Docker ssl frontend backend?

Question

[pertsev1983]

есть 2 докер контейнера( фронтенд и бэкенд ) в одной докер сети на одной физическоой машине будет ли безопасно если они будут общаться между собой без ssl?

Comments

[Valentin Barbolin]

будет ли безопасно если они будут общаться между собой без ssl?

Да.

Рассуждения
Что бы прослушать трафик внутри сервера надо его взломать, а если ты взломал сервер то скорее всего у тебя полные права, а с полными правами ты можеш изменить любые настройки.

То есть, теоритически использование ssl внутри сервера заставит злоумышленника раскрыть себя чтобы прослушать трафик, но не оставит его.

Стоит ли так заморачиваться с ssl? Все зависит от ТЗ.

[shurshur]

К вышесказанному добавлю, что часто само разрабатываемое приложение не умеет SSL, вместо этого перед ним ставится reverse proxy (nginx, haproxy, traefik, envoy ид), который и предоставляет SSL, а между nginx (или другим веб-сервером) трафик всё равно не шифруется. До кучи, этот nginx может отдавать статику и скрипты фронта.

Чтобы по ТЗ требовать шифровать трафик в каждом прилоежнии, это должно быть что-то из области военки, гостайны или корпоративных данных супервысокой значимости, крупных финансов или что-то подобное. Обычному сайту такое ни к чему.

[d-stream]

shurshur, добавлю:
даже очень критические данные - появляются требования TLS шифрования между подами например в кубере, но не внутри пода.

То есть требование шифрования между контейнерами может быть, если это реально проект "на вырост" и завтра эти контейнеры разъедутся во что-то куберообразное и даже могут оказаться в ряде случаев в разных геолокациях
Но в таких случаях шифрование реализуют не средствами приложений, а средствами надстроек над средой (к примеру истио в кубере)

[d-stream]

Ну и да, в общем случае забиваемая в мозг обывателю мысль "без TLS опасно" - это некое лукавство.

[shurshur]

d-stream, конечно, я и говорю, это должны быть сложные случаи, а тут два контейнера на локалхосте. Вообще, люди, которые пытаются внутри хоста в шифрование беспарольным ключом, который открыто лежит на файловой системе с правами 644 или даже 666, явно занимаются фигнёй.

Answer 1

[ky0]

Обычно так и делают. Чтобы начать внутри одного локального бриджа городить шифрование - должны быть ну оочень веские причины.

Answer 2

[aleksxx]

ДА, это безопасно
Когда контейнеры находятся в одной Docker сети на одной физической машине, их трафик НЕ покидает хост-систему и не проходит через внешние сети.