Как защитить соединение между двумя приложениями?

Question

[vadimparinov]

Здраствуйте!
Суть вопроса: Есть api сервер ( node js) который получает команды с фронта (react) и должен дальше отправить эту команду уже на исполнение непосредственно Linux машине.(на схеме daemon). Так он уже написан на python.
Всё работает между собой по rest api. Так вот как мне защитить(зашифровать) данные между api и daemon.
Чтоб никто не мог передать команду на исполнение на daemon(Он выполняет конкретные действия на сервере, поэтому нужно максимально его защитить)

Comments

[Aryeh Leonid R.]

Https. Или с сертификатами, или, для простоты, с PSK.

Answer 1

[cicatrix]

VPN не? Как бы для этого и предназначено
А вообще это задача сисадмину, чтобы эндпоинты от деймонов не смотрели в открытую сеть.

Comments

[vadimparinov]

VPN тут не совсем подходит подойдет.

[Василий Банников]

vadimparinov, Почему нет? Просто расположите их в одной сети.
С демоном общение по http происходит? Если да, то можно использовать https

[cicatrix]

vadimparinov, Не вижу, почему нельзя связать API сервер с деймонами в одну VPN, это логично, более того, так НАДО сделать. Открытая, смотрящая в интернет инфраструктура = дыра в безопасности.
Кстати, если сами деймоны не планируется модифицировать (добавлять аутентификацию, например), это вообще - ваш единственный выход.

[cicatrix]

Василий Банников,

можно использовать https

А толку? Деймон при ответе предъявит сертификат, что это действительно он. Ну а дальше? Что помешает стороннему Васе к нему подключиться?

[Василий Банников]

cicatrix, добавьте аутентификацию

[vadimparinov]

cicatrix, Я затупил немного) Просто на сервере где daemon запущенны другие приложения к которым нужен доступ из сети. Можно же только daemon запретить смотреть в сеть, а дать доступ только через vpn.
Я об этом не подумал)
Сейчас наметил для схема такую схему работы:
SSL + авторизация + vpn сеть
ПО идее конечно с vpn ssl не нужен, или лучше поставить и ssl ?

[cicatrix]

Василий Банников, Я и спрашивал про неё. Ведь такое возможно, что деймоны переделать нельзя.

[cicatrix]

vadimparinov, SSL внутри VPN так-то не сильно нужен. Но шваброй дверь для пущей безопасности подпереть можно. Но без аутентификации на деймоне, толку от SSL ноль в любом случае.

Answer 2

[Сергей Горностаев]

JWT + SSL

Comments

[Макс]

Одна из известных проблем jwt — сложность аннулирования токена. Попадёт такой токен к злоумышленнику и что вы будете делать?

[Сергей Горностаев]

Максим, во-первых, если правильно настроена политика обновления токена, то угроза будет существовать секунды. Во-вторых, SSL как раз для исключения перехвата трафика. Так что компрометация токена возможна только при получении злоумышленником доступа к кодовой базе. А в этом случае не спасёт вообще ни что.

Answer 3

[ky0]

А почему, собственно, у вас данные после фронтэнда ходят по такой сети, что требуется шифрование?

Даже если это какая-то географически-распределённая структура, то обычно её объединяют в защищённую виртуальную локальную сеть. Если же всё настолько плохо, что не на чем поднять VPN - то, если это HTTP, напрашивается вариант с TLS.