Saat mengonfigurasi Pendengar HTTPS untuk instans Classic Load Balancer (CLB), kebijakan keamanan TLS menentukan versi protokol TLS dan paket sandi yang digunakan untuk menegosiasikan koneksi aman antara instans dan kliennya. CLB menyediakan serangkaian kebijakan keamanan TLS yang telah ditentukan sebelumnya.
Cara kerja
Kebijakan keamanan TLS pada instans CLB menentukan versi protokol TLS dan paket sandi yang didukung untuk negosiasi TLS. Selama proses jabat tangan TLS, klien mengirim daftar versi protokol dan paket sandi yang didukung dalam pesan Client Hello. Berdasarkan kebijakan yang dikonfigurasi, instans CLB memilih kombinasi versi protokol dan paket sandi yang saling didukung dari daftar tersebut dan merespons dengan pesan Server Hello. Kombinasi yang dipilih menentukan langkah-langkah selanjutnya, seperti pertukaran kunci dan pembuatan kunci sesi.
Kebijakan keamanan TLS
Berbagai standar keamanan informasi mungkin mensyaratkan kebijakan keamanan TLS tertentu untuk instans CLB Anda. Tabel berikut menjelaskan versi protokol TLS dan paket sandi yang didukung oleh setiap kebijakan. CLB tidak mendukung kebijakan keamanan TLS kustom. Jika Anda memerlukan kebijakan kustom, gunakan Application Load Balancer (ALB) atau Network Load Balancer (NLB).
Untuk aplikasi yang menghadap Internet tanpa persyaratan kompatibilitas khusus, kami merekomendasikan penggunaan tls_cipher_policy_1_2 atau kebijakan yang lebih ketat.
Konfigurasikan kebijakan keamanan TLS untuk pendengar
Konsol
Saat menambahkan pendengar HTTPS, pada langkah Certificate Management Service, klik Modify di samping Advanced Settings. Di bagian yang diperluas, pilih TLS Security Policy.
Untuk mengubah kebijakan keamanan TLS: Pada halaman detail instans, buka tab Listener. Klik nama pendengar HTTPS target untuk membuka kotak dialog Listener Details. Di bagian SSL Certificate, klik Manage Certificates untuk mengubah TLS Security Policy.
API
Saat memanggil operasi CreateLoadBalancerHTTPSListener untuk membuat pendengar HTTPS atau operasi SetLoadBalancerHTTPSListenerAttribute untuk mengubah pendengar HTTPS, tentukan kebijakan keamanan TLS dalam parameter TLSCipherPolicy.
Penagihan
Kebijakan keamanan TLS tidak dikenai biaya. Anda hanya dikenai biaya untuk pembelian dan penggunaan instans CLB.
FAQ
Bagaimana cara menentukan kebijakan keamanan TLS kustom untuk instans CLB?
Anda tidak dapat menentukan kebijakan keamanan TLS kustom untuk instans CLB. CLB hanya mendukung serangkaian kebijakan yang telah ditentukan sebelumnya.
Jika Anda perlu mengonfigurasi kebijakan TLS kustom, misalnya untuk memenuhi persyaratan kepatuhan keamanan tertentu, gunakan salah satu layanan berikut sebagai gantinya:
ALB: Mendukung kebijakan keamanan TLS kustom untuk pendengar HTTPS.
NLB: Mendukung kebijakan keamanan TLS kustom untuk pendengar TCP/SSL.
Penerapan di lingkungan produksi
Versi protokol TLS: Jika aplikasi Anda tidak memiliki persyaratan kompatibilitas khusus, gunakan TLS 1.2 dan TLS 1.3 untuk memastikan keamanan.
Rollback: Jika terjadi masalah setelah mengubah kebijakan keamanan TLS, Anda dapat segera melakukan rollback dengan memodifikasi konfigurasi pendengar. Lakukan perubahan ini selama jam sepi.
Algoritma pertukaran kunci: Hindari penggunaan paket sandi berbasis RSA berikut di lingkungan produksi karena tidak memiliki Perfect Forward Secrecy (PFS) dan rentan terhadap serangan side-channel:
AES128-GCM-SHA256
AES256-GCM-SHA384
AES128-SHA256
AES256-SHA256
AES128-SHA
AES256-SHA
DES-CBC3-SHA
Sebagai gantinya, prioritaskan paket sandi yang mencakup algoritma pertukaran kunci ECDHE atau DHE, kecuali jika Anda memiliki kebutuhan kompatibilitas legacy tertentu.
Referensi paket sandi TLS
Tabel ini menyediakan pemetaan nama paket sandi TLS antara format OpenSSL, format standar IANA, dan representasi heksadesimalnya.