Eu tenho uma distribuição do CloudFront configurada onde o usuário se conecta ao meu domínio por meio da distribuição do CloudFront e determina se a solicitação vai para meu bucket S3 ou minha instância EC2.
Neste caso, a conexão entre o usuário e o CloudFront é HTTPS, e existe o cadeado verde no navegador.
Minha preocupação é que a conexão entre o CloudFront e o EC2 agora seja via HTTP. Tentei alterar a política de origem para HTTPS, mas parece que não funciona.
Não preciso de um balanceador de carga, pois é apenas um servidor.
Também não acho que possa instalar o certificado CloudFront em meu servidor EC2 porque não tenho acesso à chave privada do certificado CloudFront.
Também não posso usar um certificado LetsEncrypt em minha instância EC2 porque ele requer um nome de domínio e minha instância EC2 é apenas um endereço IP.
Tudo funciona agora, mas só estou preocupado que seja inseguro. E se alguém digitar a senha no meu site? Ele não seria criptografado apenas ao ser enviado do usuário para a distribuição do CloudFront e, então, seria descriptografado e seria texto simples ao viajar pela Internet entre o CloudFront e o EC2? Isso não poderia ser registrado por intermediários ao longo do caminho?
Existe uma solução para isso ou não é um problema? Estou um pouco confuso porque vejo várias pessoas dizerem que não há problema em usar uma política de origem HTTP entre o CloudFront e sua instância do EC2, mas não tenho certeza de como isso poderia ser o caso.
Responder1
Existem muitos aspectos para responder a isso.
Os endpoints do CloudFront são implantados nos chamadosLocais de bordaonde o tráfego entra na infraestrutura global da AWS. Qualquer tráfego entre o CloudFront e seu EC2 deve ser roteado apenas pela infraestrutura da AWS e não por operadores terceirizados.
Atualizar:Infraestrutura global da AWSpágina diz:Todos os dados que fluem pela rede global da AWS que interconecta nossos datacenters e regiões são automaticamente criptografados na camada física antes de saírem de nossas instalações seguras.Ou seja, mesmo que algumas das interconexões estejam realmente atravessando redes de terceiros, elas são sempre criptografadas, portanto, seu HTTP de texto simples nunca deve ser visível por esse operador terceirizado.
Você já confia seus dados na AWS - você executa seu EC2, gerencia seus certificados SSL para CloudFront, etc., portanto, no mesmo nível, você provavelmente também confia na rede deles. Eu diria que o risco de espionar o tráfego de texto simples dentro da AWS é muito baixo, embora não inexistente.
Você pode criarcertificados SSL autoassinadosno seu EC2 e o CloudFront os aceitará com prazer para alcançar sua origem do EC2. Dessa forma, você pode ter HTTPS em todo o caminho. Este certificado autoassinado será usado apenas paraCF <-> Tráfego EC2, não para o seuUsuário <-> Tráfego CF, então não há problemas comcertificado inválidoavisos.
Espero que ajude :)