Anti-DDoS:Modify the TLS security policy supported by a website

Versions TLS prises en charge

Anti-DDoS Proxy (Chinese Mainland) prend en charge le téléchargement de certificats HTTPS conformes aux normes internationales et de certificats HTTPS Guomi. Anti-DDoS Proxy (Outside Chinese Mainland) prend uniquement en charge le téléchargement de certificats HTTPS conformes aux normes internationales.

Le tableau suivant décrit les versions TLS prises en charge par défaut après le téléchargement d'un certificat HTTPS, ainsi que les versions TLS configurables.

Prérequis

Une configuration de site web a été ajoutée et le Protocol Type de cette configuration inclut HTTPS. Pour plus d'instructions, consultez la rubrique Ajouter une configuration de site web.

Modifier la politique de sécurité TLS d'un certificat HTTPS conforme aux normes internationales

1. Connectez-vous à la page Website Config de la console Anti-DDoS Proxy.

2. Dans la barre de navigation supérieure, sélectionnez la région de votre instance.

   • Anti-DDoS Proxy (Chinese Mainland) : choisissez la région Chinese Mainland.

   • Anti-DDoS Proxy (Outside Chinese Mainland) : choisissez la région Outside Chinese Mainland.

3. Sur la page Website Config, localisez le nom de domaine cible. Dans la colonne Actions, cliquez sur Edit.

4. Sous l'onglet Modify Website Configurations, modifiez les paramètres TLS Security Settings du certificat HTTPS conforme aux normes internationales.

   Paramètre	Description
   TLS Versions for SSL Certificate	Sélectionnez les versions TLS prises en charge par le certificat HTTPS conforme aux normes internationales. Valeurs possibles : TLS 1.0 and later. This setting provides the best compatibility but low security. : prend en charge TLS 1.0, TLS 1.1 et TLS 1.2. TLS 1.1 and later. This setting provides good compatibility and medium security. : prend en charge TLS 1.1 et TLS 1.2. TLS 1.2 and later. This setting provides good compatibility and high security level. : prend en charge TLS 1.2. Remarque Vous pouvez également activer la prise en charge de TLS 1.3 si nécessaire et sélectionner les suites de chiffrement TLS 1.3 correspondantes dans Custom Cipher Suite.
   Cipher Suites for SSL Certificate	Sélectionnez les suites de chiffrement prises en charge par le certificat HTTPS conforme aux normes internationales. Remarque Survolez l'icône d'une option de suite de chiffrement pour afficher les suites de chiffrement qu'elle inclut. All cipher suites. This setting provides low security but high compatibility. (Par défaut) Cette option inclut les suites de chiffrement suivantes : ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-SHA256 ECDHE-RSA-AES256-SHA384 AES128-GCM-SHA256 AES256-GCM-SHA384 AES128-SHA256 AES256-SHA256 ECDHE-ECDSA-AES128-SHA ECDHE-ECDSA-AES256-SHA ECDHE-RSA-AES128-SHA ECDHE-RSA-AES256-SHA AES128-SHA AES256-SHA DES-CBC3-SHA Enhanced cipher suites. This setting provides a very high security level but a very low compatibility. Cette option est disponible uniquement lorsque le paramètre TLS Version est défini sur TLS 1.2 and later. This setting provides good compatibility and high security level.. Cette option inclut les suites de chiffrement suivantes : ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 Strong cipher suites. This setting provides a high security level but a low compatibility. Cette option est disponible uniquement lorsque la version TLS est définie sur TLS 1.2 and later. This setting provides good compatibility and high security level.. Cette option inclut les suites de chiffrement suivantes : ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-SHA256 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-AES128-SHA ECDHE-ECDSA-AES256-SHA Custom Cipher Suite Après avoir sélectionné cette option, choisissez une ou plusieurs suites de chiffrement parmi toutes les suites disponibles. Si vous activez le commutateur TLS 1.3, sélectionnez les suites de chiffrement suivantes : TLS_AES_256_GCM_SHA384 (TLS 1.3) TLS_CHACHA20_POLY1305_SHA256 (TLS 1.3) TLS_AES_128_GCM_SHA256 (TLS 1.3) TLS_AES_128_CCM_8_SHA256 (TLS 1.3) TLS_AES_128_CCM_SHA256 (TLS 1.3)

5. Cliquez sur Next et suivez les instructions à l'écran pour terminer la modification.

FAQ

• Anti-DDoS Proxy vérifie-t-il l'état des certificats HTTPS des serveurs backend ?

