Al configurar un listener TCPSSL para una instancia de Network Load Balancer (NLB), la política de seguridad TLS define las versiones del protocolo TLS y las cipher suites que utiliza la instancia durante el handshake TLS con los clientes. NLB ofrece varias políticas de seguridad predefinidas de uso común. Si tiene requisitos específicos de seguridad o cumplimiento, puede crear una política de seguridad personalizada.
Funcionamiento
Una instancia de NLB utiliza una política de seguridad TLS para especificar las versiones del protocolo TLS y las cipher suites para un handshake TLS. Durante el handshake, el cliente envía un mensaje Client Hello que enumera sus versiones de protocolo y cipher suites compatibles. Con base en la política, la instancia de NLB selecciona una versión de protocolo y una cipher suite mutuamente compatibles de la lista del cliente, y confirma la selección en una respuesta Server Hello. Los pasos posteriores, como el intercambio de claves y la generación de claves de sesión, utilizan estos parámetros negociados.
Políticas predeterminadas
Para aplicaciones orientadas a internet sin requisitos especiales de compatibilidad, utilice la política tls_cipher_policy_1_2 o una más reciente.
Console
Vaya a la página de TLS Security Policies
en la consola de NLB. Los detalles de la política se encuentran en la pestaña Default Policy.
API
Llame a la operación ListSystemSecurityPolicy para obtener las políticas predeterminadas.
Políticas personalizadas
Crear una política personalizada
Console
Vaya a la página TLS Security Policies en la consola de Network Load Balancer (NLB) y seleccione la región donde se despliega su instancia NLB.
-
Haga clic en Create Custom Policy. Configure los siguientes parámetros y haga clic en Create.
Minimum Version: Si sus cargas de trabajo no tienen requisitos especiales de compatibilidad, se recomienda seleccionar TLS 1.2 or Later para mejorar la seguridad.
Enable TLS 1.3: Para mejorar la seguridad y la eficiencia, se recomienda habilitar esta opción en servicios compatibles.
Cipher Suite: Seleccione las suites de cifrado compatibles con las versiones del protocolo TLS elegidas.
Una vez creada la política, podrá seleccionarla al configurar un TLS security policy for a listener.
API
Llame a la operación CreateSecurityPolicy para crear una política personalizada. La política personalizada debe encontrarse en la misma región que la instancia NLB.
Actualizar atributos de una política personalizada
Console
Vaya a la página TLS Security Policies en la consola NLB y seleccione la región de la política personalizada.
Localice la política personalizada deseada y haga clic en Modify dentro de la columna Actions. En el cuadro de diálogo Modify TLS Security Policy, actualice las versiones del protocolo TLS o las suites de cifrado.
API
Llame a la operación UpdateSecurityPolicyAttribute para actualizar los atributos de una política personalizada.
Replicar una política personalizada a otras regiones
Console
Vaya a la página TLS Security Policies en la consola NLB y seleccione la región de la política personalizada.
Localice la política personalizada deseada, haga clic en Replicate to Other Regions dentro de la columna Actions, seleccione una región de destino y haga clic en OK.
API
Llame a la operación ListSecurityPolicy para obtener los parámetros TlsVersion y Ciphers de la política personalizada. Después, llame a la operación CreateSecurityPolicy y pase estos parámetros para crear una nueva política. En la solicitud, establezca el parámetro RegionId con el ID de la región de destino.
Eliminar una política personalizada
No es posible eliminar una política personalizada que esté en uso por un listener. Para eliminarla, primero debe cambiar la política de seguridad TLS del listener o bien eliminar el listener.
Console
Vaya a la página TLS Security Policies en la consola NLB y seleccione la región de la política personalizada.
Localice la política personalizada deseada, haga clic en Delete dentro de la columna Actions y haga clic en OK.
API
Llame a la operación DeleteSecurityPolicy para eliminar una política personalizada.
Configurar la política de seguridad TLS de un listener
Console
Cuando create a TCPSSL listener, seleccione una TLS Security Policy en la pestaña Configure SSL Certificate. Cuando quickly create a TCPSSL listener, seleccione una TLS Security Policy en el cuadro de diálogo Quick Create Listener.
Para update the TLS security policy de un listener, vaya a la pestaña Listener en la página de detalles de la instancia y haga clic en el ID del listener TCPSSL. En la página Listener Details, actualice la TLS Security Policy dentro de la sección SSL Certificate.
API
Al llamar a la operación CreateListener para crear un listener TCPSSL, o a la operación UpdateListenerAttribute para actualizarlo, establezca el parámetro SecurityPolicyId con el ID de la política de seguridad TLS.
Llame a la operación ListSystemSecurityPolicy para obtener el
SecurityPolicyIdde una política predeterminada.Llame a la operación ListSecurityPolicy para obtener el
SecurityPolicyIdde una política personalizada.
Facturación
Las políticas de seguridad TLS no tienen costo. Sin embargo, se le cobrarán las instancias NLB que utilice. Para más información, consulte NLB billing rules.
Entorno de producción
Seguridad del tráfico de backend: El tráfico entre un cliente y un NLB se cifra mediante TCPSSL, pero el tráfico entre el NLB y sus servidores backend es texto plano de forma predeterminada. Para garantizar la seguridad de extremo a extremo, despliegue el NLB y sus servidores backend en la misma VPC y utilice security groups para controlar estrictamente el acceso.
Versión de TLS: A menos que su aplicación tenga requisitos específicos de compatibilidad, utilice TLS 1.2 y TLS 1.3 para obtener mayor seguridad.
Reversión de cambios: Si surge algún problema tras modificar una política de seguridad TLS, revierta el cambio inmediatamente mediante la actualización de la configuración del listener. Se recomienda realizar estos cambios fuera de las horas pico.
Algoritmo de intercambio de claves: Salvo que su aplicación requiera compatibilidad específica, evite usar las siguientes suites de cifrado basadas en RSA en un entorno de producción:
AES128-GCM-SHA256,AES256-GCM-SHA384,AES128-SHA256,AES256-SHA256,AES128-SHA,AES256-SHAyDES-CBC3-SHA. Estas suites carecen de Perfect Forward Secrecy (PFS) y son vulnerables a ataques de canal lateral. Priorice las suites de cifrado que incluyen un intercambio de claves ECDHE o DHE.
Referencia de suites de cifrado TLS
Esta tabla relaciona cada suite de cifrado con su formato OpenSSL correspondiente, el formato estándar IANA y su representación hexadecimal.