Можно ли отключить некоторые специфические c шифров в CloudFront?

Question

Я использую инструмент для проверки безопасности, и этот инструмент пометил следующие шифры как слабые:

TLS_RSA_WITH_AES_128_CBC_SHA256 (0x003C)
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (0xC027)
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 (0xC028)

Я использую последнюю версию политики безопасности CloudFront, то есть TLSv1.2_2018 и минимальный источник Протокол SSL настроен на TLSv1.2.

Но даже с этими настройками слабые шифры все еще разрешены.

Можно ли отключить некоторые специфические c шифров в CloudFront?

Answer 1

AWS не позволяет клиентам выбирать отдельные шифры для Amazon CloudFront. Вместо этого он позволяет клиентам выбирать между различными политиками безопасности. Доступные политики безопасности перечислены в документации . На данный момент TLSv1.2_2018 является последней политикой безопасности, которую они предлагают, а также той, которую они рекомендуют использовать клиентам. Эта политика включает три шифра, которые вы хотите отключить, поэтому в настоящее время нет возможности использовать TLS с AWS CloudFront без этих шифров.

Помимо политик безопасности, предлагаемых клиентам прямо сейчас, AWS уже определили новые политики безопасности для использования с Amazon CloudFront в s2n, реализации TLS, которую они используют для большинства своих продуктов, предназначенных для публикации c.

Изучение исходный код s2n раскрывает следующие дополнительные политики безопасности и поддерживаемые ими шифры:

TLSv1.2_2019:

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256

TLSv1.2_2020:

TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256

Последняя политика безопасности (TLSv1.2_2020) больше не включает три шифра, которые вы хотите отключить, поэтому всякий раз, когда AWS решает применить эту политику безопасности доступны его клиентам, вы сможете отключить соответствующие шифры.