Компания развертывает распределенное веб-приложение на инстансах Amazon EC2 за балансировщиком нагрузки Application Load Balancer (ALB), который терминирует TLS. Компания требует, чтобы TLS-трафик к ALB оставался безопасным даже в случае компрометации закрытого ключа сертификата. Как инженер по безопасности должен удовлетворить это требование?

Правильный ответ — создание HTTPS-слушателя с политикой безопасности, обеспечивающей наборы шифров с Perfect Forward Secrecy (PFS). PFS гарантирует, что даже если закрытый ключ сервера будет скомпрометирован в будущем, прошлые сеансы связи, записанные злоумышленником, не могут быть расшифрованы. Это достигается за счет использования уникальных сеансовых ключей для каждого соединения, которые не могут быть получены из долгосрочного закрытого ключа. Использование сертификата ACM (первый вариант) упрощает управление, но само по себе не обеспечивает PFS. Server Order Preference (третий вариант) влияет на порядок выбора шифров, но не гарантирует PFS. TCP-слушатель (четвертый вариант) не терминирует TLS на ALB, что противоречит требованию задачи.