7.5 傳輸信任與憑證生命週期
本章的責任是把跨邊界通訊風險拆成信任鏈節點，讓連線完整性、會話收斂與憑證節奏可以一致治理。
本章寫作邊界
本章聚焦信任鏈治理、會話收斂、憑證生命周期與第三方傳導。案例在問題被觸發時提供佐證。
本章 threat scope
In-scope：會話收斂節奏落後 / 憑證輪替覆蓋不足 / 管理平面傳輸混層 / 第三方信任重評估延遲。
Out-of-scope（路由到他章）：
- 身分授權 → 7.2
- 入口暴露 → 7.3
- 機器憑證 → 7.6
- workload federation → 7.10
- artifact 信任 → 7.12
- 偵測平台 →
04-observability、實作交付 →05/06/08
Reader 對 in-scope 列表的 specific threat 應該能反向 trace 到本章問題節點；out-of-scope 議題請直接跳到對應章節、不在本章 audit 範圍。
從本章到實作
本章是 routing layer，沿兩條 chain 進入 implementation：
- Mechanism：問題節點表的
[session-invalidation]等 control link 進 knowledge-card、看具體機制 / 邊界 / context-dependence。 - Delivery：「交接路由」欄位指向
05-deployment-platform / 06-reliability / 08-incident-response、接配置 / 驗證 / 處置交付。
兩條 chain 完成判準與模組級 chain 規格見 從章節到實作的 chain。
傳輸信任模型
傳輸信任的核心責任是定義連線兩端如何被驗證，以及信任失效時如何快速收斂。
- 端點驗證：確認服務端與客戶端身份可驗證。
- 會話完整性：確認連線與 token 不可被重放或跨情境復用。
- 憑證節奏：確認簽發、輪替、撤銷與到期處置可追蹤。
- 平面隔離：確認管理流量與業務流量使用不同信任邊界。
- 第三方重評估：確認外部事件後內部信任關係可重建。
判讀流程
判讀流程的責任是把「連線可用」轉成「連線可信」。
- 先判讀異常發生在握手、會話或憑證狀態。
- 再判讀是否涉及管理平面或高價值資料路徑。
- 接著啟動會話收斂、憑證撤銷與替代路徑切換。
- 最後交接到可靠性驗證與 incident 收斂流程。
問題節點（案例觸發式）
| 問題節點 | 判讀訊號 | 風險後果 | 前置控制面 | 交接路由 |
|---|---|---|---|---|
| 會話收斂節奏落後 | 修補後異常 session 延續 | 事件關閉窗口延長 | session-invalidation、timeout | 08 + 05 |
| 憑證輪替覆蓋不足 | 輪替完成率偏低、失效窗口過長 | 信任鏈可利用窗口維持 | website-certificate-lifecycle、certificate-revocation | 05 + 06 |
| 管理平面傳輸混層 | 管理流量與業務流量共用邊界 | 高權限邊界可被橫向利用 | management-plane、trust-boundary | 05 + 08 |
| 第三方信任重評估延遲 | 外部事件後內部憑證收斂滯後 | 傳導風險停留在生產路徑 | token-revocation、incident-severity | 08 |
跨章議題交叉引用
本章「第三方信任重評估延遲」是 7.2 供應商身分鏈傳導 在傳輸層的展現；canonical SSoT 在 7.2、本條補憑證收斂滯後的 specific 訊號。
會話重放跟全域失效（canonical）
會話重放是傳輸層獨有的失效模式：攻擊者不需要重新驗證、只需要把 已通過驗證 的會話資料拿到新環境播放。控制責任是讓會話的「可重放窗口」短於攻擊者的「重放準備時間」、這條 chain 跟登入層的強認證是不同責任。
會話收斂節奏的 canonical 在本章；7.2 identity-access-boundary 從身分視角補 token 撤銷時間窗口的 specific 訊號、7.3 entrypoint 從邊界設備視角補「修補 / 失效 / 清查」三同步並行需求。
對應 Citrix Bleed 2023：揭露三層失效控制面 — 會話機制缺少快速失效策略、邊界事件後憑證與會話輪替未即時執行、會話異常偵測與告警關聯不足。案例「可落地檢查點」標明事故中 mechanism 為「修補、全域失效、強制重新登入同步執行」，日常監控「異常地理位置與設備指紋切換」。
以下基於通用工程知識補充：全域 session 失效的工程意義是讓重放窗口從「token 自然到期」縮成「事件確認後分鐘級」。失效路徑要在日常設計時就完成驗證、確保全域 kill switch 在事件當下可立即觸發；缺位時要在日常演練回頭補。使用者 session 走強制 re-auth 路徑、服務間 session 透過 issuer 端撤銷 — 兩條 lever 不同、事件期間需各自獨立準備。
簽章金鑰失效時的驗證路徑收斂
簽章金鑰治理的 canonical 在 7.6 secrets governance § 簽章金鑰跟長期信任根（含 material 保護）。本節聚焦傳輸層的 specific 訊號 — 簽章金鑰失效時、驗證路徑能否在 fleet 層級熱抽換 issuer、決定信任鏈重建的速度。
對應 Microsoft Storm-0558 2023：揭露的「權杖驗證邊界缺少跨服務一致性檢查」屬本章傳輸層責任。案例「可落地檢查點」標明 mechanism 是「監控跨租戶 token 出現相同 issuer 但不應跨域的軌跡」、並標明前提是 token validation 路徑可在 fleet 層級熱抽換 issuer。
以下基於通用工程知識補充：fleet 層級熱抽換屬日常基礎設施的能力前提、要在日常設計階段內建、事件期間才補通常會把重建時間拉長到小時 / 天級。常見落差是 token validation 邏輯被嵌進個別 service 的 library、抽換 issuer 等於重 deploy 每個 service。傳輸層治理要把這個能力當前提條件、缺位時要在 5.x deployment platform 跟基礎設施團隊協作補上。
常見風險邊界
風險邊界的責任是判斷何時要升級信任鏈處置等級。
- 修補後異常會話仍活躍時，代表會話收斂能力不足。
- 憑證輪替覆蓋率長期偏低時，代表信任鏈存在長窗口暴露。
- 管理平面與業務平面共用同一傳輸邊界時，代表高權限流量隔離不足。
- 外部公告後內部仍保留高風險憑證時，代表第三方信任重評估延遲。
案例觸發參考
案例觸發的責任是驗證傳輸與憑證治理能否承受事件壓力。
- 會話被竊取與重放壓力： Citrix Bleed 2023
- VPN 通道漏洞與信任鏈衝擊： Fortinet SSL VPN 2024
- 第三方身分鏈事件後收斂壓力： Cloudflare 2023
下一步路由
- 連線與憑證配置：
05-deployment-platform - 輪替與驗證節奏：
06-reliability - 事件收斂流程：
08-incident-response