Аутентификация исходного сервера
Определение
Аутентификация исходного сервера — проверка, которой обратный прокси-сервер убеждается, что внутреннее соединение установлено с ожидаемым узлом, а не с ошибочным или подменённым.
Также ищут: Reverse proxy origin authentication · upstream TLS verification · proxy-to-origin mTLS
Зачем это знать
TLS может шифровать внутреннее соединение, но без проверки сертификата и имени шифрование не доказывает, что прокси подключился именно к нужному серверу.
Карта понятия
Что подтверждено
Если внутренний участок аутентифицирует сервер по сертификату, прокси проверяет допустимую цепочку и ожидаемое имя сервиса. Если политика дополнительно требует клиентский сертификат прокси, исходный сервер проверяет его и подтверждение владения соответствующим ключом.
Граница применимости: Аутентификация сертификатами на внутреннем участке TLS 1.3 и проверка имени сервиса; не распространяется безусловно на заранее согласованные ключи, возобновление или запрос без клиентского сертификата.
Сертификат, который внешний прокси показывает браузеру, подтверждает только соединение браузера с прокси и не проверяет отдельное соединение прокси с исходным сервером.
Граница применимости: Различие между внешним и внутренним участками защищённого соединения.
Что проверить
- Включите TLS на внутреннем соединении.
- Проверяйте ожидаемое имя исходного сервера.
- Ограничьте доверенные CA или используйте mTLS.
Первоисточники
- RFC 8446: The Transport Layer Security Protocol Version 1.3
Определяет TLS 1.3, включая encrypted channel, PSK authentication, PSK identity и PSK+(EC)DHE modes.
- Service Identity in TLS
Задаёт construction и verification reference identifiers для TLS services; server identity находится в subjectAltName, не в commonName.
Утверждения: 01
- HTTP Semantics
Определяет stateless HTTP, origin server, intermediaries, target URI и security significance полей authority и Host.
Утверждения: 02
- Guidelines for API Protection for Cloud-Native Systems
Задаёт API lifecycle controls для authentication, authorization, rate limits, resource limits, logging и monitoring.