AWS ALB - запретить использование TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256

Question

Я использую AWS ALB. Я настроил его на самую строгую политику безопасности, которая называется «FS 1.2 res», и, как описано здесь , он по-прежнему поддерживает ECDHE-RSA-AES128-SHA256 и ECDHE-RSA-AES256-SHA384

(TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 и TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384)

Считаются слабыми. Есть ли способ избежать их поддержки при использовании AWS?

Answer 1

Это официальный ответ от AWS

К сожалению, я с сожалением вынужден сообщить, что не существует какой-либо предопределенной Политики безопасности, которую можно было бы использовать, чтобы избежать поддержки вышеупомянутых слабых шифров в случае загрузки приложения. Балансировщик (ALB) или Балансировщик сетевой нагрузки (NLB). Кроме того, в настоящее время ALB или NLB не поддерживают настраиваемые политики безопасности.

Сказав это, я хотел бы сообщить вам, что уже существует активный запрос функции, чтобы иметь возможность прикрепить настраиваемую политику безопасности к ALB. Могу заверить вас, что наша сервисная команда активно работает над добавлением этой функции в ALB. У нас есть внутренний запрос на отслеживание функции, и я добавил ваш голос к запросу, чтобы ускорить процесс. Однако у меня нет ETA, так как когда этот запрос функции будет выпущен из-за различных процессов проверки и регрессионного тестирования, которые все функции запрашивают от go до

Обходной путь:

Для теперь единственный обходной путь - использовать Classi c Load Balancer (CLB), который поддерживает присоединение пользовательских политик безопасности [1], и вы также можете включить Server Order Preference [2]. В этом случае ELB выбирает первый шифр в своем списке, который находится в списке шифров клиента. Это гарантирует, что балансировщик нагрузки определяет, какой шифр используется для SSL-соединения. Если вы не включите Server Order Preference, порядок шифров, представленный клиентом, используется для согласования соединений между клиентом и балансировщиком нагрузки.

Однако обратите внимание, что CLB не предлагает надежных функций, как ALB.

Answer 2

Если вы используете ALB, вы ограничены политиками безопасности такими, какие они есть.

CloudFronts политики также применяют этот набор шифров с их политиками, поэтому вы не сможете обойти это таким образом.

Хотя они и являются устаревшими, балансировщики нагрузки classi c имеют функцию, которая позволяет настраивать политику безопасности на вашем балансировщик нагрузки вместо привязки к предопределенному.

В качестве альтернативы, если вы не хотите его использовать, вам нужно будет использовать балансировщик сетевой нагрузки (либо заменяя ALB, либо перед прокси, который находится перед вашего ALB). Используя NLB, ваш целевой хост может определять комплекты шифров и версии TLS.