HTTPS vs. VPN pour la communication entre partenaires commerciaux ?

La superposition de HTTPS à un VPN semble légèrement excessive, étant donné que tout est crypté deux fois, mais ce n'est que légèrement excessif.

Si vous décidez d'un commun accord d'utiliser le protocole HTTPS sans VPN, utilisez au moins des certificats côté client et pas seulement des mots de passe. Cela serait plus sûr que de permettre à n'importe quelle machine de l'un ou l'autre site de se connecter, et empêcherait quelqu'un qui réussirait à trouver un mot de passe d'accéder au système.

Selon moi, un VPN est obligatoire lorsque vous voulez communiquer entre deux réseaux et le HTTPS est "facultatif" (mais il peut être souhaitable, ne serait-ce que pour l'argument de la "défense en profondeur").

Une fois que le VPN fonctionne, il est facile d'exécuter le service que vous voulez dessus, et tout le travail lié à la sécurité est déjà fait, y compris tout problème de NAT, et aussi le masquage de vos ports de l'extérieur.

Pensez à l'avenir, que se passera-t-il si vous souhaitez ajouter d'autres services ? Allez-vous vous servir de votre service Web HTTPS ? ou utiliser un autre port, et répéter toutes les validations de sécurité requises ? Avec un VPN en place, c'est très simple à faire.

Le VPN devrait/peut est beaucoup plus sûr que HTTPS, mais il ne devrait pas y avoir de problème à utiliser les deux ensemble, sauf si vous êtes sur une liaison très lente. J'accepterais simplement la complexité en sachant que vous serez étanche.

Si c'est une excuse pour budgétiser un dispositif VPN séparé à cette fin, choisissez-en un et allez-y (j'aime bien Juniper). Les nouvelles exigences ne sont pas gratuites. N'oubliez pas de prendre une paire tolérante aux pannes.

J'irais avec le VPN - assurez-vous simplement que le coût supplémentaire de capex/open pour l'entreprise en raison de la demande ne soit pas absorbé en silence - assurez-vous que ce soit clair.

Vous ne pouvez pas répondre vous-même à la plupart des questions ici - techniquement, HTTPS devrait être suffisamment sécurisé s'ils font les choses correctement, mais il peut y avoir d'autres choses en ce qui concerne l'administration et qui sait quoi qui rend le VPN attrayant. Peut-être veulent-ils simplement fonctionner dans un espace IP privé plutôt que public.

Il pourrait très bien s'agir d'une réglementation, auquel cas ils pourraient être tenus de faire toutes sortes de choses que vous ne prévoyez pas.