应如何保护*Intranet*REST API调用？

Question

这是场景.防火墙外的用户在浏览器中执行UI操作.浏览器对系统A进行REST API调用(并在通过防火墙的入口点或附近进行身份验证和授权).系统A(在公司网络防火墙内)对系统B(也在公司网络防火墙内)进行REST API调用.

考虑到在系统A的入口点已经发生了身份验证和授权,从系统A到系统B的"内部"REST API调用有多少安全性？

Answer 1

与其他任何事情一样,它取决于所涉及数据的敏感程度,以及风险水平与组织希望花费多少.

通常,使用强大的SSL(https连接)被认为是足够好的.您可能需要包含身份验证机制,如果您需要审核System A提交请求的内容 - 为此您可以使用以下任何一种:客户端证书,HTTP身份验证(基本或摘要),用户名/密码作为请求参数,IP地址映射,API密钥等

对于系统 - >系统调用,如果客户端系统没有更改(即不是Web浏览器或主动更改客户端库),您甚至不需要"真正的"证书 - 强大的自签名证书就足够了,因为您将它分发到您的客户端系统,他们都知道源没有第三方签名是有效的.

如果数据非常敏感,您可以使用物理上分离的网络或VPN来专用客户端和服务器之间的连接.