Segurança de certificados SSL em descarregamento de ELBs / SSL da AWS

Question

Tenho algumas dúvidas sobre segurança e estou me perguntando como a AWS armazenará um certificado SSL implantado em um ELB. Eu tenho um certificado SSL curinga para o meu domínio que eu quero ter certeza de não persistir em qualquer lugar onde eu não sei os passos dados para protegê-lo.

Estou tentando configurar um servidor de imagens realmente simples na AWS que atende a HTTPS. O que eu fiz foi criar um servidor nginx em um micro T2 que faz proxy para um bucket S3 com minhas imagens e colocá-lo atrás de um ELB. Onde esse certificado, no final das contas, persiste se eu colocá-lo no ELB?

Como um sidenote, a AWS realmente suporta o descarregamento de SSL na instância para a qual um ELB aponta? Eu encontrei dicas de que isso é possível em alguma documentação, mas não consegui encontrar nada além dessa dica.

    

Answer 1

Where does that certificate ultimately persist if I put it on the ELB?

Os certificados são armazenados no IAM.

Eles devem ser tão seguros, como as credenciais da sua conta, então isso parece uma preocupação equivocada, para mim, assim que você tiver essa informação.

As instâncias de ELB buscam o certificado, a cadeia e a chave privada do IAM sempre que são inicializadas ou ampliadas.

Note, claro, que garantir o seu "certificado" é um conceito bobo. Seu certificado e a cadeia são públicos. Eles são obedientemente entregues ao navegador da web que faz uma conexão. É assim que o SSL funciona. A parte que precisa ser protegida é, obviamente, a chave privada. Sem isso, seu certificado não pode ser abusado.

E o IAM garante isso. Tanto assim, que nem mesmo você pode recuperá-lo depois de armazená-lo.

Se você decidiu, por qualquer motivo, que queria extrair seu certificado e sua chave privada do IAM ... bem, você não pode.

Você pode listá-los, sobrescrevê-los e excluí-los do banco de dados do IAM, mas nem mesmo o proprietário da conta pode recuperá-los. Eles estão garantidos.

Indiscutivelmente, nas suas instâncias, a chave privada que a acompanha seria menos segura ... mas ...

Você pode permitir que o ELB faça o balanceamento das conexões TCP com as instâncias que estão manipulando o SSL para si mesmas, simplesmente configurando o ouvinte do ELB no modo TCP, em vez de HTTP.

Claro que isso coloca mais trabalho em suas instâncias e não é chamado de "descarregamento" - a terminologia é invertida - essa configuração seria "não descarregada". O descarregamento seria o modo normal - um ELB no modo SSL está fazendo o descarregamento de SSL para a instância - manipulando SSL em vez de as próprias instâncias, manipulando seu próprio SSL.