Një reverse proxy Nginx mund të funksionojë dhe të marrë vlerësim të lartë për TLS, por sërish të ketë dobësi nga besimi i pakushtëzuar te kërkesat hyrëse. Udhëzuesi për forcimin e sigurisë me zero-trust përqendrohet te identifikimi i klientit real, kufizimi i kërkesave, refuzimi i kërkesave të paqarta dhe autentikimi i lidhjeve të brendshme.
Pas një load balancer ose CDN-je, $remote_addr mund të tregojë adresën e ndërmjetësit, duke i futur të gjithë përdoruesit në të njëjtin kufi kërkesash. Për X-Forwarded-For rekomandohet besimi vetëm te intervalet IP të proxy-ve të kontrolluara; përndryshe klienti mund të deklarojë një IP të rreme. Në skajin e rrjetit, vlerat e përcjella duhen mbishkruar, jo plotësuar me ato që dërgon klienti.
Për kontrollin e trafikut propozohet limit_req sipas IP-së dhe çelësit API, me kufij më të rreptë për hyrjen në llogari. Masat kundër request smuggling përfshijnë përdorimin e një versioni të përditësuar të Nginx, mbajtjen aktive të request buffering dhe afate të shkurtra pritjeje.
Për trafikun me partnerët dhe mes shërbimeve rekomandohet mTLS me një autoritet privat certifikimi, në mënyrë që lidhjet të provojnë identitetin e tyre. Udhëzuesi kërkon gjithashtu refuzimin e trafikut për emra hostesh që serveri nuk i shërben dhe kufizimin e testeve vetëm te serverët në pronësi ose me autorizim.
Burimi: DEV Community (Web Dev Feed) — lexoni artikullin e plotë në anglisht.
