Нужно ли веб-приложениям/API использовать HTTPS, если прокси-сервер уже использует его в архитектуре микросервисов?

Ваш вопрос эквивалентен * «Должен ли я шифровать соединения, которые никогда не покидают машину, на которой работает прокси-сервер?» *

Если вы пройдете предыдущие обсуждения в различных контекстах, ответ должен быть очевиден, https://security.stackexchange.com/search?q=https+internal# Если вы можете получить сертификат для прокси-сервера, интересно, почему вы не можете сделать то же самое для других приложений.

ИМХО зависит от безопасности. если пользователь выполняет аутентификацию, она должна быть зашифрована e2e любыми способами. Но это должно быть больше вопросом безопасности. как сказал. Если вы можете гарантировать, что I. e. поскольку вы работаете в регионе ЕС, никто не может прервать трафик в атаке MITM, что, по моему мнению, у вас никогда не получится, вы можете это сделать.Если это просто информационный сайт, на который, насколько мне известно, никто не может войти, то нет смысла использовать e2e-шифрование. Напоминаем, что GDPR также может повлиять на общественные услуги, если вы оказываете услугу в любом из затронутых мест или выглядите слишком

@anx да, я планирую разместить все в контейнерах. И я не очень хорошо разбираюсь в стандартах с точки зрения безопасности, поэтому я понятия не имею, как злоумышленники делают свои вещи.

@LexLi Извините, я разработчик программного обеспечения, но не изучал безопасность так глубоко, поэтому я не знаю, по каким критериям искать это. Я пытался искать, но похоже, что я использую разные термины. Что касается сертификатов, в настоящее время я использую самоподписанные, и, судя по тому, что я нашел, похоже, что сертификаты, которые вы покупаете, основаны на доменных именах. Я думаю, мне нужно провести более глубокое исследование того, как работают эти SSL, сертификаты и защищенное соединение.

@djdomi да, это то, о чем я думаю на практике. Кроме того, сертификаты SSL довольно дороги для моего небольшого сольного проекта, и кто знает, когда он привлечет внимание людей.

дорогой? Например, давайте зашифруем бесплатно даже для доменов с подстановочными знаками. Так что никаких оправданий?! Следующая попытка ;)

Поскольку вы всего лишь разработчик, я предлагаю вам сообщить об этом вашим сетевым администраторам, которые должны обладать обширными знаниями по таким темам. Компания или институт, скорее всего, будут иметь свой собственный центр сертификации, чтобы можно было легко генерировать любые сертификаты и управлять ими.

Этот вопрос на других языках: