Nginx Http Basic Auth Security
Допустим, я размещаю что-то вроде панели мониторинга netdata на порту 6000.
Затем я выполняю обратное преобразование nginx. прокси-сервер на поддомен netdata.domain.com
В то время как базовая аутентификация применяется в nginx.conf, чтобы обеспечить защиту всего сайта.
У меня вопрос, так как мое подключение к netdata.domain.com - это http, а не https, мои данные не зашифрованы. Значит, вход в базовую аутентификацию nginx под этим соединением в основном не раскрывает пароль для атаки MITM?
Но если я добавлю облачную вспышку между реальным IP-адресом, это даст уровень прокси и в основном усложнит это должно случиться, верно?
Я не знаю, справедливо ли мое беспокойство.
Мой вопрос в том, что поскольку мое соединение с netdata.domain.com является http, а не https, мои данные не шифруются. Поэтому не будет ли вход в nginx basic auth при таком соединении, по сути, раскрывать пароль для MITM-атаки?
Верно. Он отправляется полностью открытым текстом, и любой на пути может тривиально прочитать его.
Но если я добавлю cloudflare между реальными ip, это даст уровень прокси и, по сути, добавит много трудностей для того, чтобы это произошло?
Если вы настроите CF на требование TLS, то соединение между клиентом и CF будет зашифровано. Между CF и сервером - нет.
Это 2021 год. Сертификаты бесплатны и тривиально автоматизируемы на всех платформах. Не развертывайте аутентификацию по HTTP в 2021 году. Настройте ее надлежащим образом с помощью TLS на вашем веб-сервере.