自己署名X509証明書を使用してプロダクションSFクラスタを保護する

Question

私は、SFクラスタを保護するための詳細を把握する道を進んでいます。私は、生産ワークロードのために自己署名証明書を使用しないようにいくつかの場所でドキュメントをメモしていることがわかりました。しかし、それは理由を説明していません。

SFチームの誰もが、自己署名X509証明書が既知のCAから発行された証明書ほど安全でない理由を説明できますか？唯一の真の違いは、自己署名証明書が証明されたルート権限に連鎖していないことです。これは、クライアントが証明書を有効と見なさない可能性があることを意味します。しかし、ノード間のセキュリティでは、なぜこの問題が起こるのでしょうか？

プロダクションSFクラスタのノード間またはクライアント/ノード間のセキュリティにも自己署名証明書を使用すると、どのようなリスクが発生しますか？ノードへのクライアントのために

Answer 1

• ：誰もがあなたの自己署名証明書、 を偽造することができますとして、あなたは、あなたが実際に正しいサーバーに を話しているクライアントから主張することはできません。また、自己署名 証明書を取り消す方法はありません。最後に、エンドユーザーはアドレスバーの にある厄介なセキュリティ警告を見ることになります。
• ノード間：同じことが適用されますが、ロードバランサの背後にあるvnetにあるため、 改ざんのリスクは低くなります。

データ自体の暗号化はどちらのタイプの証明書を使用しても機能しますが、攻撃は容易に行われます（MITM）。