Abbiamo un server Web esposto a Internet, utilizza SSL / https. Le richieste a questo server vengono reindirizzate attraverso un firewall a un server Web di back-end che utilizza solo http. Quel server ha accesso al server di archiviazione file (il DMZ'd con SSL non lo fa) e riceve le richieste, trova il documento, copia il documento in una cartella cache nella DMZ e il server SSL'd serve il copia.
Quali sono i rischi di non utilizzare https sul server interno, se esiste?
Non usando TLS stai rinunciando all'integrità e alla riservatezza. La tua connessione può essere monitorata o modificata e non c'è nulla per garantire che l'endpoint sia quello che dicono di essere.
Purtroppo viviamo in un momento in cui devi presupporre che tu sia stato violato in modo da pianificare i controlli di sicurezza in merito.
HTTPS viene utilizzato per proteggere la connessione contro lo sniffing, la manipolazione e contro la rappresentazione di un endpoint. Quanta protezione è necessaria nella tua rete locale dipende da quanto puoi fidarti della tua rete. Come sempre, non esiste una sicurezza assoluta, ma bisogna trovare un equilibrio tra la sicurezza ottenibile e il rischio residuo considerando la quantità di risorse (denaro, tempo, persone) necessarie per aumentare la sicurezza.
Ad esempio se si dispone di una rete locale in cui una persona non completamente affidabile (o una macchina compromessa) potrebbe utilizzare ARP o DHCP spoofing per reindirizzare il traffico, quindi l'utilizzo di HTTPS sulla rete interna potrebbe essere utilizzato per proteggere il traffico in ogni caso . Ma forse un investimento migliore sarebbe aumentare la sicurezza generale della rete in questi casi. Se invece tutte le macchine sulla rete sono correttamente autenticate e IPSec è già utilizzato per proteggere le comunicazioni su un livello inferiore rispetto all'aggiunta di HTTPS, questo è meno necessario. Ma può ancora essere utilizzato come misura di difesa in profondità, soprattutto se la protezione del livello inferiore (IPSec) è gestita da diversi dipartimenti o regolata da requisiti di sicurezza diversi rispetto alla protezione di livello superiore (HTTPS).