Un'azienda distribuisce un'applicazione web distribuita su istanze Amazon EC2 dietro un Application Load Balancer (ALB) che termina TLS. L'azienda richiede che il traffico TLS verso l'ALB rimanga sicuro anche se la chiave privata del certificato viene compromessa. Come dovrebbe un ingegnere della sicurezza soddisfare questo requisito?

La risposta corretta è "Creare un listener HTTPS che utilizzi una policy di sicurezza che imponga suite di cifratura con perfect forward secrecy (PFS)". Perfect Forward Secrecy (PFS) garantisce che una chiave di sessione compromessa non comprometta le comunicazioni passate, poiché ogni sessione utilizza una chiave effimera generata al momento. Questo significa che anche se la chiave privata del certificato a lungo termine dell'ALB viene compromessa, le sessioni passate e future rimangono protette. Le altre opzioni sono meno efficaci o errate: L'uso di un certificato gestito da ACM è una buona pratica per la gestione dei certificati, ma non risolve il problema della compromissione della chiave privata in relazione alla sicurezza delle sessioni passate. Abilitare Server Order Preference è utile per dare priorità alle suite di cifratura del server, ma non impone intrinsecamente PFS. Un listener TCP non termina TLS; l'ALB deve terminare TLS per applicare policy di sicurezza HTTPS.