お願いがあります．オリジンサーバを暗号化なしの HTTP で運用しないでください． - Qiita

インフラもセキュリティも，まだまだ未熟な私ではありますが，これだけはお願いします． オリジンサーバを暗号化なしの HTTP で運用しないでください． TL;DR ここで，オリジンサーバは，ファイアウォールやゲートウェイを通った先の最も奥にある，最終的にリクエストを処理するサーバをいいます．アプリケーションサーバが当てはまることが多いですが，静的ファイルサーバも例外ではありません．対して，間に入るサーバをエッジサーバと呼ぶことにします． また，この記事では暗号化なしの HTTP を HTTP ， TLS レイヤ上の HTTP を HTTPS として記述します．HTTPS における TLS 上での通信も HTTP ではあるため，差別化のために明記しておきます． 何がだめなのか 近年， Web サイトのほとんどが TLS を用いた HTTPS で運用されています．パブリックな静的コンテンツに対し

[Makeneko]

"あなたの LAN 内， VLAN 内，マシン内，コンテナ内は本当に安全でしょうか？" まずは安全なサーバ環境を作りませんか？

[qtamaki]

セキュリティが優位に高まるというエビデンスがあるのかな？

[nminoru]

CDNの文脈以外でオリジンサーバーという言葉は一般的なんだろうか？

[Sampo]

localhost内のソケット通信に介入する特権まである攻撃プロセスがいることを前提にしてしまったら、HTTPSの鍵も証明書もまったく信用できないぜ？

[kazuau]

外向けのファイアウォールとロードバランサ通り抜けた内側は既に非暗号であるのがわりと一般的ではないか

[n314]

なんか賛否コメント盛り上がりそうだけど、10代の学生なら結構すごい方では。

[Surgo]

頑張ってほしい

[northlight]

なんか机上の空論っぽいなあ。

[rryu]

確かにフロントウェブサーバがHTTPで中継したらE2Eとは言えないとは思うが、TLSをパススルーしたらそれはフロントウェブサーバではなく単なるルータなのではという気がする。

[JULY]

まぁ、できるならその方が良いんだけど、じゃぁ現実問題として、リスク評価と運用コストのバランスはどうか。コメントで localhost も TLS と言ってるけど、その証明書のためにプライベート CA を運用するの？

[DustOfHuman]

いきなりオリジンサーバー(当該記事の用語)に外部からリクエストが突き刺さる、みたいなケースも無くは無いからな(何も考えずに外部サイトと連携するときとか)　個人的にはもっと他の事考えたら？ってなるが

[cl-gaku]

簡単に言ってくれるなあ

[rinsuki]

SNI見てAPにそのまま投げろはちょっといろいろ厳しいのではと思うけど(ロードバランスできないじゃんとかアクセスログを集権管理できないとかWAF通したいとか)、まあそれ以外はたしかにねという気持ちになった

[odakaho]

場合によるだろそんなん

[kzm1760]

現状でやるかどうかでいうと、まだ手間のほうが圧倒的に大きいのが正直な所。ただ、これからはこういう考えが基本になるのだろうとは思ったのでブクマ。自己証明書でも良いけどAWSがネイティブで対応してくれたら。