Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Politiques de sécurité pour votre équilibreur de charge d'applications
Elastic Load Balancing utilise une configuration de négociation Secure Socket Layer (SSL) (ou politique de sécurité) pour négocier des connexions SSL entre un client et l'équilibreur de charge. Une stratégie de sécurité est une combinaison de protocoles et de chiffrements. Le protocole établit une connexion sécurisée entre un client et un serveur et garantit que toutes les données transmises entre le client et votre équilibreur de charge sont privées. Un chiffrement est un algorithme de chiffrement qui utilise des clés de chiffrement pour créer un message codé. Les protocoles utilisent plusieurs chiffrements pour chiffrer les données sur Internet. Pendant le processus de négociation de connexion , le client et l'équilibreur de charge présentent une liste de chiffrements et de protocoles pris en charge par chacun d'entre eux dans l'ordre de préférence. Par défaut, le premier chiffrement sur la liste du serveur qui correspond à l'un des chiffrements du client est sélectionné pour la connexion sécurisée.
Considérations
-
Un écouteur HTTPS nécessite une politique de sécurité. Si vous ne spécifiez pas de politique de sécurité lors de la création de l'écouteur, nous utilisons la politique de sécurité par défaut. La politique de sécurité par défaut dépend de la manière dont vous avez créé l'écouteur HTTPS :
-
Console : la politique de sécurité par défaut est
ELBSecurityPolicy-TLS13-1-2-Res-PQ-2025-09. -
Autres méthodes (par exemple, la AWS CLI AWS CloudFormation, et la AWS CDK) — La politique de sécurité par défaut est
ELBSecurityPolicy-2016-08. -
Pour afficher la version du protocole TLS (position 5 du champ de journal) et l'échange de clés (position 13 du champ de journal) pour les demandes de connexion à votre équilibreur de charge, activez la journalisation des connexions et examinez les entrées de journal correspondantes. Pour plus d'informations, consultez la section Journaux de connexion.
-
Les politiques de sécurité dont le nom est PQ proposent un échange de clés post-quantique hybride. Pour des raisons de compatibilité, ils prennent en charge les algorithmes d'échange de ML-KEM clés classiques et post-quantiques. Les clients doivent prendre en charge l'échange de ML-KEM clés pour utiliser le TLS post-quantique hybride pour l'échange de clés. Les politiques post-quantiques hybrides prennent en charge les algorithmes SecP256R1MLKEM768, SecP384R1MLKEM1024 et X25519MLKEM768. Pour plus d'informations, consultez Post-quantum Cryptographie
. -
AWS recommande de mettre en œuvre la nouvelle politique
ELBSecurityPolicy-TLS13-1-2-Res-PQ-2025-09de sécurité post-quantique basée sur le protocole TLS (PQ-TLS) ou.ELBSecurityPolicy-TLS13-1-2-Res-FIPS-PQ-2025-09Cette politique garantit la rétrocompatibilité en prenant en charge les clients capables de négocier des protocoles hybrides PQ-TLS, TLS 1.3 uniquement ou TLS 1.2 uniquement, minimisant ainsi les interruptions de service lors de la transition vers la cryptographie post-quantique. Vous pouvez progressivement migrer vers des politiques de sécurité plus restrictives à mesure que vos applications clientes développent la capacité de négocier PQ-TLS des opérations d'échange de clés. -
Les politiques de sécurité portant le nom RFC 9151 vous aident à vous conformer à la RFC 9151, qui définit les exigences TLS pour la suite Commercial National Security Algorithm (CNSA) 1.0, telles que spécifiées par la National Security Agency (NSA) des États-Unis. Pour faciliter la transition, elles sont disponibles en deux catégories : des politiques strictes qui appliquent toutes les exigences de la RFC 9151, et des politiques d'interopérabilité (dont le nom contient « INTEROP ») qui prennent en charge à la fois les chiffrements conformes à la RFC 9151 et non conformes à la RFC 9151 afin de faciliter une transition progressive. Nous vous recommandons de commencer par
ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP4-FIPS-2023-07minimiser les perturbations, puis de passer progressivement à des politiques plus strictes à mesure que les clients prennent en charge la norme RFC 9151. Vous pouvez utiliser lestls_keyexchangechampstls_protocoltls_cipher, et des journaux de connexion ALB pour surveiller les connexions des clients. Pour plus d'informations sur la RFC 9151, consultez la RFC 9151sur le site web de l'IETF.
