Google App Engine容器内部用HTTP是否为漏洞，无付费证书如何缓解？

问题判定：不属于可利用安全漏洞 #

Fortify的该告警属于通用静态扫描规则的误判，Google App Engine（GAE）的TLS卸载架构是云托管场景的标准合规实现，核心依据如下：

• GAE负载均衡到应用容器的内部流量全程运行在谷歌私有受控网络内，无公网暴露路径，不具备中间人攻击的利用条件
• 标准环境下GAE容器间网络完全隔离，其他租户无法获取你的内部流量；灵活环境下默认仅同项目授权的资源可访问内部网络段，流量可信度极高
• 所有主流云厂商的托管服务默认都采用同类TLS卸载架构，不属于通用合规规范定义的漏洞。仅当你们的业务有强制端到端全链路加密的特殊合规要求时，该配置才不满足规范。

无付费证书的最优缓解方案 #

如果需要消去扫描告警、满足内部加密要求，可以采用以下零成本方案，优先级从高到低排序：

• 方案1：Node服务配置自签名证书实现内部HTTPS
  无需购买公网信任的付费证书，本地生成免费自签名证书即可，GAE负载均衡天然允许信任内部自签证书，改造步骤极少：
  1. 执行命令生成有效期10年的自签名证书：
     openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 3650 -nodes -subj "/CN=localhost"
  2. 修改Node服务启动逻辑，加载生成的key.pem和cert.pem文件，将监听协议从HTTP改为HTTPS
     该方案改造成本极低，对外服务依然使用GAE提供的免费托管证书，不影响外部调用，可直接通过Fortify扫描规则校验。
• 方案2：添加扫描规则豁免
  若确认业务无内部链路加密的合规要求，直接在Fortify规则中添加该场景的豁免项，标注当前架构为GAE标准实现，内部流量位于可信私有网络，不存在可利用风险，无需修改代码即可消除告警。
• 方案3：启用服务网格侧车自动加密（仅适用于GAE灵活环境）
  无需修改Node应用代码，开启谷歌云服务网格的侧车注入功能后，侧车代理会自动对负载均衡到容器的内部流量做TLS加密，同样不需要额外付费证书。

内容的提问来源于stack exchange，提问作者David Reynolds