2024年网络安全最全服务网格Istio自身服务的安全风险(1)

Istio是一个完全开源的服务网格，它可以作为透明的一层接入到现有的分布式应用程序里。它也是一个平台，拥有可以集成任何日志、遥测和策略系统的API接口。Istio多样化的特性可以帮助我们成功且高效地运行分布式微服务架构，并提供保护、连接和监控微服务的统一方法。同时Istio的安全特性解放了开发人员，使其只需要专注于应用程序级别的安全。Istio提供了底层的安全通信通道，并为大规模的服务通信管理认证、授权和加密。

在1.5版本时Istio进行了一次大的变更，由原来的微服务架构转变成了单体架构。在之前版本其由Pilot、Citadel、Galley等多个微服务组成，现在只需要一个istiod的单体服务。

数据面（Data Plane）

===============

数据面负责数据的转发，一般我们常见的通用网关，Web Server，比如Nginx、Traefik都可以认为是数据面的一种。在Service Mesh的开源世界中，Envoy可以说是最知名的数据面了。Istio使用了Envoy来处理集群中服务之间以及从服务到外部服务的进出流量。它简化并增强了微服务之间通过基础平台提供的网络交互。

另外数据面并非局限于网关类产品，实际上某些RPC框架也可以充当数据面，比如gRPC就已经支持完整的xDS，其也可以当作数据面使用。需要知道的是，一般我们会把负责数据转发的数据面也称为Sidecar。

控制面（Control Plane）

==================

通过xDS协议对数据面进行配置下发，以控制数据面的行为，比如路由转发、负载均衡、服务治理等配置下发。

最新版本的Istio控制面由以下几个组件组成。

• Pilot：Istio控制面中最核心的模块，负责运行时配置下发，具体来说，就是和Envoy之间基于xDS协议进行的各种Envoy配置信息的推送，包括服务发现、路由发现、集群发现、监听器发现等。

• Citadel：负责证书的分发和轮换，使Sidecar代理两端实现双向TLS认证、访问授权等。

• Galley：配置信息的格式和正确性校验，将配置信息提供给Pilot使用。

数据面风险

=====

istio数据平面的核心是proxy，其以Sidecar模式运行，每个服务pod启动时伴随启动istio-init和proxy容器。其中proxy容器对内外开放了许多端口用于监控以及运维。

netstat -ln

Active Internet connections (only servers)

Proto Recv-Q Send-Q Local Address           Foreign Address         State

tcp        0      0 0.0.0.0:15021           0.0.0.0:*               LISTEN

tcp        0      0 0.0.0.0:15090           0.0.0.0:*               LISTEN

tcp        0      0 127.0.0.1:15000         0.0.0.0:*               LISTEN

tcp        0      0 0.0.0.0:15001           0.0.0.0:*               LISTEN

tcp        0      0 0.0.0.0:15006