-
-
Pour respecter les normes de conformité et de sécurité qui nécessitent la désactivation de certaines versions du protocole TLS, ou pour prendre en charge les clients existants nécessitant des chiffrements obsolètes, vous pouvez utiliser l'une des politiques de sécurité.
ELBSecurityPolicy-TLS-Pour afficher la version du protocole TLS pour les demandes adressées à votre équilibreur de charge d'application, activez la journalisation des accès pour votre équilibreur de charge et examinez les entrées de journal d'accès correspondantes. Pour plus d'informations, consultez Journaux d'accès. -
Vous pouvez restreindre les politiques de sécurité disponibles pour les utilisateurs sur votre Comptes AWS réseau AWS Organizations en utilisant les clés de condition Elastic Load Balancing dans vos politiques IAM et de contrôle des services (SCP), respectivement. Pour plus d’informations, consultez Politiques de contrôle de service (SCP) dans le Guide de l’utilisateur AWS Organizations .
-
Les politiques qui ne prennent en charge que TLS 1.3 prennent en charge le Forward Secrecy (FS). Les politiques qui prennent en charge TLS 1.3 et TLS 1.2 qui ne comportent que des chiffrements de la forme TLS_* et ECDHE_* fournissent également FS.
-
Les équilibreurs de charge d'application prennent en charge la reprise du protocole TLS à l'aide de PSK (TLS 1.3) et de IDs/session tickets de session (TLS 1.2 et versions antérieures). Les reprises ne sont prises en charge que pour les connexions à la même adresse IP d'Application Load Balancer. La fonctionnalité 0-RTT Data et l'extension early_data ne sont pas implémentées.
-
Application Load Balancers ne prennent pas en charge les politiques de sécurité personnalisées.
-
Application Load Balancers prennent en charge la renégociation SSL pour les connexions cibles uniquement.
Connexions dorsales
-
Vous pouvez choisir la politique de sécurité qui est utilisée pour les connexions frontales, mais pas pour les connexions dorsales. La politique de sécurité pour les connexions dorsales dépend de la politique de sécurité de l'auditeur. Si l'un de vos auditeurs utilise :
-
Politique RFC 9151 (y compris toute politique d'interopérabilité) — Utilisation des connexions backend
ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP4-FIPS-2023-07 -
Politique TLS post-quantique FIPS - Utilisation des connexions backend
ELBSecurityPolicy-TLS13-1-0-FIPS-PQ-2025-09 -
Politique FIPS - Utilisation des connexions backend
ELBSecurityPolicy-TLS13-1-0-FIPS-2023-04 -
Post-quantum Politique TLS - Utilisation des connexions backend
ELBSecurityPolicy-TLS13-1-0-PQ-2025-09 -
Politique TLS 1.3 - Utilisation des connexions backend
ELBSecurityPolicy-TLS13-1-0-2021-06 -
Autre politique TLS - Utilisation des connexions backend
ELBSecurityPolicy-2016-08
-
Stratégies de sécurité
Exemples de commandes describe-ssl-policies
Vous pouvez décrire les protocoles et les chiffrements d'une politique de sécurité, ou trouver une politique qui répond à vos besoins à l'aide de la commande https://docs.aws.amazon.com/cli/latest/reference/elbv2/describe-ssl-policies.html AWS CLI describe-ssl-policies.
