Tôi đang thực hiện một số nghiên cứu về điều này, vì vậy có bất kỳ rủi ro bảo mật nào nếu chúng tôi có chứng chỉ SSL được cài đặt ở trình cân bằng tải thay vì máy chủ không? và thực tiễn tốt nhất trong ngành để cài đặt chứng chỉ SSL là gì? trên máy chủ, cân bằng tải hoặc ADC?Có rủi ro bảo mật nào không nếu chúng tôi cài đặt Chứng chỉ SSL ở trình cân bằng tải thay vì các máy chủ?
cảm ơn rất nhiều!
Điều này có lẽ tốt hơn trên máy chủ, nhưng tôi sẽ cung cấp cho nó một shot ở đây.
Không tăng nguy cơ bảo mật cho chứng chỉ SSL chỉ vì bạn đặt chứng chỉ SSL trên bộ cân bằng tải, giả sử bộ cân bằng tải được cấu hình đúng và sẽ không phục vụ khóa riêng. Nguy cơ này tồn tại trên bất kỳ máy chủ, cân bằng tải hay không, một hệ điều hành mới thỏa hiệp hoặc tấn công có thể, mặc dù nó không chắc, cho phép điều đó xảy ra.
Tuy nhiên tùy thuộc vào cách bạn thực hiện lưu lượng truy cập phía sau bộ cân bằng tải có thể được gửi không được mã hóa, nếu bộ cân bằng tải chỉ nói HTTP với máy chủ nội dung. Vì vậy, bạn cần định cấu hình các kết nối được chuyển tiếp để sử dụng HTTPS, sử dụng chứng chỉ nội bộ và CA của riêng bạn hoặc bằng cách cài đặt HTTPS cert bên ngoài trên máy chủ nội dung (và bạn sẽ cần thực hiện điều này nếu bạn đang nhắm đến PCI tuân thủ).
Hãy nhớ rằng đó cũng là một nguy cơ tải, mã hóa là tốn kém, và bằng cách đặt cert trên cân bằng tải nó làm tăng, errr, tải, trên đó. Nếu cân bằng tải đã được kéo dài thì đây có thể là rơm cuối cùng. Nếu bạn đang xem xét rất nhiều giao dịch thì bạn có xu hướng nhìn thấy một thiết bị SSL phần cứng đang ngồi trước bộ cân bằng tải, đảm bảo lưu lượng SSL, sau đó nói HTTP với bộ cân bằng tải, nói HTTP với các máy chủ nội dung. (Một lần nữa điều này cần phải được HTTPS nếu bạn đang hướng tới việc tuân thủ PCI)
Dưới đây là ý nghĩa tôi có thể nghĩ ra:
Đối với quản lý chứng chỉ, bạn đang lưu khóa cá nhân trên máy gia tốc SSL thay vì máy chủ. Điều này thực sự có thể là một lợi thế bởi vì nếu máy chủ web bị xâm nhập, kẻ tấn công sẽ vẫn không có quyền truy cập vào khóa riêng và do đó sẽ không thể đánh cắp chúng.
Có nhiều mức cân bằng tải. Bạn không có sự lựa chọn nhưng để đặt cert trong cân bằng tải trong hầu hết các cấu hình phổ biến.
Ví dụ: nếu bạn đang ủy quyền lưu lượng HTTP trong trình cân bằng tải, nó phải chấm dứt kết nối SSL để nó phải có chứng chỉ.
Thông thường, bộ cân bằng tải trong khu vực an toàn, do đó bạn không phải sử dụng SSL giữa cân bằng và máy chủ của mình. Nếu đó không phải là trường hợp, bạn có thể sử dụng SSL một lần nữa nhưng bạn đánh bại mục đích của tính năng tăng tốc SSL trên hầu hết các thiết bị chuyển mạch.
có vẻ như là một câu hỏi về lỗi máy chủ, nhưng dù sao thì cũng có câu trả lời hay - xứng đáng là một sự imho +1 – serg10