Anti-DDoS:Mengubah kebijakan keamanan TLS yang didukung oleh situs web

Prasyarat

Konfigurasi situs web telah ditambahkan, dan Protocol Type dari konfigurasi situs web tersebut mencakup HTTPS. Untuk petunjuknya, lihat Menambahkan Konfigurasi situs web.

Mengubah kebijakan keamanan TLS untuk Sertifikat SSL HTTPS standar internasional

1. Masuk ke halaman Website Config di Konsol Anti-DDoS Proxy.

2. Pada bilah navigasi atas, pilih Wilayah instans Anda.

   • Proxy Anti-DDoS (Tiongkok daratan): Pilih wilayah Tiongkok daratan.

   • Proxy Anti-DDoS (luar Tiongkok daratan): Pilih wilayah luar Tiongkok daratan.

3. Pada halaman Website Config, temukan Nama domain target. Pada kolom Actions, klik Edit.

4. Pada tab Modify Website Configurations, ubah TLS Security Settings untuk sertifikat HTTPS standar internasional.

   Parameter	Deskripsi
   TLS Versions for SSL Certificate	Pilih Versi TLS yang didukung oleh Sertifikat SSL HTTPS standar internasional. Nilai yang valid: TLS 1.0 and later. This setting provides the best compatibility but low security.: mendukung TLS 1.0, TLS 1.1, dan TLS 1.2. TLS 1.1 and later. This setting provides good compatibility and medium security.: mendukung TLS 1.1 dan TLS 1.2. TLS 1.2 and later. This setting provides good compatibility and high security level.: Mendukung TLS 1.2. Catatan Anda juga dapat mengaktifkan dukungan TLS 1.3 sesuai kebutuhan dan memilih paket sandi TLS 1.3 yang sesuai di Suite Sandi Kustom.
   Cipher Suites for SSL Certificate	Pilih paket sandi yang didukung oleh Sertifikat SSL HTTPS standar internasional. Catatan Anda dapat mengarahkan kursor ke ikon pada opsi paket sandi untuk melihat paket sandi yang disertakan dalam opsi tersebut. All cipher suites. This setting provides low security but high compatibility. (Default) Opsi ini mencakup paket sandi berikut: ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-SHA256 ECDHE-RSA-AES256-SHA384 AES128-GCM-SHA256 AES256-GCM-SHA384 AES128-SHA256 AES256-SHA256 ECDHE-ECDSA-AES128-SHA ECDHE-ECDSA-AES256-SHA ECDHE-RSA-AES128-SHA ECDHE-RSA-AES256-SHA AES128-SHA AES256-SHA DES-CBC3-SHA Enhanced cipher suites. This setting provides a very high security level but a very low compatibility. Opsi ini hanya tersedia jika TLS Version diatur ke TLS 1.2 and later. This setting provides good compatibility and high security level.. Opsi ini mencakup paket sandi berikut: ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 Strong cipher suites. This setting provides a high security level but a low compatibility. Opsi ini hanya tersedia jika Versi TLS diatur ke TLS 1.2 and later. This setting provides good compatibility and high security level.. Opsi ini mencakup paket sandi berikut: ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-SHA256 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-AES128-SHA ECDHE-ECDSA-AES256-SHA Custom Cipher Suite Setelah memilih opsi ini, pilih satu atau beberapa paket sandi dari semua paket sandi yang tersedia. Jika Anda mengaktifkan sakelar TLS 1.3, pilih paket sandi berikut: TLS_AES_256_GCM_SHA384 (TLS 1.3) TLS_CHACHA20_POLY1305_SHA256 (TLS 1.3) TLS_AES_128_GCM_SHA256 (TLS 1.3) TLS_AES_128_CCM_8_SHA256 (TLS 1.3) TLS_AES_128_CCM_SHA256 (TLS 1.3)

5. Klik Next dan ikuti instruksi di layar untuk menyelesaikan perubahan.

FAQ

• Apakah Anti-DDoS Proxy memverifikasi status Sertifikat SSL HTTPS pada server backend?

