Aktarımda Şifreleme

Aktarımda şifreleme, veriyi bir ağ üzerinde hareket ederken korur; böylece bağlantıyı gözleyebilen biri içerik yerine şifreli metin görür. Pratikte bu, her sıçramada TLS demektir: tarayıcıdan uygulamaya, uygulamadan API'ye, hizmetten veritabanına ve iş yüklerinizin üçüncü taraflara yaptığı dışa dönük çağrılarda. Durağan şifrelemenin karşılığıdır ve ikisi farklı tehditleri kapsar — çalınmış bir disk ile gözlenen ya da kurcalanan bir bağlantı — dolayısıyla birini kapsayan bir denetim öbürü hakkında hiçbir şey söylemez. Gizlilik, TLS'in sağladığının yalnızca bir parçasıdır. TLS ayrıca sunucuyu sertifikasıyla kimliklendirir ve akıştaki değişikliği saptar; yol üzerindeki bir saldırganın bir yanıtı ya da bir webhook yükünü sessizce yeniden yazmasını engelleyen budur. Bu yüzden bir entegrasyon çalışsın diye sertifika doğrulaması asla kapatılmamalıdır: doğrulamayı kapatmak şifrelemeyi bırakır ve kimlik denetimini kaldırır — yani araya girmeyi önleyen yarıyı. Gerçek kurulumlardaki boşluklar çoğunlukla dışta değil içtedir. Genel uç noktalarda tarayıcı istediği için genellikle TLS vardır; özel bir ağ içindeki hizmetler arası trafik ise ağın güvenilir olduğu varsayımıyla sık sık açık bırakılır — sıfır güven mimarisinin tam da reddettiği varsayım. Yinelenen öbür boşluklar şunlardır: sertifika eksik olduğunda şifresiz kipe düşen veritabanı bağlantıları, düz metin taşıyan günlük ve ölçüm hatları ve yenilenmesini kimsenin üstlenmediği için süresi dolan iç sertifikalar.