Para añadir protección a las sesiones cifradas en los Application Load Balancers asegurando una clave de sesión aleatoria única (confidencialidad directa), ¿qué debe hacer un ingeniero de redes?

Para garantizar la confidencialidad directa (Forward Secrecy - FS) en las sesiones cifradas de un Application Load Balancer (ALB), el ingeniero de redes debe cambiar la política de seguridad del ALB a una que explícitamente admita FS. Las políticas de seguridad predefinidas de AWS para ALB incluyen opciones que garantizan FS al negociar algoritmos de intercambio de claves efímeros, como ECDHE (Elliptic Curve Diffie-Hellman Ephemeral). Cambiar la política de seguridad del ALB a una que solo admita TLS 1.2 no garantiza automáticamente FS, ya que TLS 1.2 puede usarse con suites de cifrado que no ofrecen FS. Usar AWS KMS para cifrar las claves de sesión no es el mecanismo directo para implementar FS en el establecimiento de la sesión TLS; KMS se usa para gestionar claves de cifrado de datos en reposo o en tránsito, pero no para la negociación de claves de sesión efímeras. Asociar AWS WAF con los ALB y crear una regla de seguridad para aplicar FS es incorrecto porque WAF opera en la capa de aplicación y se enfoca en filtrar tráfico malicioso, no en la negociación de protocolos criptográficos a nivel de TLS.