  Tidak, hal tersebut tidak benar.

  Instans Anti-DDoS Proxy tidak memverifikasi validitas Sertifikat SSL HTTPS pada server backend, seperti ALB, WAF, atau instans ECS origin. Verifikasi ini mencakup pemeriksaan kedaluwarsa, pencocokan Nama domain, dan kepercayaan penerbit. Mekanisme kerjanya adalah sebagai berikut:

  • Pengakhiran SSL/TLS antarmuka depan: Saat client membuat koneksi HTTPS dengan Anti-DDoS Proxy, Anti-DDoS Proxy menyelesaikan Proses jabat tangan TLS SSL/TLS dan mendekripsi traffic di antarmuka depan.

  • Penerusan Backend dalam teks biasa atau dengan enkripsi ulang: Traffic yang telah didekripsi diteruskan ke server backend melalui HTTP, atau melalui koneksi HTTPS baru berdasarkan konfigurasi Anda.

  • Independensi Sertifikat: Pengakhiran TLS terjadi di sisi Anti-DDoS Proxy, sehingga keamanan komunikasi tautan Backend tidak bergantung pada status Sertifikat server backend. Oleh karena itu, meskipun Sertifikat server backend telah kedaluwarsa, ditandatangani sendiri, atau tidak valid, komunikasi HTTPS antara client dan Anti-DDoS Proxy tetap terjalin seperti yang diharapkan selama Sertifikat antarmuka depan pada Anti-DDoS Proxy masih valid. Akses bisnis tidak terpengaruh.

  Catatan

  Meskipun Anti-DDoS Proxy tidak memverifikasi Sertifikat Backend, sebagai praktik terbaik, gunakan Sertifikat yang valid dan tepercaya pada server backend untuk memastikan Keamanan ujung ke ujung. Hal ini sangat penting ketika pengambilan asal HTTPS diaktifkan antara Anti-DDoS Proxy dan server backend.

• Apa yang harus saya lakukan jika Pemindai keamanan SSL melaporkan kerentanan terkait 3DES?

  Jika Pemindai keamanan SSL melaporkan kerentanan terkait 3DES (misalnya, Pemindai mendeteksi DES-CBC3-SHA), daftar paket sandi yang sedang dikonfigurasi mencakup algoritma enkripsi lemah ini. DES-CBC3-SHA didasarkan pada algoritma 3DES, yang dianggap tidak aman oleh industri dan rentan terhadap serangan seperti Sweet32.

  Solusi:

  1. Beralih ke paket sandi prasetel (disarankan).
     Di Konsol Anti-DDoS Proxy, ubah konfigurasi paket sandi Sertifikat SSL HTTPS menjadi “Strong Cipher Suites” atau “Enhanced Cipher Suites”. Kedua opsi prasetel ini tidak menyertakan DES-CBC3-SHA, sehingga Anda dapat memperbaiki kerentanan dengan cepat.
     

  2. Sesuaikan paket sandi.
     Untuk mempertahankan paket sandi tertentu, pilih “Custom Cipher Suite” dan hapus DES-CBC3-SHA secara manual dari daftar. Pastikan paket sandi yang tersisa menggunakan algoritma aman modern, seperti AES-GCM atau CHACHA20.
     

  Jika Pemindai masih melaporkan kerentanan setelah Anda mengubah konfigurasi, periksa hal berikut:

  • Verifikasi bahwa konfigurasi telah berlaku: Masuk ke Konsol Anti-DDoS Proxy dan periksa apakah paket sandi yang terikat pada instans saat ini telah diperbarui ke konfigurasi target.

  • Bersihkan cache Pemindai: Beberapa alat pemindaian menyimpan hasil historis dalam cache. Bersihkan cache dan jalankan pemindaian kembali.

  • Singkirkan positif palsu: Pastikan target pemindaian adalah alamat IP Anti-DDoS Proxy, bukan server backend, dan periksa apakah alat pemindaian melaporkan positif palsu logis.