O Anti-DDoS Proxy permite personalizar a política de segurança TLS. Com base nos requisitos do seu negócio, especifique as versões de TLS e configure as suítes de criptografia adequadas para os sites adicionados ao Anti-DDoS Proxy. Modifique a política de segurança TLS de um site. Após isso, a instância do Anti-DDoS Proxy utiliza as versões de TLS, as suítes de criptografia e as configurações do Guomi ao processar o tráfego de requisições para o nome de domínio do site. O sistema descarta as requisições que não atendem aos requisitos. Este tópico descreve como personalizar uma política de segurança TLS.
Versões de TLS suportadas
O Anti-DDoS Proxy (Chinese Mainland) permite o upload de certificados HTTPS de padrão internacional e certificados HTTPS Guomi. O Anti-DDoS Proxy (Outside Chinese Mainland) permite apenas o upload de certificados HTTPS de padrão internacional.
A tabela a seguir descreve as versões de TLS suportadas por padrão após o upload de um certificado HTTPS e as versões de TLS configuráveis.
Tipo de certificado | Versões de TLS suportadas por padrão | Versões de TLS configuráveis |
Certificado HTTPS de padrão internacional | Anti-DDoS Proxy (Chinese Mainland): TLS 1.0, TLS 1.1 e TLS 1.2 são suportados por padrão. Anti-DDoS Proxy (Outside Chinese Mainland): TLS 1.1 e TLS 1.2 são suportados por padrão. | Modifique a versão do TLS e as respectivas suítes de criptografia. As seguintes versões de TLS são suportadas:
Nota Para usar o TLS 1.3, é necessário ativar separadamente a opção Enable TLS 1.3 Support. Por exemplo, suponha que você tenha adquirido uma instância do Anti-DDoS Proxy (Chinese Mainland). Se o seu negócio precisar passar pela certificação Payment Card Industry Data Security Standard (PCI DSS) 3.2, talvez seja necessário desativar o protocolo TLS 1.0. Nesse caso, defina TLS Versions for SSL Certificate como TLS 1.1 and later. This setting provides good compatibility and medium security. na configuração da política de segurança TLS. Se os endpoints de cliente de outro negócio exigirem o TLS 1.3, ative a opção Enable TLS 1.3 Support. |
Certificado HTTPS Guomi | O National Transport Layer Security (NTLS) 1.1 é suportado por padrão. | Não modifique a versão do TLS ou as suítes de criptografia. |
Pré-requisitos
É necessário ter adicionado uma configuração de site, e o Protocol Type da configuração deve incluir HTTPS. Para obter instruções, consulte Add a website configuration.
Modifique a política de segurança TLS de um certificado HTTPS de padrão internacional
Acesse a página Website Config no console do Anti-DDoS Proxy.
-
Na barra de navegação superior, selecione a região da sua instância.
Anti-DDoS Proxy (Chinese Mainland): Escolha a região Chinese Mainland.
Anti-DDoS Proxy (Outside Chinese Mainland): Escolha a região Outside Chinese Mainland.
Na página Website Config, localize o nome de domínio de destino. Na coluna Actions, clique em Edit.
-
Na aba Modify Website Configurations, modifique as TLS Security Settings do certificado HTTPS de padrão internacional.
Parâmetro
Descrição
TLS Versions for SSL Certificate
Selecione as versões de TLS suportadas pelo certificado HTTPS de padrão internacional. Valores válidos:
TLS 1.0 and later. This setting provides the best compatibility but low security.: suporta TLS 1.0, TLS 1.1 e TLS 1.2.
TLS 1.1 and later. This setting provides good compatibility and medium security.: suporta TLS 1.1 e TLS 1.2.
TLS 1.2 and later. This setting provides good compatibility and high security level.: suporta TLS 1.2.
NotaVocê também pode ativar o suporte para TLS 1.3 conforme necessário e selecionar as suítes de criptografia TLS 1.3 correspondentes em Custom Cipher Suite.
