Edge Security Acceleration:Perguntas frequentes sobre SSL/TLS

O Hypertext Transfer Protocol Secure (HTTPS) é a versão segura do HTTP. Ele criptografa os dados enviados entre um cliente e um servidor, protegendo-os contra interceptação ou modificação. Enquanto o HTTP padrão transmite dados em texto simples, o HTTPS usa os protocolos SSL/TLS para que você crie uma conexão segura e criptografada. Fornece autenticação e criptografia, o que o torna essencial para comunicações sensíveis, como pagamentos online. Para configure o HTTPS no ESA, consulte o guia SSL/TLS Quick Start. Esse processo implanta um certificado em todos os nós do ESA para garantir a criptografia de dados em toda a rede.

Não. O ESA usa certificados de borda que ele mesmo gerencia, e esses certificados são independentes dos certificados no SSL Certificates service (CAS). Após conectar seu site ao ESA, o ESA gerencia os certificados de borda. Certificados gratuitos têm validade de 3 meses e são renovados automaticamente 30 dias antes de expirarem. A expiração de um certificado no console do CAS não afeta o acesso HTTPS ao seu site no ESA. Caso tenha usado anteriormente um certificado gratuito do CAS, o ESA passa a gerenciar o certificado após a migração para o ESA, e seu site passa a usar o certificado de borda do ESA.

O ESA oferece dois modos para processar um certificado de cliente, dependendo dos requisitos do seu negócio:

• **O nó do ESA encerra o TLS (mTLS padrão)**: Nesse modo, o nó do ESA atua como o ponto de terminação TLS e valida o certificado do cliente. Isso protege a conexão entre o cliente e o ESA. Para configure esse modo, consulte Configure client certificate.

• Proxy da Camada 4 (repasse tcp): Para implementar a autenticação mTLS de ponta a ponta e enviar o certificado do cliente diretamente ao servidor de origem para validação, use o recurso de proxy da Camada 4 do ESA. Nesse modo, o ESA não encerra a conexão TLS nem substitui o certificado. Em vez disso, o ESA repassa o handshake TLS do cliente diretamente ao servidor de origem para concluir o mTLS. Esse recurso requer uma atualização para a Enterprise Edition. Para obter mais informações sobre o proxy da Camada 4, consulte Layer 4 proxy.

O ESA renova automaticamente os certificados gratuitos sem afetar o certificado atualmente implantado para o seu domínio:

• Horário de renovação automática: O ESA tenta renovar automaticamente seu certificado gratuito 30 dias antes da expiração. Não é preciso solicitar novamente, e a renovação não consome sua cota de certificados.

• Risco de falha na renovação: Como o Let's Encrypt emite certificados gratuitos, a renovação pode falhar devido a erros de resolução de DNS ou falhas de validação.

Problema

Os navegadores exibem um aviso de risco de certificado quando você acessa um domínio, mesmo que configure um certificado HTTPS para ele no console do Edge Security Accelerator (ESA).

Causas e soluções

• Certificado expirado: Renove seu certificado e, em seguida, atualize-o no console do ESA. Caso tenha comprado seu certificado do Alibaba Cloud SSL Certificates service, consulte SSL Certificate Renewal and Expiration para renovar o certificado e, em seguida, update the certificate.

• Hora do sistema incorreta: Um horário do sistema incorreto pode fazer com que os navegadores interpretem erroneamente um certificado válido como expirado ou inválido, portanto verifique se a hora do sistema do seu computador está correta e tente acessar o site novamente.

• Certificado autoassinado: Nenhuma Autoridade Certificadora (CA) confiável emite certificados autoassinados. Os navegadores não confiam em certificados autoassinados por serem vulneráveis a falsificações e ataques "man-in-the-middle", o que aciona avisos de segurança. Recomendamos substituí-lo por um certificado emitido por uma CA confiável. Compre um certificado no Alibaba Cloud SSL Certificates service.

• Conteúdo misto: Esse problema ocorre quando uma página HTTPS segura carrega recursos inseguros por HTTP. Atualize todos os links de recursos para usar HTTPS.

• Versão do TLS desatualizada: O SSL/TLS inclui vários protocolos: SSLv2, SSLv3, TLSv1.0, TLSv1.1, TLSv1.2 e TLSv1.3. Atualmente, apenas os protocolos TLSv1.2 e TLSv1.3 são seguros. No console do ESA, desative os protocolos mais antigos e inseguros e ative apenas o TLSv1.2 ou TLSv1.3. Para obter mais informações, consulte Configure TLS Version and Cipher Suites.

• Suíte de criptografia fraca: A suíte de criptografia selecionada provavelmente é fraca ou está desatualizada. Use uma suíte de criptografia moderna que ofereça criptografia forte, como uma baseada em AES-GCM de 128 bits.

Sim, há um pequeno impacto. O handshake TLS para uma nova conexão requer uma ida e volta adicional ao KeyServer, o que adiciona um tempo de ida e volta (RTT) à latência inicial do handshake. Após a conclusão do handshake, o sistema transmite os dados com criptografia simétrica, portanto, não há diferença de desempenho contínua em comparação com um certificado padrão. Implante seu KeyServer em uma região com baixa latência de rede para minimizar esse impacto.

Se o KeyServer ficar indisponível, o sistema não poderá estabelecer novas conexões TLS. As conexões existentes continuam funcionando normalmente, pois o sistema já negociou as chaves de sessão. Implante seu KeyServer em uma configuração de alta disponibilidade. Para isso, coloque várias instâncias do KeyServer atrás de um balanceador de carga.

Sim, o KeyServer suporta os tipos de chave RSA e ECC. Coloque o arquivo de chave privada correspondente no diretório especificado pelo parâmetro lurk_pkey_path.

Sim, o canal de comunicação entre o nó de borda do ESA e o KeyServer pode usar o certificado autoassinado que você gerou na Etapa 1.

Quando um cliente suporta suítes de criptografia RSA e ECC, o ESA dá prioridade ao certificado ECC.

• Limite de nomes de domínio: Cada certificado é emitido para apenas um nome de domínio. O sistema não suporta nomes de domínio curinga.

• Configuração de SAN: O certificado inclui dois Nomes Alternativos da Entidade (SANs): o nome de domínio solicitado e seu subdomínio www. Por exemplo, ao solicitar um certificado para example.com, o certificado incluirá tanto example.com quanto www.example.com.

• Tratamento de nome de domínio www: Caso insira um nome de certificado que começa com www., o ESA ignora automaticamente o www. inicial.

• Autenticação DCV: O domínio para verificação de registro TXT é _dnsauth.{{Certificate Name}}. Para o DCV gerenciado, configure um registro CNAME para este domínio.

• Período de validade: O certificado é válido por três meses e suporta renovação automática.

• Tipo de certificado: Certificado com Validação de Domínio (DV) usando o algoritmo de criptografia SHA-256 com RSA.

Sim. O ESA gerencia configurações no nível do site. Outros sites não podem referenciar as configurações de um site. Portanto, configure certificados separadamente para cada site.

Se você tiver um certificado curinga, envie-o como certificado personalizado na configuração de certificado de cada site que usa um subdomínio coberto pelo certificado curinga. Por exemplo, caso possua um certificado curinga para *.example.com, envie-o para qualquer site que use um subdomínio de example.com.