Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Políticas de seguridad para el equilibrador de carga de red
Al crear un agente de escucha TLS, debe seleccionar una política de seguridad. Una política de seguridad determina qué cifrados y protocolos se admiten durante las negociaciones SSL entre el equilibrador de carga y los clientes. Puede actualizar la política de seguridad del equilibrador de carga si cambian sus requisitos, o cuando publicamos una nueva política de seguridad. Para obtener más información, consulte Actualizar la política de seguridad.
Consideraciones
-
Un oyente TLS requiere una política de seguridad. Si no especifica una política de seguridad al crear el oyente, se usará la política de seguridad predeterminada. La política de seguridad predeterminada depende de cómo haya creado el oyente TLS:
-
Consola: la política de seguridad predeterminada es
ELBSecurityPolicy-TLS13-1-2-Res-PQ-2025-09. -
Otros métodos (por ejemplo, el AWS CLI AWS CloudFormation, y el AWS CDK): la política de seguridad predeterminada es
ELBSecurityPolicy-2016-08.
-
-
Las políticas de seguridad que llevan el nombre de PQ ofrecen un intercambio híbrido de claves poscuánticas. Por motivos de compatibilidad, admiten algoritmos de intercambio de ML-KEM claves clásicos y poscuánticos. Los clientes deben respaldar el intercambio de ML-KEM claves para utilizar un TLS poscuántico híbrido para el intercambio de claves. Las políticas poscuánticas híbridas admiten los algoritmos SECP256R1MLKEM768, SECP384R1MLKEM1024 y X25519MLKEM768. Para obtener Post-quantum más información
, consulte Criptografía. -
AWS recomienda implementar la nueva política de seguridad poscuántica basada en TLS (PQ-TLS) o.
ELBSecurityPolicy-TLS13-1-2-Res-PQ-2025-09ELBSecurityPolicy-TLS13-1-2-Res-FIPS-PQ-2025-09Esta política garantiza la compatibilidad con versiones anteriores al apoyar a los clientes capaces de negociar únicamente mediante TLS 1.3 o TLS 1.2 únicamente, lo que reduce al mínimo las interrupciones del servicio durante la transición a la criptografía poscuántica. PQ-TLS Puede migrar progresivamente a políticas de seguridad más restrictivas a medida que las aplicaciones de sus clientes desarrollen la capacidad de negociar las operaciones de intercambio PQ-TLS de claves. -
Las políticas de seguridad con la RFC 9151 en sus nombres le ayudan a cumplir con la RFC 9151, que define los requisitos de TLS para el conjunto de algoritmos de seguridad nacional comercial (CNSA) 1.0, tal como lo especifica la Agencia de Seguridad Nacional (NSA) de los EE. UU. Para facilitar la transición, están disponibles en dos categorías: políticas estrictas que hacen cumplir todos los requisitos del RFC 9151 y políticas de interoperabilidad (que contienen «INTEROP» en su nombre) que admiten tanto los cifrados que cumplen con el RFC 9151 como los que no cumplen con el RFC 9151 para facilitar la transición gradual. AWS recomienda empezar por minimizar las interrupciones y, luego, pasar gradualmente a políticas más
ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP4-FIPS-2023-07estrictas a medida que los clientes cumplan con la RFC 9151. Puede usar lostls_keyexchangecampostls_protocoltls_cipher, y de los registros de acceso de la NLB para supervisar las conexiones de los clientes. Para obtener más información sobre la RFC 9151, consulte la RFC 9151 en el sitio web delIETF. -
Puede habilitar los registros de acceso para obtener información sobre las solicitudes TLS enviadas al equilibrador de carga de red, analizar patrones de tráfico TLS, administrar actualizaciones de políticas de seguridad y solucionar problemas. Habilite el registro de acceso del equilibrador de carga y examine las entradas del registro de acceso correspondientes. Para obtener más información, consulte Registros de acceso y Consultas de ejemplo del equilibrador de carga de red.
-
Para ver la versión del protocolo TLS (posición 5 del campo de registro) y el intercambio de claves (posición 13 del campo de registro) para las solicitudes de acceso a tu balanceador de cargas, habilita el registro de acceso y examina las entradas de registro correspondientes. Para obtener más información, consulte Access logs.
-
Puedes restringir las políticas de seguridad que están disponibles para los usuarios de tu Cuentas de AWS red AWS Organizations mediante las claves de condición de Elastic Load Balancing en tus políticas de IAM y de control de servicios (SCP), respectivamente. Para obtener más información, consulte Políticas de control de servicios (SCP) en la Guía del usuario de AWS Organizations .
