HTTPS - Tener TLS configurado en el equilibrador de carga

Question

HTTPS - Tener TLS configurado en el equilibrador de carga

#1 de schroeder (5 votos)

1

Finalmente, estamos moviendo el sitio web de nuestra compañía de HTTP a HTTPS (debido a que Chrome muestra una advertencia No segura para todas las páginas que se sirven a través de HTTP).

En mi experiencia, sé que es mejor tener configurado el protocolo de enlace TLS en los balanceadores de carga, ya que esto eliminará la sobrecarga de los servidores web.

Pero la persona que administra la red me desalentó a configurar HTTPS en balanceadores de carga debido a problemas de seguridad. En pocas palabras, me explicó que los https en nuestros balanceadores de carga ponen a nuestro sitio web en una posición de riesgo, por ejemplo, somos más vulnerables a los ataques de DDOS.

¿Es esto cierto?

¿Cuáles son los inconvenientes de seguridad de tener SSL configurado directamente en el equilibrador de carga y qué sucede si tengo SSL configurado en un servidor web / proxy inverso?

tls

pregunta freedev 14.03.2017 - 15:09

fuente

1 respuesta

Lea otras preguntas en las etiquetas tls

vuln Intercambio de recursos de origen cruzado: origen arbitrario de confianza ¿Cómo detectar si un administrador del sistema lee el correo del CEO desde el servidor de Outlook?

score 5 · Answer 1

He tenido que diseñar este problema.

La descarga de TLS impone una mayor carga en los equilibradores de carga. No solo se llevan la peor parte de todo el tráfico, sino que también tienen que descifrar el tráfico. Si puede realizar la función TLS en el estado del servidor web distribuido, distribuye la carga.

Pero esto NO es un problema de seguridad. Esta es una preocupación de la capacidad del equilibrador de carga. Si sus balanceadores de carga están en una capacidad tal que no pueden manejar TLS, entonces usted está lo suficientemente cerca de un evento DoS que podría no importarle. Es hora de considerar el hardware que está mejor diseñado o que puede manejar una mayor capacidad.

Lo que es es un problema de seguridad: si mantiene el procesamiento TLS en los servidores web, no podrá colocar otra tecnología de protección frente a sus servidores web y después de los equilibradores de carga (como WAF o Cualquier cosa que necesite inspeccionar el tráfico). TLS en los balanceadores de carga significa que puede inspeccionar el tráfico en claro.

Como siempre, existe un equilibrio de seguridad / usabilidad / presupuesto que todos deben atacar. Si su administrador de red dice que TLS romperá los balanceadores de carga (oops), entonces necesita ponerlo en otro lugar.