在AWS API Gateway中，如何限制HTTPS密码套件只使用提供完美前向保密性的密码套件？

Question

4

我们希望使用API网关，并且希望实现完美前向保密（https://en.wikipedia.org/wiki/Forward_secrecy）。

其中一种方法是通过限制在HTTPS/TLS1.2连接中可用的密码套件，仅基于Diffie Hellman的密码套件（不允许RSA）来实现。是否有一种方法可以在API网关中限制密码套件？

或者，是否有一种方法可以配置API网关，使其不终止HTTPS，而是将其转发到AWS负载均衡器（因为AWS负载均衡器支持限制密码套件）？

我的研究表明，API Gateway允许使用不支持完美前向保密的密码套件进行HTTPS连接。

谢谢！

- Mike Janzen

2个回答

2

AWS宣布边缘优化API Gateway实现现在可以配置TLS版本和密码套件：

- user9371259

4

请注意，即使您可以更改安全策略，也无法更改AWS默认的加密套件。非PFS加密套件仍然会显示为受到您端点支持。 - Sufiyan Ghori

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- vcsjones · Accepted Answer

有没有办法限制API网关中的密码协议？

据我所知，没有。 API Gateway似乎由CloudFront支持，后者也不允许TLS密码套件配置。

或者，有没有一种方法可以配置API网关，使其不终止HTTPS，而是将其转发到AWS负载均衡器

不可以，它无法进行TCP透传。

我的研究表明，API Gateway允许使用不支持完全前向保密性的密码协议进行HTTPS连接

是的。并非所有浏览器/用户代理程序都支持临时密钥，并且API Gateway需要支持所有这些代理（尽管该列表随着旧代理的消失而变得越来越小）。

API Gateway被配置为优先使用支持ECDHE的密码套件，因此，如果浏览器/用户代理支持ECDHE，则很可能会使用它。

如果您绝对必须限制密码协议套件的支持以提供FS，则必须找到其他解决方案，而不是API Gateway，或者在API Gateway之前放置反向代理，以确保使用FS，并找出一种仅限制API网关仅接受来自反向代理的连接的方法。