-
Las políticas que admiten únicamente TLS 1.3 son compatibles con el secreto directo (FS). Las políticas que admiten TLS 1.3 y TLS 1.2 y que incluyen únicamente cifrados de la forma TLS_* y ECDHE_* también proporcionan secreto directo (FS).
-
Los equilibradores de carga de red admiten la extensión Extended Master Secret (EMS) para TLS 1.2.
Conexiones de back-end
Puede seleccionar la política de seguridad que se utiliza para las conexiones frontend, pero no para las conexiones backend. La política de seguridad para las conexiones de fondo depende de la política de seguridad del oyente. Si alguno de tus oyentes usa:
-
Política RFC 9151 (incluida cualquier política de interoperabilidad): uso de conexiones de backend
ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP4-FIPS-2023-07 -
Política TLS poscuántica de FIPS: uso de conexiones de backend
ELBSecurityPolicy-TLS13-1-0-FIPS-PQ-2025-09 -
Política FIPS: uso de conexiones de backend
ELBSecurityPolicy-TLS13-1-0-FIPS-2023-04 -
Post-quantum Política TLS: uso de conexiones de backend
ELBSecurityPolicy-TLS13-1-0-PQ-2025-09 -
Política TLS 1.3: uso de conexiones de backend
ELBSecurityPolicy-TLS13-1-0-2021-06 -
Otra política de TLS: uso de conexiones de backend
ELBSecurityPolicy-2016-08
Puede describir los protocolos y cifrados mediante el comando describe-ssl-policies de la AWS CLI , o bien consultar las tablas siguientes.
Políticas de seguridad
Políticas de seguridad de TLS
Puede utilizar las políticas de seguridad de TLS para ajustarse a los estándares de seguridad y conformidad que requieren que se deshabiliten ciertas versiones del protocolo TLS, o bien para admitir clientes heredados que requieren cifrados obsoletos.
Las políticas que admiten únicamente TLS 1.3 son compatibles con el secreto directo (FS). Las políticas que admiten TLS 1.3 y TLS 1.2 y que incluyen únicamente cifrados de la forma TLS_* y ECDHE_* también proporcionan secreto directo (FS).
Protocolos por política
En la siguiente tabla se detallan los protocolos que admite cada política de seguridad TLS.
| Políticas de seguridad | TLS 1.3 | TLS 1.2 | TLS 1.1 | TLS 1.0 |
|---|---|---|---|---|
| ELBSecurityPolicy-TLS13-1-3-2021-06 | ||||
| ELBSecurityPolicy-TLS13-1-3-PQ-2025-09 | ||||
| ELBSecurityPolicy-TLS13-1-2-2021-06 | ||||
| ELBSecurityPolicy-TLS13-1-2-PQ-2025-09 | ||||
| ELBSecurityPolicy-TLS13-1-2-Res-2021-06 | ||||
| ELBSecurityPolicy-TLS13-1-2-Res-PQ-2025-09 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext2-2021-06 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext2-PQ-2025-09 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext1-2021-06 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext1-PQ-2025-09 | ||||
| ELBSecurityPolicy-TLS13-1-1-2021-06 | ||||
| ELBSecurityPolicy-TLS13-1-0-2021-06 | ||||
| ELBSecurityPolicy-TLS13-1-0-PQ-2025-09 | ||||
| ELBSecurityPolicy-TLS-1-2-Ext-2018-06 | ||||
| ELBSecurityPolicy-TLS-1-2-2017-01 | ||||
| ELBSecurityPolicy-TLS-1-1-2017-01 | ||||
| ELBSecurityPolicy-2016-08 | ||||
| ELBSecurityPolicy-2015-05 |
Cifrados por política
En la siguiente tabla se detallan los cifrados que admite cada política de seguridad TLS.
