Was sollte ein Netzwerkingenieur tun, um den Schutz verschlüsselter Sitzungen bei Application Load Balancers zu erhöhen, indem er einen eindeutigen zufälligen Sitzungsschlüssel (Forward Secrecy) sicherstellt?

Um den Schutz verschlüsselter Sitzungen mit Forward Secrecy (FS) bei Application Load Balancers (ALBs) zu erhöhen, muss die ALB-Sicherheitsrichtlinie auf eine Richtlinie geändert werden, die FS unterstützt. Diese Richtlinien definieren die von den ALBs verwendeten SSL/TLS-Protokolle und Chiffren. Richtlinien, die FS unterstützen, verwenden Chiffren, die für jede Sitzung einen eindeutigen, zufälligen Sitzungsschlüssel generieren. Selbst wenn ein privater Schlüssel kompromittiert wird, können vergangene Sitzungen nicht entschlüsselt werden. Die Änderung der ALB-Sicherheitsrichtlinie auf nur TLS 1.2 ist zwar eine gute Sicherheitspraxis, garantiert aber nicht Forward Secrecy, da TLS 1.2 auch Chiffren ohne FS unterstützen kann. Die Verwendung von AWS KMS zum Verschlüsseln von Sitzungsschlüsseln ist nicht direkt anwendbar, da FS die Art und Weise betrifft, wie die Schlüssel während des Handshakes generiert werden, nicht deren Speicherung. Eine AWS WAF Web-ACL kann keine Forward Secrecy erzwingen, da dies eine Funktion der TLS-Handshake-Prozesse auf dem Load Balancer selbst ist.