Tüm sunucuların HTTPS protokolünü mi yoksa yalnızca halka açık sunucuları mi kullanması gerekiyor?

HTTPS üzerinden çalışan bir ön uç web sunucum var - bu halka açık - yani bağlantı noktası açık.

Ayrıca, web sunucumun API istekleri yaptığı bir arka uç API sunucusuna da sahibim - bu halka açık ve kimlik doğrulaması gerekiyor - bağlantı noktası açık.

Bu 2 sunucu HTTPS üzerinden çalışır.

API sunucusunun arkasında birçok başka sunucu var. API sunucusu proxy'leri bu sunuculara tersine çevirir. Bu diğer sunucular için bağlantı noktaları gelen trafiğe açık değildir. Sadece API sunucusu üzerinden konuşabilirler.

Sorumu ... "Çok sayıda başka sunucunun" HTTPS üzerinden mi çalışması gerekiyor yoksa dışarıdan erişilemediği takdirde güvenli bir şekilde HTTP üzerinden mi çalıştırılıyor?

Bunun ortak bir soru olacağını düşünmüştüm ama buna cevap bulamadım. Teşekkürler. Eğer bu bir dupe ise, lütfen beni doğru cevaba yönlendirin.

Bu bir görüş meselesidir ve aynı zamanda (eğer herhangi bir sorunla karşılaşırsanız) düzenleyici konularla da ilgilidir.

Şu anda gerekli olmasa bile, HTTPS'yi uygulama seviyesi güvenlik duvarları / yük dengeleyiciler / ön uç sunucular ve arka uç sunucular arasında etkin tutmanın büyük bir savunucusuyum. Bir daha az saldırı yüzeyi. Daha hassas bilgiler aktarılmaya başladıkça, dönüştürülmesi gereken yerlerle sözleşme yaptım - oradan başlamak daha iyi.

Genelde önereceğim şey, arka uç sunucuların dahili bir CA (varsa) veya kendinden işaretli (dahili CA yoksa) kullanılmasıdır. Gereksiz değişikliklerden kaçınmak için son kullanma tarihini güzel ve geleceğe belirledik.

TL; DR , aynı ana bilgisayarda değilse , trafiği şifrelemelisiniz .

Ağınıza güvenemezsiniz. Kendi ağınızdaki kötü amaçlı yazılımlar http isteklerini engelleyebilir / değiştirebilir.

Teorik saldırılar değil, gerçek hayattan bir örnek:

• Reklam enjekte eden bazı web sitelerinin ağındaki yönlendiriciler (muhtemelen hacklenmiş durumda): https://www.blackhat.com/docs/us-16/materials/us-16-Nakibly-TCP-Injection-Attacks-in-the-Wild- A-Büyük Ölçekli-Çalışma-wp.pdf

• Cloudfare ve back-end arasında koklayan Hintli ağ: https://medium.com/@karthikb351/airtel-is-sniffing-and-censoring-cloudflares-traffic-in-india-and-th- -o-90935f7f6d98 # .hymc3785e

• Şimdi ünlü "SSL burada eklendi ve kaldırıldı :-)" NSA'dan

"Çok sayıda başka sunucunun" HTTPS üzerinden mi çalışması gerekiyor yoksa dışarıdan erişilemediği takdirde güvenli bir şekilde HTTP üzerinden mi çalıştırılıyor?

Bu gerçekten başarmaya çalıştığınız şeye bağlıdır. HTTPS kullanmanın amacını anlamak, aktarılan verileri iki nokta arasında korumaktır. Ağınızdaki verilerin gizlenmesi konusunda endişeleriniz varsa, o zaman belki ilk önce dikkat edilmesi gerekir. Ağınızdaki transit yoldaki verileri korumanız gerekiyorsa, söylediğiniz şey ya ağınızdaki sistemler arasında dolaşan verilerin güvenliği konusunda endişenizin olması ya da verileri transit yolunda şifrelemeniz için bazı uygunluk nedenleri olduğudur.

