Bir şirket, TLS'i sonlandıran bir Application Load Balancer (ALB) arkasındaki Amazon EC2 örneklerinde dağıtılmış bir web uygulaması dağıtıyor. Şirket, sertifikanın özel anahtarı ele geçirilse bile ALB'ye giden TLS trafiğinin güvenli kalmasını şart koşuyor. Bir güvenlik mühendisi bu gereksinimi nasıl karşılamalıdır?

Doğru cevap, Perfect Forward Secrecy (PFS) ile şifreleme paketlerini zorunlu kılan bir güvenlik politikası kullanan bir HTTPS dinleyicisi oluşturmaktır. PFS, her oturum için benzersiz bir oturum anahtarı oluşturarak, uzun süreli özel anahtarın ele geçirilmesi durumunda bile geçmişteki oturumların şifresinin çözülmesini engeller. Bu, özel anahtarın ele geçirilmesi durumunda bile ALB'ye giden TLS trafiğinin güvenli kalmasını sağlar. Diğer seçenekler neden yanlış: AWS Certificate Manager (ACM) tarafından yönetilen bir sertifika kullanan bir HTTPS dinleyicisi oluşturmak, sertifika yönetimini kolaylaştırır ancak özel anahtarın ele geçirilmesi durumunda geçmiş oturumları korumaz. Bir HTTPS dinleyicisi oluşturmak ve Sunucu Sırası Tercihi güvenlik özelliğini etkinleştirmek, sunucunun tercih ettiği şifre paketlerini kullanmasını sağlar ancak PFS olmadan özel anahtarın ele geçirilmesi riskini ortadan kaldırmaz. Yalnızca PFS şifre paketlerine izin veren özel bir güvenlik politikasına sahip bir TCP dinleyicisi oluşturmak, TLS sonlandırması yapmadığı için ALB'de TLS'i sonlandırma gereksinimini karşılamaz.