| Política de seguridad | Cifrados |
|---|---|
|
ELBSecurityPolicy-TLS13-1-3-2021-06 ELBSecurityPolicy-TLS13-1-3-PQ-2025-09 |
|
|
ELBSecurityPolicy-TLS13-1-2-2021-06 ELBSecurityPolicy-TLS13-1-2-PQ-2025-09 |
|
|
ELBSecurityPolicy-TLS13-1-2-Res-2021-06 ELBSecurityPolicy-TLS13-1-2-Res-PQ-2025-09 |
|
|
ELBSecurityPolicy-TLS13-1-2-Ext2-2021-06 ELBSecurityPolicy-TLS13-1-2-Ext2-PQ-2025-09 |
|
|
ELBSecurityPolicy-TLS13-1-2-Ext1-2021-06 ELBSecurityPolicy-TLS13-1-2-Ext1-PQ-2025-09 |
|
| ELBSecurityPolicy-TLS13-1-1-2021-06 |
|
|
ELBSecurityPolicy-TLS13-1-0-2021-06 ELBSecurityPolicy-TLS13-1-0-PQ-2025-09 |
|
| ELBSecurityPolicy-TLS-1-2-Ext-2018-06 |
|
| ELBSecurityPolicy-TLS-1-2-2017-01 |
|
| ELBSecurityPolicy-TLS-1-1-2017-01 |
|
| ELBSecurityPolicy-2016-08 |
|
| ELBSecurityPolicy-2015-05 |
|
Políticas por cifrado
En la siguiente tabla se detallan las políticas de seguridad TLS que admiten cada cifrado.
| Nombre del cifrado | Políticas de seguridad | Conjunto de cifrado |
|---|---|---|
|
OpenSSL: TLS_AES_128_GCM_SHA256 IANA: TLS_AES_128_GCM_SHA256 |
|
1301 |
|
OpenSSL: TLS_AES_256_GCM_SHA384 IANA: TLS_AES_256_GCM_SHA384 |
|
1302 |
|
OpenSSL: TLS_CHACHA20_POLY1305_SHA256 IANA: TLS_CHACHA20_POLY1305_SHA256 |
|
1303 |
|
OpenSSL — ECDHE-ECDSA-AES128-GCM-SHA256 IANA: TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 |
|
c02b |
|
OpenSSL — ECDHE-RSA-AES128-GCM-SHA256 IANA: TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 |
|
c02f |
|
OpenSSL — ECDHE-ECDSA-AES128-SHA256 IANA: TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 |
|
c023 |
|
OpenSSL — ECDHE-RSA-AES128-SHA256 IANA: TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 |
|
c027 |
|
OpenSSL — ECDHE-ECDSA-AES128-SHA IANA: TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA |
|
c009 |
|
OpenSSL — ECDHE-RSA-AES128-SHA IANA: TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA |
|
c013 |
|
OpenSSL — ECDHE-ECDSA-AES256-GCM-SHA384 IANA: TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 |
|
c02c |
|
OpenSSL — ECDHE-RSA-AES256-GCM-SHA384 IANA: TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 |
|
c030 |
|
OpenSSL — ECDHE-ECDSA-AES256-SHA384 IANA: TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 |
|
c024 |
|
OpenSSL — ECDHE-RSA-AES256-SHA384 IANA: TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 |
|
c028 |
|
OpenSSL — ECDHE-ECDSA-AES256-SHA IANA: TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA |
|
c00a |
|
OpenSSL — ECDHE-RSA-AES256-SHA IANA: TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA |
|
c014 |
|
OpenSSL — AES128-GCM-SHA256 IANA: TLS_RSA_WITH_AES_128_GCM_SHA256 |
|
9c |
|
OpenSSL — AES128-SHA256 IANA: TLS_RSA_WITH_AES_128_CBC_SHA256 |
|
3c |
|
OpenSSL — AES128-SHA IANA: TLS_RSA_WITH_AES_128_CBC_SHA |
|
2f |
|
OpenSSL — AES256-GCM-SHA384 IANA: TLS_RSA_WITH_AES_256_GCM_SHA384 |
|
9d |
|
OpenSSL — AES256-SHA256 IANA: TLS_RSA_WITH_AES_256_CBC_SHA256 |
|
3d |
|
OpenSSL — AES256-SHA IANA: TLS_RSA_WITH_AES_256_CBC_SHA |
|
35 |
Políticas de seguridad FIPS
El Estándar de procesamiento de la información federal (FIPS) es un estándar de seguridad de los gobiernos de EE. UU. y Canadá que especifica los requisitos de seguridad de los módulos criptográficos que protegen información confidencial. Para obtener más información, consulte Estándar de procesamiento de la información federal (FIPS) 140
Todas las políticas de FIPS aprovechan el módulo criptográfico validado por AWS-LC FIPS. Para obtener más información, consulte la página del módulo
importante
Las políticas ELBSecurityPolicy-TLS13-1-1-FIPS-2023-04 y ELBSecurityPolicy-TLS13-1-0-FIPS-2023-04 se proporcionan únicamente para ofrecer compatibilidad con versiones heredadas. Si bien utilizan criptografía FIPS mediante el módulo FIPS140, es posible que no se ajusten a las directrices más recientes del NIST para la configuración de TLS.
