Stavo leggendo delle offerte del Cloudflare e poi ho letto su lavoro di Cloudflare . Sulla base della mia comprensione, il nome di dominio del mio sito Web (alice.com) è stato risolto all'indirizzo IP di Cloudflare Data Center che comunica con l'utente e fornisce il contenuto statico. Nello scenario in cui è richiesto il contenuto dinamico, il Data Center Cloudflare comunica con il mio server Web e consegna il contenuto al Centro dati Cloudflare che a sua volta consegna il contenuto all'utente. Ciò rende il mio server invisibile per il mondo esterno, fornendo così la sicurezza complessiva.
La cosa che mi viene in mente è come sta avvenendo l'handshake SSL quando si usa Cloudflare. Secondo la mia comprensione ci saranno due strette di mano che si verificano
-
Utente < - > Cloudflare
-
Cloudflare < - > alice.com
Se ciò è vero allora Cloudflare deve avere accesso a tutto il traffico nel testo in chiaro. Come avviene con l'iniziale stretta di mano con Cloudflare, che consente a Cloudflare di decodificare il traffico. In questo scenario, stiamo consentendo a terze parti (Cloudflare) l'accesso alle informazioni sensibili dell'utente come le credenziali dell'utente, le PII, ecc. Ha senso?
Inoltre, se le affermazioni di cui sopra sono vere, come avviene la verifica del nome host durante l'handshake SSL iniziale?