Ho bisogno di trovare l'IP pubblico di un'istanza EC2. Stavo provando questo comando:
curl https://ipinfo.io/ip
C'è qualche minaccia alla sicurezza nell'usare quel metodo? Ti piace esporre il nostro IP o qualcosa del genere?
Ho bisogno di trovare l'IP pubblico di un'istanza EC2. Stavo provando questo comando:
curl https://ipinfo.io/ip
C'è qualche minaccia alla sicurezza nell'usare quel metodo? Ti piace esporre il nostro IP o qualcosa del genere?
Se c'è un bug di esecuzione remota in arricciatura o in qualsiasi lib su cui fa affidamento, c'è un arricciamento casuale che eseguirà codice arbitrario. Questo potrebbe essere un rischio per la sicurezza se non si aggiusta il sistema ed esegui questo comando usando un processo cron.
Per rispondere alla tua domanda: Certo, stai esponendo il tuo IP a questo servizio, come stai esponendo su qualsiasi router, paese e intelligence. Ma il tuo IP è pubblico in ogni caso, le porte predefinite conosciute verranno scansionate come qualsiasi minuto non appena viene avviato.
Anche se ti danno un IP sbagliato, e tu ritieni che sia tuo e ti connetti usando ssh per esempio, le tue credenziali andranno al server che potrebbero controllare. Inoltre potrebbe esserci un attacco man-in-the-middle che ti mostrerà l'IP sbagliato e ti ingannerà a inviare credenziali o altri dati a un server sbagliato.
L'unico problema a cui posso pensare è che la società ipinfo.io dopo aver effettuato la richiesta usa l'IP per fare altre cose.
Altre risposte hanno già esposto 2 minacce:
curl strumento Ma devo dire che non riesco a immaginare un vero caso d'uso per questo. Per eseguire il comando su un sistema, devi essere connesso ad esso (o essere connesso alla volta) e per collegarti ad esso è necessario un accesso diretto (improbabile su un'istanza EC2) o una connessione di rete. E per stabilire la connessione di rete, devi conoscere un indirizzo di sistema remoto: uno IP o un nome che puoi chiedere al tuo server DNS.
Quindi l'unico caso d'uso sarebbe l'esecuzione su un sistema in cui lo script è stato installato per sbaglio o da un malware. E anche in questo caso, sarebbe più semplice provare direttamente a connettersi a un sistema controllato dal proprietario dello script.
Detto diversamente, senza più contesto, sospetto davvero un problema X-Y: stai provando a risolvere un problema che esiste solo perché hai provato una soluzione sbagliata a un'altra domanda.