Een bedrijf implementeert een gedistribueerde webapplicatie op Amazon EC2-instances achter een Application Load Balancer (ALB) die TLS beëindigt. Het bedrijf vereist dat TLS-verkeer naar de ALB veilig blijft, zelfs als de privésleutel van het certificaat wordt gecompromitteerd. Hoe kan een beveiligingsingenieur aan deze vereiste voldoen?

De juiste optie is om een HTTPS listener te maken die een beveiligingsbeleid gebruikt dat cipher suites met Perfect Forward Secrecy (PFS) afdwingt. PFS zorgt ervoor dat, zelfs als de privésleutel van het certificaat later wordt gecompromitteerd, eerdere sessies die met die sleutel zijn versleuteld, niet kunnen worden ontsleuteld. Dit komt doordat voor elke sessie een unieke, tijdelijke sessiesleutel wordt gegenereerd die niet kan worden afgeleid uit de privésleutel. Een HTTPS listener met een AWS Certificate Manager (ACM) certificaat is essentieel voor TLS-beëindiging, maar garandeert op zichzelf geen PFS. Server Order Preference is een functie die de volgorde van cipher suites bepaalt, maar dwingt geen PFS af. Een TCP listener kan geen TLS beëindigen en is daarom niet geschikt voor deze vereiste.