É seguro usar o S3 sobre HTTP do EC2, ao contrário do HTTPS

Question

Descobri que há uma sobrecarga justa ao fazer o upload de muitos arquivos pequenos para o S3. Parte dessa sobrecarga vem do próprio SSL.

Qual é a segurança de falar com o S3 sem o SSL durante a execução no EC2?

A partir dos comentários impressionantes abaixo, aqui estão alguns esclarecimentos: esta não é uma questão sobre HTTPS versus HTTP ou a sensibilidade dos meus dados. Estou tentando ter uma ideia das particularidades de rede e protocolo do EC2 e do S3. Por exemplo

• Temos a garantia de estarmos passando apenas pela rede da AWS ao nos comunicarmos do EC2 para o S3
• Outros usuários da AWS (além da equipe) podem farejar minhas comunicações entre o EC2 e o S3
• A autenticação em sua API é feita em todas as chamadas e, assim, as credenciais são transmitidas em todas as chamadas? Ou há algum tipo de sessão autenticada? Eu estou usando o jets3t lib.

O feedback de pessoas com alguma experiência da AWS seria apreciado.

    

Answer 1

Are we guaranteed to be passing through only the AWS network when communicating from EC2 to S3

Dentro da mesma região (incluindo entre as zonas de disponibilidade), sim. Entre regiões, não.

Can other AWS users (apart from staff) sniff my communications between EC2 and S3

Não (exceto algum tipo de falha de segurança).

Is authentication on their api done on every call, and thus credentials are passed on every call? Or is there some kind of authenticated session. I am using the jets3t lib.

Cada chamada é autenticada separadamente.

    

Answer 2

É tão seguro quanto fazer qualquer outra coisa em HTTP em vez de HTTPS. Você depositaria em HTTP? Não. Mas você baixaria pornografia via HTTP? Provavelmente.

Tudo depende do seu caso de uso, mas eu vou sair por um capricho e dizer "sim". Exceto quando a resposta for "Não".

Em uma segunda leitura da sua pergunta, eu acho que você está basicamente perguntando "A superfície de ataque está reduzida devido ao fato de eu estar indo do EC2 para o S3 diretamente"; ou seja, porque eles são de entre dois serviços que estão dentro da rede da Amazon.

Eu não uso o AWS regularmente, mas minha lembrança é a seguinte: se ele passar apenas pelas redes internas da Amazon (nas mesmas zonas de disponibilidade), você não será cobrado pelo tráfego, mas se passar pelo sua entrada / saída, então você paga por isso. Então, se você não está pagando pelo AWS > O tráfego do S3, então sim, sua superfície de ataque é reduzida porque está apenas passando por uma rede e não por redes de terceiros, mas isso não é desculpa para não usar HTTPS onde precisa ser usado.