L'exemple suivant décrit la politique spécifiée.
aws elbv2 describe-ssl-policies \ --names "ELBSecurityPolicy-TLS13-1-2-Res-2021-06"
L'exemple suivant répertorie les politiques dont le nom contient la chaîne spécifiée.
aws elbv2 describe-ssl-policies \ --query "SslPolicies[?contains(Name,'FIPS')].Name"
L'exemple suivant répertorie les politiques qui prennent en charge le protocole spécifié.
aws elbv2 describe-ssl-policies \ --query "SslPolicies[?contains(SslProtocols,'TLSv1.3')].Name"
L'exemple suivant répertorie les politiques qui prennent en charge le chiffrement spécifié.
aws elbv2 describe-ssl-policies \ --query "SslPolicies[?Ciphers[?contains(Name,'TLS_AES_128_GCM_SHA256')]].Name"
L'exemple suivant répertorie les politiques qui ne prennent pas en charge le chiffrement spécifié.
aws elbv2 describe-ssl-policies \ --query 'SslPolicies[?length(Ciphers[?starts_with(Name,`AES128-GCM-SHA256`)]) == `0`].Name'
Stratégies de sécurité TLS
Vous pouvez utiliser les politiques de sécurité TLS pour respecter les normes de conformité et de sécurité qui nécessitent la désactivation de certaines versions du protocole TLS, ou pour prendre en charge les clients existants qui nécessitent des chiffrements obsolètes.
Les politiques qui ne prennent en charge que TLS 1.3 prennent en charge le Forward Secrecy (FS). Les politiques qui prennent en charge TLS 1.3 et TLS 1.2 qui ne comportent que des chiffrements de la forme TLS_* et ECDHE_* fournissent également FS.
Protocoles par politique
Le tableau suivant décrit les protocoles pris en charge par chaque politique de sécurité TLS.
| Stratégies de sécurité | TLS 1.3 | TLS 1.2 | TLS 1.1 | TLS 1.0 |
|---|---|---|---|---|
| ELBSecurityPolicy-TLS13-1-3-2021-06 | ||||
| ELBSecurityPolicy-TLS13-1-3-PQ-2025-09 | ||||
| ELBSecurityPolicy-TLS13-1-2-2021-06 | ||||
| ELBSecurityPolicy-TLS13-1-2-PQ-2025-09 | ||||
| ELBSecurityPolicy-TLS13-1-2-Res-2021-06 | ||||
| ELBSecurityPolicy-TLS13-1-2-Res-PQ-2025-09 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext2-2021-06 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext2-PQ-2025-09 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext1-2021-06 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext1-PQ-2025-09 | ||||
| ELBSecurityPolicy-TLS13-1-1-2021-06 | ||||
| ELBSecurityPolicy-TLS13-1-0-2021-06 | ||||
| ELBSecurityPolicy-TLS13-1-0-PQ-2025-09 | ||||
| ELBSecurityPolicy-TLS-1-2-Ext-2018-06 | ||||
| ELBSecurityPolicy-TLS-1-2-2017-01 | ||||
| ELBSecurityPolicy-TLS-1-1-2017-01 | ||||
| ELBSecurityPolicy-2016-08 |
Chiffrements par politique
Le tableau suivant décrit les chiffrements pris en charge par chaque politique de sécurité TLS.
| Politique de sécurité | Chiffrements |
|---|---|
|
ELBSecurityPolicy-TLS13-1-3-2021-06 ELBSecurityPolicy-TLS13-1-3-PQ-2025-09 |
|
|
ELBSecurityPolicy-TLS13-1-2-2021-06 ELBSecurityPolicy-TLS13-1-2-PQ-2025-09 |
|
|
ELBSecurityPolicy-TLS13-1-2-Res-2021-06 ELBSecurityPolicy-TLS13-1-2-Res-PQ-2025-09 |
|
|
ELBSecurityPolicy-TLS13-1-2-Ext2-2021-06 ELBSecurityPolicy-TLS13-1-2-Ext2-PQ-2025-09 |
|
|
ELBSecurityPolicy-TLS13-1-2-Ext1-2021-06 ELBSecurityPolicy-TLS13-1-2-Ext1-PQ-2025-09 |
|
| ELBSecurityPolicy-TLS13-1-1-2021-06 |
|
|
ELBSecurityPolicy-TLS13-1-0-2021-06 ELBSecurityPolicy-TLS13-1-0-PQ-2025-09 |
|
| ELBSecurityPolicy-TLS-1-2-Ext-2018-06 |
|
| ELBSecurityPolicy-TLS-1-2-2017-01 |
|
| ELBSecurityPolicy-TLS-1-1-2017-01 |
|
| ELBSecurityPolicy-2016-08 |
|
Politiques par chiffrement
Le tableau suivant décrit les politiques de sécurité TLS qui prennent en charge chaque chiffrement.
