Определение рисков перехвата трафика в Cloud SQL от виртуальных машин

Question

Допустим, у меня есть экземпляр виртуальной машины, а затем я подключаюсь к экземпляру Cloud SQL IP с помощью клиента MySQL.Согласно таблице сравнения в Параметры подключения для внешних приложений , подключение без SSL, очевидно, не является безопасным (и не зашифрованным).

Но насколько это небезопасно?Если есть атака «человек посередине», можно увидеть запрос и результаты запроса.Я хотел бы определить, насколько велик риск.

В частности, я хотел бы знать риски подключения от:

• ВМ в той же самой зоне к облакуЭкземпляр SQL
• ВМ в том же регионе, но зона разницы с экземпляром Cloud SQL
• ВМ в другом регионе с экземпляром Cloud SQL, но все еще из GCP

Я предполагаю, что для осуществления любого из этих видов атак действительная инфраструктура Google должна была бы быть скомпрометирована, поскольку виртуальная машина не могла бы прослушивать трафик за пределами сети, к которой она подключена.

Answer 1

Фактическая инфраструктура на самом деле не должна подвергаться риску, все, что требуется, - это скомпрометировать экземпляр в той же сети, чтобы потенциально скомпрометировать детали вашего соединения с Cloud SQL.То, что поддержание экземпляров в актуальном состоянии, является обязанностью пользователей , это означает, что безопасность небезопасного подключения к Cloud SQL также зависит от безопасности ваших экземпляров.

Почему именно вы делаете небезопасные соединения?Я спрашиваю, потому что невероятно легко настроить безопасное соединение от экземпляра к Cloud SQL с помощью Cloud SQL Proxy!Не для того, чтобы выразить свое мнение здесь, но взгляните на этот ответ Я дал некоторое время назад о том, почему вы должны использовать прокси.

Независимо от того, и помните, что Cloud SQLэто не что иное, как управляемый экземпляр, доступный исключительно через его общедоступный IP-адрес, во всех трех сценариях трафик должен оставаться внутри GCP, то есть единственное, что может быть скомпрометировано, - это экземпляры в той же подсети, что и подсеть.экземпляр, который подключается к облачному SQL.