Cipher Suites for SSL Certificate
Selecione as suítes de criptografia suportadas pelo certificado HTTPS de padrão internacional.
NotaPasse o mouse sobre o ícone
de uma opção de suíte de criptografia e visualize as suítes incluídas na opção. Clique em Next e siga as instruções na tela para concluir a alteração.
Perguntas frequentes
-
O Anti-DDoS Proxy verifica o status do certificado HTTPS dos servidores de backend?
Não, não verifica.
A instância do Anti-DDoS Proxy não verifica a validade dos certificados HTTPS nos servidores de backend, como instâncias ALB, WAF ou ECS de origem. A verificação inclui checagens de expiração, correspondência de nome de domínio e confiabilidade do emissor. Funcionamento:
Terminação SSL/TLS no frontend: quando um cliente estabelece uma conexão HTTPS com o Anti-DDoS Proxy, o proxy conclui o handshake SSL/TLS e descriptografa o tráfego no frontend.
Encaminhamento para o backend em texto simples ou com recriptografia: o sistema encaminha o tráfego descriptografado ao servidor de backend via HTTP ou por uma nova conexão HTTPS, conforme a configuração.
Independência de certificado: a terminação TLS ocorre no Anti-DDoS Proxy. Portanto, a segurança da comunicação do link de backend não depende do status do certificado do servidor de backend. Assim, a comunicação HTTPS entre o cliente e o Anti-DDoS Proxy ocorre normalmente, mesmo com o certificado de backend expirado, autoassinado ou inválido. Isso ocorre desde que o certificado de frontend no Anti-DDoS Proxy seja válido. O acesso ao negócio não é afetado.
NotaEmbora o Anti-DDoS Proxy não verifique os certificados de backend, use certificados válidos e confiáveis nesses servidores como prática recomendada para garantir a segurança de ponta a ponta. Isso é especialmente importante quando a busca de origem HTTPS está ativada entre o Anti-DDoS Proxy e o servidor de backend.
-
O que fazer se um scanner de segurança SSL relatar uma vulnerabilidade relacionada ao 3DES?
Se um scanner de segurança SSL relatar uma vulnerabilidade relacionada ao 3DES (por exemplo, o scanner detecta
DES-CBC3-SHA), a lista de suítes de criptografia configurada atualmente inclui esse algoritmo de criptografia fraco. ODES-CBC3-SHAbaseia-se no algoritmo 3DES, considerado inseguro pela indústria e vulnerável a ataques como o Sweet32.Soluções:
Mude para uma suíte de criptografia predefinida (recomendado): no console do Anti-DDoS Proxy, altere a configuração da suíte de criptografia do certificado HTTPS para "Strong Cipher Suites" ou "Enhanced Cipher Suites". Nenhuma das opções predefinidas inclui
DES-CBC3-SHA, o que permite corrigir rapidamente a vulnerabilidade.Personalize as suítes de criptografia: para manter suítes específicas, selecione "Custom Cipher Suite" e remova manualmente o
DES-CBC3-SHAda lista. Certifique-se de que as suítes restantes usem algoritmos seguros e modernos, como AES-GCM ou CHACHA20.
Se o scanner ainda relatar a vulnerabilidade após a alteração da configuração, verifique o seguinte:
Verifique se a configuração entrou em vigor: acesse o console do Anti-DDoS Proxy e confira se as suítes de criptografia vinculadas à instância atual foram atualizadas para a configuração de destino.
Limpe o cache do scanner: algumas ferramentas de varredura armazenam resultados históricos em cache. Limpe o cache e execute a varredura novamente.
Descarte falsos positivos: certifique-se de que o alvo da varredura seja o endereço IP do Anti-DDoS Proxy, e não o servidor de backend. Verifique também se a ferramenta de varredura relata falsos positivos lógicos.