| Nom du code | Stratégies de sécurité | Suite de chiffrement |
|---|---|---|
|
OpenSSL — TLS_AES_128_GCM_SHA256 IANA — TLS_AES_128_GCM_SHA256 |
|
1301 |
|
OpenSSL — TLS_AES_256_GCM_SHA384 IANA — TLS_AES_256_GCM_SHA384 |
|
1302 |
|
OpenSSL — TLS_CHACHA20_POLY1305_SHA256 IANA — TLS_CHACHA20_POLY1305_SHA256 |
|
1303 |
|
OpenSSL — ECDHE-ECDSA-AES128-GCM-SHA256 IANA — TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 |
|
c02b |
|
OpenSSL — ECDHE-RSA-AES128-GCM-SHA256 IANA — TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 |
|
c02f |
|
OpenSSL — ECDHE-ECDSA-AES128-SHA256 IANA — TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 |
|
c023 |
|
OpenSSL — ECDHE-RSA-AES128-SHA256 IANA — TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 |
|
c027 |
|
OpenSSL — ECDHE-ECDSA-AES128-SHA IANA — TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA |
|
c009 |
|
OpenSSL — ECDHE-RSA-AES128-SHA IANA — TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA |
|
c013 |
|
OpenSSL — ECDHE-ECDSA-AES256-GCM-SHA384 IANA — TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 |
|
c02c |
|
OpenSSL — ECDHE-RSA-AES256-GCM-SHA384 IANA — TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 |
|
c030 |
|
OpenSSL — ECDHE-ECDSA-AES256-SHA384 IANA — TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 |
|
c024 |
|
OpenSSL — ECDHE-RSA-AES256-SHA384 IANA — TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 |
|
c028 |
|
OpenSSL — ECDHE-ECDSA-AES256-SHA IANA — TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA |
|
c00a |
|
OpenSSL — ECDHE-RSA-AES256-SHA IANA — TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA |
|
c014 |
|
OpenSSL — AES128-GCM-SHA256 IANA — TLS_RSA_WITH_AES_128_GCM_SHA256 |
|
9c |
|
OpenSSL — AES128-SHA256 IANA — TLS_RSA_WITH_AES_128_CBC_SHA256 |
|
3c |
|
OpenSSL — AES128-SHA IANA — TLS_RSA_WITH_AES_128_CBC_SHA |
|
2f |
|
OpenSSL — AES256-GCM-SHA384 IANA — TLS_RSA_WITH_AES_256_GCM_SHA384 |
|
9d |
|
OpenSSL — AES256-SHA256 IANA — TLS_RSA_WITH_AES_256_CBC_SHA256 |
|
3d |
|
OpenSSL — AES256-SHA IANA — TLS_RSA_WITH_AES_256_CBC_SHA |
|
35 |
Politiques de sécurité FIPS
La norme FIPS (Federal Information Processing Standard) est une norme gouvernementale américaine et canadienne qui spécifie les exigences de sécurité pour les modules cryptographiques qui protègent les informations sensibles. Pour en savoir plus, consultez la norme FIPS (Federal Information Processing Standard) 140
Toutes les politiques FIPS s'appuient sur le module cryptographique validé AWS-LC FIPS. Pour en savoir plus, consultez la page du module
Important
Les politiques ELBSecurityPolicy-TLS13-1-1-FIPS-2023-04 et ELBSecurityPolicy-TLS13-1-0-FIPS-2023-04 sont fournies à des fins de compatibilité avec les versions antérieures uniquement. Bien qu'ils utilisent la cryptographie FIPS à l'aide du module FIPS140, ils peuvent ne pas être conformes aux dernières directives du NIST pour la configuration TLS.
