Calculer Girl
  1. Calculer Girl
  3. Comment protéger les certificates SSL HAProxy en tant que service?
Intereting Posts
Mongodb donne une erreur lors du démarrage Installer et construire la bibliothèque Boost sous Linux org.apache.poi.ss.formula.eval.NotImplementedException: DATEDIF Questions Python virtualenv la migration de postgresql 9.3 à 9.4, postgis Elastic Search Donner une erreur Aucun nœud vivant trouvé dans votre cluster Existe-t-il un serveur Web facile à configurer avec ruby ​​pour Windows? Rabbitmq écoute toutes les interfaces Lancer un script Bash automatiquement lors de la connexion Comment faire fonctionner Node And Apache ensemble dans Amazon EC2? .htaccess permet à l’image d’afficher directement Fermez le programme en script shell avec pkill appeler un emplacement et utiliser le statut d’en-tête réacheminé Extraire uniquement les données si leur date est> en utilisant awk Atsortingbuts de sécurité des fichiers endommagés lors de la copie de fichiers

Comment protéger les certificates SSL HAProxy en tant que service?

J’essaie de concevoir une méthode pour protéger mes certificates SSL HAProxy au repos sur le disque afin que, si l’hôte de l’équilibreur de charge est piraté, les certificates SSL ne soient pas prêts à être utilisés par l’attaquant.

Je me rends compte que les certificates doivent au moins être disponibles en mémoire pour être utilisés par HAProxy pour négocier les connexions SSL. Cependant, je voudrais faire tout ce qui est possible pour garder les certificates sécurisés.

Comment puis-je configurer le répertoire ssl-cert pour qu’il soit protégé et / ou crypté et être disponible pour HAProxy uniquement lorsqu’il a besoin des informations (probablement au démarrage du service)?

Actuellement, je vois deux moyens d’y parvenir.

  1. Utilisez une sorte de chiffrement au niveau du système de fichiers Linux / * nix.

Cela signifie que le script HAProxy init / upstart doit être exécuté pour exiger qu’un mot de passe ou un fichier de clé spécifique existe sur le disque. Ce mot de passe est ensuite utilisé pour extraire les certs d’un fichier d’archive chiffré (par exemple, RAR ou autre?) Dans le répertoire HAProxy / etc / haproxy / certs. Après le démarrage du service HAproxy, utilisez srm le mot de passe / fichier de clé avec le répertoire / etc / haproxy / certs.

  1. Créez une couche de gestion de service API externe qui s’exécute sur un hôte différent (super sécurisé). Ce service stockera les certificates et orchestrera les redémarrages et les rechargements du service d’équilibrage de charge. Ce service synchroniserait le répertoire certs de haproxy, le redémarrer ou le recharger via ssh, puis ssh … srm le répertoire certs pour effacer en toute sécurité le répertoire / etc / haproxy / certs.

J’apprécierais la rétroaction sur ces idées, toute expérience pertinente ou toute autre manière d’atteindre cet objective de sécurité.

Ressources additionnelles:

Voici une question connexe pertinente sur SO concernant HAproxy multi-ssl.

Documentation de terminaison SSL HAProxy

Bien que ce ne soit pas le forum idéal pour votre question, voici une réponse:

Protégez simplement vos certificates SSL avec une phrase secrète.

Au démarrage de HAProxy, votre bibliothèque SSL vous demandera la phrase secrète.

N’oubliez pas que vous devrez taper la phrase secrète chaque fois que vous démarrez / redémarrez HAProxy.