Para adicionar proteção para sessões criptografadas em Application Load Balancers, garantindo uma chave de sessão aleatória exclusiva (sigilo de encaminhamento), o que um engenheiro de rede deve fazer?

Para garantir o sigilo de encaminhamento (Forward Secrecy - FS) em sessões criptografadas de Application Load Balancers (ALBs), o engenheiro de rede deve alterar a política de segurança do ALB. As políticas de segurança do ALB definem os protocolos e cifras SSL/TLS que o balanceador de carga usa para negociar conexões com os clientes. Políticas que suportam FS, como as que incluem cifras DHE ou ECDHE, garantem que mesmo que a chave privada do servidor seja comprometida no futuro, as sessões anteriores não possam ser descriptografadas. Alterar a política de segurança do ALB para uma que suporte apenas TLS 1.2 não garante FS, pois o TLS 1.2 pode ser configurado com cifras que não oferecem FS. Usar o AWS KMS para criptografar chaves de sessão é para proteção de chaves armazenadas, não para a negociação de sessão em tempo real. Associar uma web ACL do AWS WAF é para proteção contra ataques web, não para configurar o FS no handshake TLS.