Bu gerçekten bir fikir sorusundan başka bir şey değil ama cevabı buna bağlı. Ne yapmaya çalışıyorsun? Ne tür verileri şifreliyorsunuz? Hangi tehditlerden korunmaya çalışıyorsun? Verileri aktarım sırasında şifrelemeniz gerektiğini bildiren yasal bir gereksiniminiz var mı (örneğin, PCI-DSS, HIPAA vb.)? Veriler hassassa ve ağınız içinde iletilirken kötüye kullanılabileceğinden endişe ediyorsanız, sorunu gidermek için yönetimle bir araya gelmenizi öneririm. Sonunda neyi korumaya çalışıyorsunuz ve neden korumaya çalışıyorsunuz?

O günlerde insanlar iç ağların evler kadar güvenli olduğunu varsaydılar. Bir keresinde, içime dönük sunucularımın yerleşik güvenlik duvarlarını çalıştırdığı dehşeti uyandıran bir süpervizörle bir anlaşmazlık yaşadım. “Dahili ağınıza güvenemiyorsanız, kime güvenebilirsiniz?” İç ağımızda öğrenci dizüstü bilgisayarlar olduğunu ve öğrenci dizüstü bilgisayarlar ile sunucularım arasında güvenlik duvarı olmadığını belirttim. Akademi'de yeni biri olarak, bu bilgiyi kullanarak evreninde ustaların olduğu ortaya çıktı.

Ağınızda öğrenci dizüstü bilgisayarlar olmasa bile, iç ağlar artık güvenli sayılmaz. Bazı örnekler için Tom'un cevabına bakınız.

Bu, evet, hangi bilgilerin aktarıldığına, yasal uygunluk sorunlarına vb. Bağlı olduğunu söylüyor. Birisinin hava durumu verilerini dinlemesi, söylememesi gibi konularda umursamayacağınıza karar verebilirsiniz. Yani veri gönderileceği duyarlı olmasa bile mümkündür, dedi şimdi , birisi daha sonra uygulamanıza özellikler eklemek karar verebilir vardır I (HTTPS dahil) daha büyük paranoyası öneriyoruz, böylece hassas.

Bugün şifrelemeyi hızlandırmak için özel CPU komutları ve şifrelenmemiş bir bağlantı (HTTP / 2, gRPC, vb.) Üzerinde hiçbir şekilde çalışmayacak veya düşük performansla çalışacak yeni taşıma protokolleri ile, belki de daha iyi bir soru var: neden bir ağ bağlantısını HTTP'ye indirmeniz gerekiyor? Belirli bir neden yoksa, cevap HTTPS'de kalır.

Aklıma gelen şifrelemeyi devre dışı bırakmamın tek nedeni performans. Bununla birlikte, sizin durumunuzda dahili sunucular HTTP üzerinden arayüze bağlanır, yani zaten bir web sunucusu çalıştırma, HTTP protokolünü destekleme ve HTTP / JSON / içinde veri kodlama performans maliyetini zaten karşılar. Şifrelemeyi devre dışı bırakmak belki 100 KB RAM’i boşaltacaktır ve size iletilen KB başına veri başına birkaç mikrosaniye kazanacaktır; Öte yandan, şimdi intranetinizde HTTP çalıştırdığınızdan, güvenliğe büyük önem vermeniz gerekir. Aslında, daha katı güvenlik duvarı yapılandırmasının, şifrelemeyi devre dışı bırakmaktan daha fazla şeyi yavaşlatması olasıdır, bu da son kullanıcılar tarafından algılanan daha kötü bir performansa neden olur.

Bir traktöre bir spoiler koymak gibi olacak: teorik olarak hiçbir şeyin yanında kazanıyorsunuz ve pratik olarak çok fazla rahatsızlık veriyorsunuz.