Istio mTLS

Définition

Le mTLS (mutual TLS) avec Istio est un mécanisme de sécurité des communications entre services dans un service mesh Kubernetes, où chaque service s'authentifie mutuellement via des certificats TLS. Contrairement au TLS unidirectionnel classique (le client vérifie le serveur), le mTLS exige que les deux parties (client ET serveur) présentent un certificat valide, garantissant l'identité des deux côtés de la communication. Istio implémente le mTLS de manière transparente via ses proxies Envoy (sidecars) injectés automatiquement dans chaque pod. Les applications n'ont pas conscience du mTLS : elles communiquent en HTTP/gRPC classique avec le sidecar local, qui se charge de chiffrer et d'authentifier la communication avec le sidecar du service destination. Cette transparence permet d'activer mTLS sans modifier le code des applications. Istio gère son propre système PKI (Public Key Infrastructure) via Istiod (le plan de contrôle Istio). Istiod génère et distribue des certificats X.509 aux proxies Envoy, signés par une CA (Certificate Authority) Istio. Ces certificats encodent l'identité du service sous forme de SPIFFE URI (spiffe://cluster.local/ns/namespace/sa/serviceaccount), permettant une identification précise basée sur le ServiceAccount Kubernetes. Le mode mTLS dans Istio peut être configuré via les ressources PeerAuthentication (définit la politique mTLS pour un namespace ou un service) et DestinationRule (définit le TLS client vers un service spécifique). Le mode STRICT impose le mTLS obligatoire pour toutes les communications (aucun trafic en clair accepté). Le mode PERMISSIVE accepte à la fois le trafic chiffré et non chiffré (pour la migration progressive). L'activation du mTLS strict dans tous les namespaces Kubernetes constitue une implémentation Zero Trust réseau : même si un attaquant compromet un pod ou intercepte le trafic réseau, les communications entre services sont chiffrées et mutuellement authentifiées, rendant les attaques MITM (Man-in-the-Middle) inefficaces.