Pour ajouter une protection aux sessions chiffrées sur les Application Load Balancers en garantissant une clé de session aléatoire unique (secret permanent), que doit faire un ingénieur réseau ?

Pour garantir une clé de session aléatoire unique (secret permanent ou Forward Secrecy - FS) sur les Application Load Balancers (ALB), il est nécessaire de modifier la politique de sécurité de l'ALB. Les politiques de sécurité prédéfinies d'AWS incluent des options qui prennent en charge le secret permanent, comme ELBSecurityPolicy-TLS-1-2-2017-01 ou des versions plus récentes. Ces politiques garantissent que même si la clé privée du serveur est compromise ultérieurement, les sessions chiffrées passées ne peuvent pas être déchiffrées. Modifier la politique de sécurité pour n'autoriser que TLS 1.2 ne garantit pas à lui seul le secret permanent, car certaines suites de chiffrement TLS 1.2 ne l'offrent pas. Utiliser AWS KMS pour chiffrer les clés de session est pertinent pour la gestion des clés, mais ne configure pas directement le secret permanent pour les sessions TLS de l'ALB. Associer une ACL web AWS WAF est une mesure de sécurité au niveau de l'application, non liée à la négociation des clés de session TLS.