Protocoles par politique
Le tableau suivant décrit les protocoles pris en charge par chaque politique de sécurité FIPS.
| Stratégies de sécurité | TLS 1.3 | TLS 1.2 | TLS 1.1 | TLS 1.0 |
|---|---|---|---|---|
| ELBSecurityPolicy-TLS13-1-3-FIPS-2023-04 | ||||
| ELBSecurityPolicy-TLS13-1-3-FIPS-PQ-2025-09 | ||||
| ELBSecurityPolicy-TLS13-1-2-FIPS-2023-04 | ||||
| ELBSecurityPolicy-TLS13-1-2-FIPS-PQ-2025-09 | ||||
| ELBSecurityPolicy-TLS13-1-2-Res-FIPS-2023-04 | ||||
| ELBSecurityPolicy-TLS13-1-2-Res-FIPS-PQ-2025-09 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext2-FIPS-2023-04 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext2-FIPS-PQ-2025-09 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext1-FIPS-2023-04 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext1-FIPS-PQ-2025-09 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext0-FIPS-2023-04 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext0-FIPS-PQ-2025-09 | ||||
| ELBSecurityPolicy-TLS13-1-1-FIPS-2023-04 | ||||
| ELBSecurityPolicy-TLS13-1-0-FIPS-2023-04 | ||||
| ELBSecurityPolicy-TLS13-1-0-FIPS-PQ-2025-09 |
Chiffrements par politique
Le tableau suivant décrit les chiffrements pris en charge par chaque politique de sécurité FIPS.
| Politique de sécurité | Chiffrements |
|---|---|
|
ELBSecurityPolicy-TLS13-1-3-FIPS-2023-04 ELBSecurityPolicy-TLS13-1-3-FIPS-PQ-2025-09 |
|
|
ELBSecurityPolicy-TLS13-1-2-FIPS-2023-04 ELBSecurityPolicy-TLS13-1-2-FIPS-PQ-2025-09 |
|
|
ELBSecurityPolicy-TLS13-1-2-Res-FIPS-2023-04 ELBSecurityPolicy-TLS13-1-2-Res-FIPS-PQ-2025-09 |
|
|
ELBSecurityPolicy-TLS13-1-2-Ext2-FIPS-2023-04 ELBSecurityPolicy-TLS13-1-2-Ext2-FIPS-PQ-2025-09 |
|
|
ELBSecurityPolicy-TLS13-1-2-Ext1-FIPS-2023-04 ELBSecurityPolicy-TLS13-1-2-Ext1-FIPS-PQ-2025-09 |
|
|
ELBSecurityPolicy-TLS13-1-2-Ext0-FIPS-2023-04 ELBSecurityPolicy-TLS13-1-2-Ext0-FIPS-PQ-2025-09 |
|
| ELBSecurityPolicy-TLS13-1-1-FIPS-2023-04 |
|
|
ELBSecurityPolicy-TLS13-1-0-FIPS-2023-04 ELBSecurityPolicy-TLS13-1-0-FIPS-PQ-2025-09 |
|
Politiques par chiffrement
Le tableau suivant décrit les politiques de sécurité FIPS qui prennent en charge chaque chiffrement.
