¿Cuáles son los beneficios de HTTPS entre los dos servidores que controlo?

Question

¿Cuáles son los beneficios de HTTPS entre los dos servidores que controlo?

#1 de Thomas Pornin (7 votos)

2

La configuración actual que tenemos es de dos servidores que se mantienen internamente en mi edificio. Uno de estos solo es accesible internamente, el otro es público. El servidor interno se comunica con el servidor externo (para mover archivos entre ellos), y ningún otro servidor.

Nuestro equipo de seguridad de red ha recomendado que usemos HTTPS para esta comunicación, en lugar de HTTP, "por razones de seguridad". Por supuesto, no voy a cuestionar su elección, pero me ha dejado preguntándome cuáles son los beneficios reales de esta situación.

Mi entendimiento actual es que HTTPS previene los ataques de intermediarios, y asegura que te estás comunicando con el servidor que crees que eres.

En este caso, somos propietarios de ambos servidores y están conectados directamente (físicamente, toda la red entre ellos está bajo nuestro control). Además, si alguien accediera a cualquiera de los dos servidores, podría acceder a los archivos que movemos entre ellos directamente, ya sea que estemos usando HTTP o HTTPS. Así que parece que el uso de HTTPS no está agregando ninguna seguridad adicional aquí ( que estoy seguro significa que me estoy perdiendo algo importante )

En esta situación, ¿qué beneficios nos brinda el uso de HTTPS?

tls http man-in-the-middle

pregunta Bilkokuya 25.09.2018 - 17:14

fuente

1 respuesta

Lea otras preguntas en las etiquetas tls http man-in-the-middle

JS inyectado a la base de datos usando img ¿Un dongle de autenticación de dos factores (OTP) que siempre se inserta en el MacBook agrega un beneficio de seguridad?

score 7 · Answer 1

En realidad, es difícil asegurarse de que el enlace entre cualquiera de sus dos servidores sea correcto y no pueda ser redirigido o espiado. Por ejemplo:

Los conmutadores comunes intentan, como optimización, enviar paquetes solo en los cables necesarios para llegar a la máquina de destino; sin embargo, en algunas circunstancias (en particular si se envían correos no deseados con demasiados paquetes de direcciones MAC de origen aleatorio), tienden a pasar al modo "concentrador", en el que cada paquete entrante se transmite por todos los cables. Para mantener la idea de que "su red es segura", debe asegurarse de que nada en su red esté comprometido.
Las comunicaciones máquina a máquina generalmente se inician con nombres : el servidor A se comunica con el servidor B buscando primero la dirección IP de B a través del DNS local. Se puede utilizar una variedad de métodos de DNS spoofing para hacer que la dirección IP de A believe B sea otro valor, incluso una dirección IP en algún otro lugar del mundo.
Mientras que las máquinas están (normalmente) en salas cerradas, el cable puede correr a lo largo de vías expuestas (p. ej., en techos suspendidos, pasando por salas menos seguras) y se puede espiar los datos de texto claro que viajan en estos cables.

Es posible tener una red interna realmente segura, pero requiere mucho más esfuerzo de lo que se suele pensar. La aplicación de HTTPS sistemático entre servidores "internos" es más fácil; también es útil para la contención de daños (cuando Bob, desde la contabilidad, inserta en su computadora la bonita unidad USB que encontró en el estacionamiento, por lo que le entrega el control de su computadora a una entidad hostil externa, el cifrado interno generalizado puede ayudar a frenar al atacante en su forma de compromiso total de toda su red).

Tenga en cuenta que otras tecnologías también pueden ayudar; p.ej. podría hacer un túnel VPN (IPsec) entre los servidores A y B, y luego usar HTTP simple dentro de ese túnel. El modelo de seguridad es ligeramente diferente (la seguridad HTTPS es entre aplicaciones mientras que un túnel VPN está entre sistemas operativos ) pero puede funcionar. En la práctica, HTTPS puede ser más fácil de configurar.