「VPC内通信もTLSにすべき？」と聞かれて ── そもそもAWS内で盗聴できるのか脅威モデルで確かめた話 - Qiita

ぼんやりと、「現実的に盗聴は不可能だけど、推奨はされる」ぐらいの認識だったけど、想像以上に詳細に調査されていて、非常に良い。惜しむらくは、所属会社が今話題の会社の系列なのが...

VPC内の暗号化はセキュリティ対策じゃなくてコンプライアンス要件への対応って整理、すごく腑に落ちるな。この手の「なんとなくTLS」に一石を投じる良記事

L2が無いんで。の一言でケムにまくのはダメなのかしら。arp移す発想がなくて苦労してんだ逆に。ははは。

全文通して"IPsec"が一度も出てこない恐怖の記事

「問題ない」ロジックを整理するの大変だし、よい記事。//ALB通してる時点でL7層の話なのに、IPsecへの言及がないことをあげつらうコメントがよくわからん。

勉強になる！！！！！！！！

AWSのVPC内はSDN（ソフトウェア定義ネットワーク）制御でありARPスプーフィング等の受動的盗聴は成立しない。TLS化の実利はほぼゼロであり本件はセキュリティ向上ではなく「コスト対ガイドライン準拠」の判断ってことか

VRFで分離されているのかと思っていたけれど。他顧客に盗聴されるというよりかはAWSを信頼するかしないかになるのではと思ったり。

CloudFront ⇔ ALB 間はどうなのかが気になった（デフォルトだと HTTPS だけど HTTP も選択できた気がするので）

CloudFrontはオリジンとの間が必ずしもAWSプライベートネットワークと限らないのでHTTPS推奨。HTTPでアクセスした場合に備えてHSTSヘッダー応答とHTTPSリダイレクトをCFでやらせるのが定石。Direct Connect暗号化よりお手軽に実現可

自分でCA立てて自己署名証明書を作って接続先の/etc/ca-certificatesに放り込むとかは駄目なんだろうか。試したことないけど。

CloudFront > ALB は、去年くらいにprivateサブネットのALBに直接繋げられるようになった

こういう当たり前だが正面切って確認されないものこそ面白い

これずっと気になってた

仮想PC内の通信はTLS化しなくても大丈夫ですよ。基本的にMACアドレスで通信します（ARP通信）

TLS

awsが米帝の法に従い米政府の監査を受けたらスッポンポンなのは何しても一緒か…設定変更で気がつけるだけ一応設定はしておいてもいいけどvm基盤レベルで踏み込まれたらもうアウトだしな、ここは信用するしか無いか

示唆に富むセキュリティの話

AWSを信頼するかという話かと思ったが、まあそれ言い出したらインスタンスも個別暗号化しないといけないね

素晴らしい検証記事でした。