| Nom du code | Stratégies de sécurité | Suite de chiffrement |
|---|---|---|
|
OpenSSL — TLS_AES_128_GCM_SHA256 IANA — TLS_AES_128_GCM_SHA256 |
|
1301 |
|
OpenSSL — TLS_AES_256_GCM_SHA384 IANA — TLS_AES_256_GCM_SHA384 |
|
1302 |
|
OpenSSL — ECDHE-ECDSA-AES128-GCM-SHA256 IANA — TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 |
|
c02b |
|
OpenSSL — ECDHE-RSA-AES128-GCM-SHA256 IANA — TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 |
|
c02f |
|
OpenSSL — ECDHE-ECDSA-AES128-SHA256 IANA — TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 |
|
c023 |
|
OpenSSL — ECDHE-RSA-AES128-SHA256 IANA — TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 |
|
c027 |
|
OpenSSL — ECDHE-ECDSA-AES128-SHA IANA — TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA |
|
c009 |
|
OpenSSL — ECDHE-RSA-AES128-SHA IANA — TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA |
|
c013 |
|
OpenSSL — ECDHE-ECDSA-AES256-GCM-SHA384 IANA — TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 |
|
c02c |
|
OpenSSL — ECDHE-RSA-AES256-GCM-SHA384 IANA — TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 |
|
c030 |
|
OpenSSL — ECDHE-ECDSA-AES256-SHA384 IANA — TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 |
|
c024 |
|
OpenSSL — ECDHE-RSA-AES256-SHA384 IANA — TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 |
|
c028 |
|
OpenSSL — ECDHE-ECDSA-AES256-SHA IANA — TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA |
|
c00a |
|
OpenSSL — ECDHE-RSA-AES256-SHA IANA — TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA |
|
c014 |
|
OpenSSL — AES128-GCM-SHA256 IANA — TLS_RSA_WITH_AES_128_GCM_SHA256 |
|
9c |
|
OpenSSL — AES128-SHA256 IANA — TLS_RSA_WITH_AES_128_CBC_SHA256 |
|
3c |
|
OpenSSL — AES128-SHA IANA — TLS_RSA_WITH_AES_128_CBC_SHA |
|
2f |
|
OpenSSL — AES256-GCM-SHA384 IANA — TLS_RSA_WITH_AES_256_GCM_SHA384 |
|
9d |
|
OpenSSL — AES256-SHA256 IANA — TLS_RSA_WITH_AES_256_CBC_SHA256 |
|
3d |
|
OpenSSL — AES256-SHA IANA — TLS_RSA_WITH_AES_256_CBC_SHA |
|
35 |
Politiques de sécurité RFC 9151 (CNSA 1.0)
Avec Application Load Balancer, vous pouvez utiliser des politiques de sécurité pour vous conformer à la norme RFC 9151, qui définit les exigences TLS pour la suite Commercial National Security Algorithm (CNSA) 1.0, telles que spécifiées par la National Security Agency (NSA) des États-Unis. La RFC 9151 spécifie comment utiliser la suite CNSA avec les protocoles TLS 1.2 et TLS 1.3, définissant les exigences cryptographiques pour des communications sécurisées répondant aux normes de sécurité gouvernementales. Pour en savoir plus sur la RFC 9151, consultez la RFC 9151
Les politiques RFC 9151 sont disponibles en deux catégories :
Politiques strictes — Appliquez les exigences strictes de chiffrement et de schéma de signature de la RFC 9151. Utilisez-les lorsque tous vos clients peuvent prendre en charge la norme RFC 9151.
Politiques d'interopérabilité : prenez en charge les chiffrements et les schémas de signature conformes à la RFC 9151 et non conformes à la RFC 9151 afin de faciliter une transition progressive vers la conformité à la RFC 9151. Utilisez-les lorsque vous ne savez pas si tous les clients peuvent prendre en charge la norme RFC 9151 ou si vous souhaitez éviter de perturber les clients pendant la transition. Toutes les politiques d'interopérabilité contiennent « INTEROP » dans leur nom de politique.
Nous vous recommandons de commencer par la politique d'interopérabilitéELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP4-FIPS-2023-07, qui prend en charge les clients qui peuvent négocier des algorithmes TLS 1.3, TLS 1.2 ou RFC 9151 stricts, afin de minimiser les perturbations. Vous pouvez progressivement passer à des politiques plus strictes car vos clients peuvent négocier une RFC 9151 stricte. Vous pouvez utiliser les tls_keyexchange champs tls_protocoltls_cipher, et des journaux de connexion ALB pour surveiller la façon dont les clients se connectent.
Important
Lorsque vous sélectionnez une politique de sécurité RFC 9151 pour votre écouteur, l'équilibreur de charge l'utilise ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP4-FIPS-2023-07 pour les connexions dorsales aux cibles et à d'autres services. Cependant, l'équilibreur de charge ne peut garantir ni appliquer la conformité à la RFC 9151 sur les connexions de sortie, y compris les connexions vers des cibles, ou sur les services externes configurés par le client (tels que des fournisseurs d'identité tiers ou des points de terminaison d'authentification).
Il est de votre responsabilité de vous assurer que :
Vos cibles et tous les services externes que vous configurez peuvent prendre en charge les protocoles et les chiffrements de la politique de connexion principale.