  Non.

  Une instance Anti-DDoS Proxy ne vérifie pas la validité des certificats HTTPS sur les serveurs backend, tels que ALB, WAF ou les instances ECS d'origine. La vérification inclut les contrôles d'expiration, de correspondance du nom de domaine et de fiabilité de l'émetteur. Fonctionnement :

  • Terminaison SSL/TLS frontale : lorsqu'un client établit une connexion HTTPS avec Anti-DDoS Proxy, ce dernier effectue la poignée de main SSL/TLS et déchiffre le trafic au niveau frontal.

  • Transfert backend en texte clair ou avec rechiffrement : le trafic déchiffré est transféré vers le serveur backend via HTTP, ou via une nouvelle connexion HTTPS selon votre configuration.

  • Indépendance des certificats : la terminaison TLS s'effectue côté Anti-DDoS Proxy, de sorte que la sécurité de la communication du lien backend ne dépend pas de l'état du certificat du serveur backend. Par conséquent, même si le certificat du serveur backend a expiré, est auto-signé ou invalide, la communication HTTPS entre le client et Anti-DDoS Proxy s'établit comme prévu tant que le certificat frontal sur Anti-DDoS Proxy est valide. L'accès métier n'est pas affecté.

  Remarque

  Bien qu'Anti-DDoS Proxy ne vérifie pas les certificats backend, il est recommandé d'utiliser des certificats valides et fiables sur les serveurs backend afin de garantir une sécurité de bout en bout. Cela est particulièrement important lorsque la récupération d'origine HTTPS est activée entre Anti-DDoS Proxy et le serveur backend.

• Que faire si un scanner de sécurité SSL signale une vulnérabilité liée à 3DES ?

  Si un scanner de sécurité SSL signale une vulnérabilité liée à 3DES (par exemple, le scanner détecte DES-CBC3-SHA), la liste des suites de chiffrement actuellement configurée inclut cet algorithme de chiffrement faible. DES-CBC3-SHA repose sur l'algorithme 3DES, considéré par l'industrie comme non sécurisé et vulnérable à des attaques telles que Sweet32.

  Solutions :

  1. Basculez vers une suite de chiffrement prédéfinie (recommandé). Dans la console Anti-DDoS Proxy, remplacez la configuration de la suite de chiffrement du certificat HTTPS par « Strong Cipher Suites » ou « Enhanced Cipher Suites ». Aucune de ces options prédéfinies n'inclut DES-CBC3-SHA, ce qui permet de corriger rapidement la vulnérabilité.

  2. Personnalisez les suites de chiffrement. Pour conserver des suites de chiffrement spécifiques, sélectionnez « Custom Cipher Suite » et supprimez manuellement DES-CBC3-SHA de la liste. Assurez-vous que les suites de chiffrement restantes utilisent des algorithmes sécurisés modernes, tels que AES-GCM ou CHACHA20.

  Si le scanner signale toujours la vulnérabilité après la modification de la configuration, vérifiez les points suivants :

  • Vérifiez que la configuration est effective : connectez-vous à la console Anti-DDoS Proxy et contrôlez si les suites de chiffrement réellement associées à l'instance actuelle ont été mises à jour conformément à la configuration cible.

  • Videz le cache du scanner : certains outils de mise en cache conservent les résultats historiques. Videz le cache et relancez l'analyse.

  • Écartez les faux positifs : assurez-vous que la cible de l'analyse est l'adresse IP d'Anti-DDoS Proxy plutôt que le serveur backend, et vérifiez si l'outil d'analyse ne rapporte pas de faux positifs logiques.