to the SDP controllers.
Second, we delegate control of dynamic security rules to microsegmentation controllers.
Finally, we delegate the application of security rules to microsegmentation agents installed on devices.
Define that an SDP controller and a microsegmentation agent are mutually hostile. Under this definition, if one of them is compromised, all other devices in the system remain secure.

私たちユーザー企業はゼロトラストの原理の下で任意のデバイス間で直接ピアツーピア (P2P) で通信させたい。
私たちはマイクロセグメンテーションコントローラーとマイクロセグメンテーションエージェントでSoftware Defined Perimeter (SDP) ゲートウェイ機能を代替できる。

• SDPコントローラーが通信を認証し、認可する。
• マイクロセグメンテーションコントローラーにセキュリティルールをデバイスに配布させ、デバイスをグループ化させる。
• 地理的に分散した複数のリージョンにそれら2つのコントローラーをSaaSサービスとして配置すればいい。
• IPv6を使用した場合、NATやNAPTも必要としない。

つまり、SDPコントローラーに通信の認証及び認可を委任する。
そして、マイクロセグメンテーションコントローラーに動的なセキュリティルール制御を委任する。
最後に、マイクロセグメンテーションエージェントに通信へのセキュリティルール適用を委任する。
SDPコントローラーとマイクロセグメンテーションエージェントを互いに敵対しているとせよ。そうすれば、左記の2つの何れかが侵害されても、システムの他のすべてのデバイスは安全な状態を維持できる。

Initial Comment

1. 提案モデルの主要コンポーネント

A. SDPコントローラー

• 役割:
• デバイスやユーザーの認証および認可を担う。
• デバイス間通信に必要なP2Pセッションを認証後に確立。
• ゼロトラストセキュリティポリシーの基盤として機能。
• 動作:
• デバイスからの接続リクエストを処理。
• 認証後に暗号化されたP2Pトンネルの情報をクライアントデバイスに提供。

B. マイクロセグメンテーションコントローラー

• 役割:
• セキュリティルールの作成・配布、およびデバイスやユーザーのグループ化。
• 動的にポリシーを変更し、マイクロセグメントをリアルタイムで適用。
• 動作:
• 管理者が定義したセキュリティルールやグループ設定を各デバイスに配布。
SDPコントローラーと連携し、認可後のデバイス間通信に適用するポリシーを提供。

C. 分散型SASEアーキテクチャ

• リージョンに配置されたSASEサービス:
• 各リージョンに分散配置されたSDPコントローラーとマイクロセグメンテーションコントローラーが連携し、グローバルに統一されたサービスを提供。
• 各リージョンでのトラフィック遅延を最小化。

2. 動作フロー

1. デバイスまたはユーザー認証

• デバイスがリージョン内のSDPコントローラーに接続。
• ユーザーのID、デバイスのセキュリティ状態を検証。
• 認証が成功した場合、通信のための暗号化されたトンネル（例: WireGuardやIPsec）を確立するための情報をデバイスに提供。

2. ポリシーの適用

• SDPコントローラーが、認可された通信に必要なデバイス情報をマイクロセグメンテーションコントローラーと共有。
• マイクロセグメンテーションコントローラーが、デバイス間の通信ルールを生成・配布。

3. P2P通信の確立

• 認証されたデバイス間で直接P2P通信が確立。
• デバイス間通信はエンドツーエンドで暗号化。

4. 動的ポリシーの管理

• マイクロセグメンテーションコントローラーが、デバイスやユーザーの状態に応じてリアルタイムでポリシーを更新。

3. この設計の利点

a. 高度な分散性

• 各リージョンにコントローラーを配置することで、デバイスが地理的に分散していても低遅延でサービスを提供可能。
• グローバルなサービス展開に最適。

b. P2P通信による効率化

• デバイス間で直接通信を行うため、トラフィックがクラウドを経由せず、遅延や帯域幅の課題を最小化。
• 大規模なIoTネットワークやエンタープライズ環境でも高効率。

c. 動的で柔軟なセグメンテーション

• マイクロセグメンテーションコントローラーによる動的なポリシー適用で、迅速にセキュリティ要求に対応。
• デバイスやユーザーの動的な追加や削除に柔軟に対応。

d. 統合管理

• SASEとして提供することで、ネットワーク管理とセキュリティポリシー管理を一元化。
• 管理者が複数のリージョンにわたるリソースを一括して制御可能。

e. スケーラビリティ

• SASEのスケーラブルなクラウド基盤を活用することで、数十万台のIoTデバイスやグローバルなユーザー基盤に対応。

4. 課題と対応策

a. グローバルな可用性

• 課題: 各リージョンのコントローラーが停止した場合のサービス中断リスク。
• 対応策: 冗長構成とフェイルオーバー機能を実装。

b. リアルタイム通信要件

• 課題: リアルタイム性が求められる通信で、P2P接続がNATやファイアウォールによって制約を受ける可能性。
• 対応策: NATトラバーサル技術や、エッジコンピューティングを活用。

c. 複雑なポリシー管理

• 課題: デバイスやユーザーが増加するほどポリシー設定が複雑化。
• 対応策: AIや自動化ツールを活用してポリシー設定を最適化。

d. コストの最適化

• 課題: 複数リージョンでのサービス展開に伴うコスト増。
• 対応策: 必要に応じてエッジサーバーの規模や配置を調整。

5. 実現可能性

6. 結論

• 数十万台規模のIoTデバイス管理。
• グローバルに分散した拠点やユーザーへのサービス提供。
• 高いリアルタイム性とセキュリティ要件を持つ通信環境。