Pour une conformité stricte à la RFC 9151 entre l'équilibreur de charge et vos cibles, vos cibles doivent disposer de certificats et de chiffrements conformes à la RFC 9151 mis en œuvre.
Si vos cibles principales ne prennent en charge que TLS 1.0 ou TLS 1.1, les connexions échoueront. Vous devez mettre à jour les protocoles et les chiffrements de vos cibles pour les aligner sur les chiffrements pris en charge par la politique.
ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP4-FIPS-2023-07
Protocoles par politique
Le tableau suivant décrit les protocoles pris en charge par chaque politique de sécurité RFC 9151.
| Stratégies de sécurité | TLS 1.3 | TLS 1.2 | TLS 1.1 | TLS 1.0 |
|---|---|---|---|---|
| ELBSecurityPolicy-TLS13-1-3-RFC9151-FIPS-2023-07 | ||||
| ELBSecurityPolicy-TLS13-1-2-RFC9151-FIPS-2023-07 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext0-RFC9151-FIPS-2023-07 | ||||
| ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP1-FIPS-2023-07 | ||||
| ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP2-FIPS-2023-07 | ||||
| ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP3-FIPS-2023-07 | ||||
| ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP4-FIPS-2023-07 |
Chiffrements par politique
Le tableau suivant décrit les chiffrements pris en charge par chaque politique de sécurité RFC 9151.
| Politique de sécurité | Chiffrements |
|---|---|
| ELBSecurityPolicy-TLS13-1-3-RFC9151-FIPS-2023-07 |
|
| ELBSecurityPolicy-TLS13-1-2-RFC9151-FIPS-2023-07 |
|
| ELBSecurityPolicy-TLS13-1-2-Ext0-RFC9151-FIPS-2023-07 |
|
| ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP1-FIPS-2023-07 |
|
| ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP2-FIPS-2023-07 |
|
| ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP3-FIPS-2023-07 |
|
| ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP4-FIPS-2023-07 |
|
Politiques par chiffrement
Le tableau suivant décrit les politiques de sécurité RFC 9151 qui prennent en charge chaque chiffrement.
| Nom du code | Stratégies de sécurité | Suite de chiffrement |
|---|---|---|
|
OpenSSL — TLS_AES_256_GCM_SHA384 IANA — TLS_AES_256_GCM_SHA384 |
|
1302 |
|
OpenSSL — TLS_AES_128_GCM_SHA256 IANA — TLS_AES_128_GCM_SHA256 |
|
1301 |
|
OpenSSL — ECDHE-ECDSA-AES256-GCM-SHA384 IANA — TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 |
|
c02c |
|
OpenSSL — ECDHE-RSA-AES256-GCM-SHA384 IANA — TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 |
|
c030 |
|
OpenSSL — AES256-GCM-SHA384 IANA — TLS_RSA_WITH_AES_256_GCM_SHA384 |
|
9d |
|
OpenSSL — ECDHE-ECDSA-AES128-GCM-SHA256 IANA — TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 |
|
c02b |
|
OpenSSL — ECDHE-RSA-AES128-GCM-SHA256 IANA — TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 |
|
c02f |
|
OpenSSL — ECDHE-ECDSA-AES256-SHA384 IANA — TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 |
|
c024 |
|
OpenSSL — ECDHE-RSA-AES256-SHA384 IANA — TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 |
|
c028 |
|
OpenSSL — ECDHE-ECDSA-AES128-SHA256 IANA — TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 |
|
c023 |
|
OpenSSL — ECDHE-RSA-AES128-SHA256 IANA — TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 |
|
c027 |
|
OpenSSL — ECDHE-ECDSA-AES256-SHA IANA — TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA |
|
c00a |
|
OpenSSL — ECDHE-RSA-AES256-SHA IANA — TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA |
|
c014 |
|
OpenSSL — ECDHE-ECDSA-AES128-SHA IANA — TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA |
|
c009 |
|
OpenSSL — ECDHE-RSA-AES128-SHA IANA — TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA |
|
c013 |
|
OpenSSL — AES256-SHA256 IANA — TLS_RSA_WITH_AES_256_CBC_SHA256 |
|
3d |
|
OpenSSL — AES256-SHA IANA — TLS_RSA_WITH_AES_256_CBC_SHA |
|
35 |
|
OpenSSL — AES128-GCM-SHA256 IANA — TLS_RSA_WITH_AES_128_GCM_SHA256 |
|
9c |
|
OpenSSL — AES128-SHA256 IANA — TLS_RSA_WITH_AES_128_CBC_SHA256 |
|
3c |
|
OpenSSL — AES128-SHA IANA — TLS_RSA_WITH_AES_128_CBC_SHA |
|
2f |
Politiques FS prises en charge
Les politiques de sécurité prises en charge par FS (Forward Secrecy) fournissent des garanties supplémentaires contre l'écoute des données cryptées, grâce à l'utilisation d'une clé de session aléatoire unique. Cela empêche le décodage des données capturées, même si la clé secrète à long terme est compromise.
