DNSとSNIが見えにくくなる時代に、外部通信をどう見るか

以前、以下の記事を書きました。 今回はその補足のような話です。 ただし、この記事だけ読んでも分かるように書きます。 開発環境やCI/CDでは、外部通信を見られることが重要です。 どのプロセスが動き、どのファイルに触り、どこへ通信したのか。特に、package install中に普段とは違う通信が発生したり、credentialに触った直後に外部へ通信したりする場合、それを後から追えることには意味があります。 このあたりの話は、今後Podcast「八百万のOSS」でも扱っていきたいと思っています。 一方で、Web全体の流れを見ると、これまで企業ネットワークやCI/CD環境が便利に使ってきた観測点は、少しずつ弱くなっていきそうです。 特に大きいのがDNSとSNIです。 これまで、HTTPSの中身は暗号化されていても、DNS問い合わせやTLSのSNIを見ることで、どこに通信しようとしているのかは

[ot2sy39]

DoHは間違った方向だと思っている。筋の良し悪しと普及するかどうかは別の話なので言っても仕方ないが。

[diveintounlimit]

セキュアになるほど見えにくくなる、なるほど。

[mapk0y]

CI/CD だけで言えば、cicd-sensor はこのあたりで使えそう

[netnotora]

だったら自前でDoH建てたら？

[beerbeerkun]

「企業ネットワークやCI/CD環境の監視はどこを見ればよいのか。」本文では時代の流れに逆行という評価だがクライアントの自由度を落としてプロキシ経由を強制させるくらいしか対案思いつかない

[kaputte]

これは確かになあ

[Shinwiki]

「監視したい」と「見せたくない」はまぁ昔からずっとそういうもんなので…そのままだと監視エージェントが/var/log配下見れないとかさ。まぁどうにかなって行くっしょ。

[nguyen-oi]

DoHとECHで中間者攻撃を防ぐのは良いことだけど、社内ネットワークやCI/CDの監視が難しくなるのはインフラエンジニアとしては胃が痛い問題だな