18.2.2.3. HTTP 対 HTTPS

Tang サーバーへのトラフィックは、暗号化 (HTTPS) することも、プレーンテキスト (HTTP) にすることもできます。このトラフィックを暗号化してもセキュリティーの面で大きな利点はなく、トラフィックを復号化したままにすると、Clevis クライアントを実行するノードでのトランスポート層セキュリティー (TLS) 証明書チェックに関連する複雑性や障害状態がなくなります。

ノードの Clevis クライアントと Tang サーバー間の暗号化されていないトラフィックのパッシブモニタリングを実行することは可能ですが、このトラフィックを使用してキーの情報を判断する機能はせいぜい、理論的な懸念事項を判断できる程度です。このようなトラフィック分析には、大量のキャプチャーデータが必要になります。キーローテーションはすぐに無効になります。最後に、パッシブモニタリングを実行できる脅威アクターは、Tang サーバーへの手動接続に必要なネットワークアクセスをすでに取得しており、キャプチャーされた Clevis ヘッダーの単純な復号化を実行できます。

ただし、インストールサイトで実施されている他のネットワークポリシーでは、アプリケーションに関係なくトラフィックの暗号化が必要になる場合があるため、この決定はクラスター管理者に任せることを検討してください。