Tengo una distribución de CloudFront configurada donde el usuario se conecta a mi dominio a través de la distribución de CloudFront y determina si su solicitud va a mi depósito S3 o mi instancia EC2.
En este caso, la conexión entre el usuario y CloudFront es HTTPS, y ahí está el candado verde en el navegador.
Mi preocupación es que la conexión entre CloudFront y EC2 ahora es a través de HTTP. Intenté cambiar la política de origen a HTTPS, pero parece que no funciona.
No necesito un equilibrador de carga ya que es solo un servidor.
Tampoco creo que pueda instalar el certificado de CloudFront en mi servidor EC2 porque no tengo acceso a la clave privada del certificado de CloudFront.
Tampoco puedo usar un certificado LetsEncrypt en mi instancia EC2 porque requiere un nombre de dominio y mi instancia EC2 es solo una dirección IP.
Todo funciona ahora, pero lo que me preocupa es que sea inseguro. ¿Qué pasa si alguien escribe su contraseña en mi sitio? ¿No estaría cifrado solo cuando el usuario lo envíe a la distribución de CloudFront, y luego no estaría cifrado y sería texto sin formato cuando viajara por Internet entre CloudFront y EC2? ¿No podría esto ser registrado por intermediarios en el camino?
¿Hay alguna solución para esto o no es un problema? Estoy un poco confundido porque veo que varias personas dicen que está bien usar una política de origen HTTP entre CloudFront y su instancia EC2, pero no estoy seguro de cómo podría ser ese el caso.
Respuesta1
Hay muchos aspectos para responder a esto.
Los puntos finales de CloudFront se implementan en los llamadosUbicaciones de bordedonde el tráfico ingresa a la infraestructura global de AWS. Cualquier tráfico entre CloudFront y su EC2 solo debe enrutarse a través de la infraestructura de AWS y no a través de operadores externos.
Actualizar:Infraestructura global de AWSpagina dice:Todos los datos que fluyen a través de la red global de AWS que interconecta nuestros centros de datos y regiones se cifran automáticamente en la capa física antes de salir de nuestras instalaciones seguras.Es decir, incluso si algunas de las interconexiones en realidad atraviesan redes de terceros, siempre están cifradas, por lo que ese operador externo nunca debería ver su HTTP en texto plano.
Ya confía en AWS con sus datos: ejecuta su EC2, administra sus certificados SSL para CloudFront, etc., por lo que al mismo nivel probablemente también confíe en su red. Yo diría que el riesgo de espiar su tráfico de texto plano dentro de AWS es bastante bajo, aunque no inexistente.
puedes crearcertificados SSL autofirmadosen su EC2 y CloudFront los aceptará con gusto si llegan a su origen EC2. De esa manera puedes tener HTTPS todo el tiempo. Este certificado autofirmado sólo se utilizará paraTráfico CF <-> EC2, no para tuUsuario <-> tráfico CF, así que no hay problemas concertificado inválidoadvertencias.
Espero que ayude :)