「VPC内通信もTLSにすべき？」と聞かれて ── そもそもAWS内で盗聴できるのか脅威モデルで確かめた話 - Qiita

以下、なぜこの結論になるのかを順に書きます。 そもそもVPC内は盗聴できるのか 最初に確認したかったのは、「物理的に同じLANにぶら下がっていて、他人のパケットが流れてくる」という昔のオフィスLANのイメージが、VPCにも当てはまるのか、でした。当てはまりません。 AWSのVPCは物理的な共有LANではなく、SDNの上に作られた仮想ネットワークです。この「オンプレのL2スイッチング（同じセグメントにフレームが流れ、隣の通信も物理的には見え得る）」と「VPCのSDN（パケットが宛先ごとに個別に転送される）」の違いが、今回の議論の出発点です。SDNとしての全体像はIvan Pepelnjak氏の "AWS Networking 101"（ipspace.net, 2020）が分かりやすく、盗聴の可否に直結する挙動は、AWSのLogical Separation on AWS（ホワイトペーパー）

[choota]

「問題ない」ロジックを整理するの大変だし、よい記事。//ALB通してる時点でL7層の話なのに、IPsecへの言及がないことをあげつらうコメントがよくわからん。

[emiya726]

VRFで分離されているのかと思っていたけれど。他顧客に盗聴されるというよりかはAWSを信頼するかしないかになるのではと思ったり。

[daishi_n]

CloudFrontはオリジンとの間が必ずしもAWSプライベートネットワークと限らないのでHTTPS推奨。HTTPでアクセスした場合に備えてHSTSヘッダー応答とHTTPSリダイレクトをCFでやらせるのが定石。Direct Connect暗号化よりお手軽に実現可

[odakaho]

CloudFront > ALB は、去年くらいにprivateサブネットのALBに直接繋げられるようになった

[skypenguins]

この手の議論を真面目にやったところでCLOUD法を根拠にアメリカ政府に令状とられたら無意味だよなといつも思ってる

[osakana110]

AWSのVPC内はSDN（ソフトウェア定義ネットワーク）制御でありARPスプーフィング等の受動的盗聴は成立しない。TLS化の実利はほぼゼロであり本件はセキュリティ向上ではなく「コスト対ガイドライン準拠」の判断ってことか

[caffephilia]

CloudFront ⇔ ALB 間はどうなのかが気になった（デフォルトだと HTTPS だけど HTTP も選択できた気がするので）

[ToTheEndOfTime]

仮想PC内の通信はTLS化しなくても大丈夫ですよ。基本的にMACアドレスで通信します（ARP通信）

[petite_blue]

自分でCA立てて自己署名証明書を作って接続先の/etc/ca-certificatesに放り込むとかは駄目なんだろうか。試したことないけど。

[NetPenguin]

めちゃくちゃ為になった。 VPC内はTLSにしないで使っているけど、そもそもなんでしないで良いのかちゃんと知らなかったので、とても良かった。

[secseek]

そうは言ってもゼロトラストって話もあるからなあ、とは思います。信頼できるネットワークなんて存在していいのかどうかって話で

[UME]

古来から使われる電気信号そのものをキャッチする技が絶対にできないあたりにＶＰＣの優位があるんだと思ってます

[poco_tin]

こういうのはクラウドベンダー側で参考事例とともにガイドライン化してほしい

[tofu-kun]

すごい良い視点

[getcha]

AWS 派はここはしなくてくて良い派が多い。逆にここも HTTPS化をするべきだという派閥もありAWSになれている人とのすりあわせに苦労することがある。

[mkusaka]

ALB→ECSのVPC内はSDNで受動盗聴不可、TLSはコストとガイドライン準拠の判断に。VPC encryption controls等も比較。

[homarara]

それで問題あったら、SSLアクセラレーションなんて何のためにあるのか。

[kenzy_n]

徹底するに越したことはない。

[yuuten]

“2026年の新しい選択肢——VPC encryption controls”

[sakurai_youhei]

サーバーでCAP_NET_RAWが奪取されると？？

[FreeCatWork]

AWSの中も覗く悪い奴はボクの猫パンチで撃退にゃ！通信の安全も大事だねにゃ。

[SnowSwallow]

学びが深いです。何階層も深いです。ありがとうございます。

[rxh]

素晴らしい検証記事でした。

[napsucks]

AWSを信頼するかという話かと思ったが、まあそれ言い出したらインスタンスも個別暗号化しないといけないね

[ryunosinfx]

awsが米帝の法に従い米政府の監査を受けたらスッポンポンなのは何しても一緒か…設定変更で気がつけるだけ一応設定はしておいてもいいけどvm基盤レベルで踏み込まれたらもうアウトだしな、ここは信用するしか無いか

[dollarss]

示唆に富むセキュリティの話

[wittro]

TLS

[beerbeerkun]

こういう当たり前だが正面切って確認されないものこそ面白い

[nappy1120]

これずっと気になってた

[hasiduki]

勉強になる！！！！！！！！