Tenemos un servidor web expuesto a internet, utiliza SSL / https. Las solicitudes a este servidor se redirigen a través de un firewall a un servidor web back-end que solo usa http. Ese servidor tiene acceso al servidor de almacenamiento de archivos (el DMZ con SSL) y recibe las solicitudes, encuentra el documento, copia el documento a una carpeta de caché en la DMZ y el servidor SSL sirve copia.
¿Cuáles son los riesgos de no usar https en el servidor interno también, si corresponde?
Al no utilizar TLS, está renunciando a la integridad y la confidencialidad. Su conexión puede ser monitoreada o alterada y no hay nada que garantice que el punto final es lo que ellos dicen que son.
Lamentablemente, vivimos en una época en la que debes asumir que estás violado, por lo que debes planificar tus controles de seguridad sobre este tema.
HTTPS se utiliza para proteger la conexión contra el rastreo, la manipulación y la suplantación de un punto final. La cantidad de protección necesaria en su red local depende de cuánto puede confiar en su red. Como siempre, no hay seguridad absoluta, pero uno tiene que encontrar un equilibrio entre la seguridad alcanzable y el riesgo restante teniendo en cuenta la cantidad de recursos (dinero, tiempo, personas) necesarios para aumentar la seguridad.
Por ejemplo, si tiene una red local en la que una persona que no es completamente confiable (o una máquina comprometida) podría usar la falsificación ARP o DHCP para redirigir el tráfico, entonces el uso de HTTPS en la red interna podría usarse para proteger el tráfico de todos modos . Pero tal vez una mejor inversión sería aumentar la seguridad general de la red en tales casos. Si, por el contrario, todas las máquinas de la red están autenticadas correctamente y IPSec ya se usa para proteger la comunicación en una capa inferior, en lugar de agregar HTTPS, es menos necesario. Pero aún se puede usar como medida de defensa en profundidad, especialmente si la protección de capa inferior (IPSec) está gestionada por diferentes departamentos o se rige por diferentes requisitos de seguridad que la protección de nivel superior (HTTPS).