Les politiques de cette section prennent en charge le FS, et le terme « FS » est inclus dans leurs noms. Cependant, ce ne sont pas les seules politiques qui prennent en charge FS. Les politiques qui ne prennent en charge que TLS 1.3 prennent en charge FS. Les politiques qui prennent en charge TLS 1.3 et TLS 1.2 qui ne comportent que des chiffrements de la forme TLS_* et ECDHE_* fournissent également FS.
Protocoles par politique
Le tableau suivant décrit les protocoles pris en charge par chaque politique de sécurité prise en charge par FS.
| Stratégies de sécurité | TLS 1.3 | TLS 1.2 | TLS 1.1 | TLS 1.0 |
|---|---|---|---|---|
| ELBSecurityPolicy-FS-1-2-Res-2020-10 | ||||
| ELBSecurityPolicy-FS-1-2-Res-2019-08 | ||||
| ELBSecurityPolicy-FS-1-2-2019-08 | ||||
| ELBSecurityPolicy-FS-1-1-2019-08 | ||||
| ELBSecurityPolicy-FS-2018-06 |
Chiffrements par politique
Le tableau suivant décrit les chiffrements pris en charge par chaque politique de sécurité prise en charge par FS.
| Politique de sécurité | Chiffrements |
|---|---|
| ELBSecurityPolicy-FS-1-2-Res-2020-10 |
|
| ELBSecurityPolicy-FS-1-2-Res-2019-08 |
|
| ELBSecurityPolicy-FS-1-2-2019-08 |
|
| ELBSecurityPolicy-FS-1-1-2019-08 |
|
| ELBSecurityPolicy-FS-2018-06 |
|
Politiques par chiffrement
Le tableau suivant décrit les politiques de sécurité prises en charge par FS qui prennent en charge chaque chiffrement.
| Nom du code | Stratégies de sécurité | Suite de chiffrement |
|---|---|---|
|
OpenSSL — ECDHE-ECDSA-AES128-GCM-SHA256 IANA — TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 |
|
c02b |
|
OpenSSL — ECDHE-RSA-AES128-GCM-SHA256 IANA — TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 |
|
c02f |
|
OpenSSL — ECDHE-ECDSA-AES128-SHA256 IANA — TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 |
|
c023 |
|
OpenSSL — ECDHE-RSA-AES128-SHA256 IANA — TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 |
|
c027 |
|
OpenSSL — ECDHE-ECDSA-AES128-SHA IANA — TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA |
|
c009 |
|
OpenSSL — ECDHE-RSA-AES128-SHA IANA — TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA |
|
c013 |
|
OpenSSL — ECDHE-ECDSA-AES256-GCM-SHA384 IANA — TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 |
|
c02c |
|
OpenSSL — ECDHE-RSA-AES256-GCM-SHA384 IANA — TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 |
|
c030 |
|
OpenSSL — ECDHE-ECDSA-AES256-SHA384 IANA — TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 |
|
c024 |
|
OpenSSL — ECDHE-RSA-AES256-SHA384 IANA — TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 |
|
c028 |
|
OpenSSL — ECDHE-ECDSA-AES256-SHA IANA — TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA |
|
c00a |
|
OpenSSL — ECDHE-RSA-AES256-SHA IANA — TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA |
|
c014 |
