security - 両方のアプリがプライベート ネットワークにある場合でも、https ssl は推奨されますか?

Question

http 経由で Web サービスを使用して通信する 2 つのアプリケーションがある場合、ホスト名: ポートが外部に面していなくても、ssl を使用することをお勧めしますか?

外部呼び出しがこのアプリに到達しないことが合理的に保証できる場合、なぜまだ ssl を使用する必要があるのでしょうか?

Answer 1

SSL (および基本的に HTTP over SSL である HTTPS) は、正しく構成されている場合、クライアントとサーバー間のすべてのスヌーピングを停止します。スヌーパーは、組織の内部だけでなく外部にも存在する可能性があります。ええ、内部の人々はそれを行うべきではありませんが、それは起こります.ネットワーク構成だけに頼ってあなたを保護するのは賢明ではありません.

しかし、これに多くを費やす必要はありません！内部認証局 (OpenSSL には必要なすべてのソフトウェアが含まれていますが、ドキュメントとインターフェイスには多くの要望が残されています) を使用でき、スケールアウトする必要のある内部アプリはほとんどないため、おそらく次のような特別なハードウェアは必要ありません。乱数ソース。サーバーを保護することは非常に小さな作業であり、正当なユーザーへの侵入も非常に少ないため、そうしない言い訳はありません。

セキュリティのレイヤーを 1 つだけ適用してはならないことに注意してください。たくさん応募！SSL。ファイアウォール。ネットワーク分離。ロギング。それぞれが、さまざまな種類の問題や攻撃者から保護します。