Protocolos por política
En la siguiente tabla se detallan los protocolos que admite cada política de seguridad FIPS.
| Políticas de seguridad | TLS 1.3 | TLS 1.2 | TLS 1.1 | TLS 1.0 |
|---|---|---|---|---|
| ELBSecurityPolicy-TLS13-1-3-FIPS-2023-04 | ||||
| ELBSecurityPolicy-TLS13-1-3-FIPS-PQ-2025-09 | ||||
| ELBSecurityPolicy-TLS13-1-2-FIPS-2023-04 | ||||
| ELBSecurityPolicy-TLS13-1-2-FIPS-PQ-2025-09 | ||||
| ELBSecurityPolicy-TLS13-1-2-Res-FIPS-2023-04 | ||||
| ELBSecurityPolicy-TLS13-1-2-Res-FIPS-PQ-2025-09 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext2-FIPS-2023-04 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext2-FIPS-PQ-2025-09 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext1-FIPS-2023-04 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext1-FIPS-PQ-2025-09 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext0-FIPS-2023-04 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext0-FIPS-PQ-2025-09 | ||||
| ELBSecurityPolicy-TLS13-1-1-FIPS-2023-04 | ||||
| ELBSecurityPolicy-TLS13-1-0-FIPS-2023-04 | ||||
| ELBSecurityPolicy-TLS13-1-0-FIPS-PQ-2025-09 |
Cifrados por política
En la siguiente tabla se detallan los cifrados que admite cada política de seguridad FIPS.
| Política de seguridad | Cifrados |
|---|---|
|
ELBSecurityPolicy-TLS13-1-3-FIPS-2023-04 ELBSecurityPolicy-TLS13-1-3-FIPS-PQ-2025-09 |
|
|
ELBSecurityPolicy-TLS13-1-2-FIPS-2023-04 ELBSecurityPolicy-TLS13-1-2-FIPS-PQ-2025-09 |
|
|
ELBSecurityPolicy-TLS13-1-2-Res-FIPS-2023-04 ELBSecurityPolicy-TLS13-1-2-Res-FIPS-PQ-2025-09 |
|
|
ELBSecurityPolicy-TLS13-1-2-Ext2-FIPS-2023-04 ELBSecurityPolicy-TLS13-1-2-Ext2-FIPS-PQ-2025-09 |
|
|
ELBSecurityPolicy-TLS13-1-2-Ext1-FIPS-2023-04 ELBSecurityPolicy-TLS13-1-2-Ext1-FIPS-PQ-2025-09 |
|
|
ELBSecurityPolicy-TLS13-1-2-Ext0-FIPS-2023-04 ELBSecurityPolicy-TLS13-1-2-Ext0-FIPS-PQ-2025-09 |
|
| ELBSecurityPolicy-TLS13-1-1-FIPS-2023-04 |
|
|
ELBSecurityPolicy-TLS13-1-0-FIPS-2023-04 ELBSecurityPolicy-TLS13-1-0-FIPS-PQ-2025-09 |
|
Políticas por cifrado
En la siguiente tabla se detallan las políticas de seguridad FIPS que admiten cada cifrado.
| Nombre del cifrado | Políticas de seguridad | Conjunto de cifrado |
|---|---|---|
|
OpenSSL: TLS_AES_128_GCM_SHA256 IANA: TLS_AES_128_GCM_SHA256 |
|
1301 |
|
OpenSSL: TLS_AES_256_GCM_SHA384 IANA: TLS_AES_256_GCM_SHA384 |
|
1302 |
|
OpenSSL — ECDHE-ECDSA-AES128-GCM-SHA256 IANA: TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 |
|
c02b |
|
OpenSSL — ECDHE-RSA-AES128-GCM-SHA256 IANA: TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 |
|
c02f |
|
OpenSSL — ECDHE-ECDSA-AES128-SHA256 IANA: TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 |
|
c023 |
|
OpenSSL — ECDHE-RSA-AES128-SHA256 IANA: TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 |
|
c027 |
|
OpenSSL — ECDHE-ECDSA-AES128-SHA IANA: TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA |
|
c009 |
|
OpenSSL — ECDHE-RSA-AES128-SHA IANA: TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA |
|
c013 |
|
OpenSSL — ECDHE-ECDSA-AES256-GCM-SHA384 IANA: TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 |
|
c02c |
|
OpenSSL — ECDHE-RSA-AES256-GCM-SHA384 IANA: TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 |
|
c030 |
|
OpenSSL — ECDHE-ECDSA-AES256-SHA384 IANA: TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 |
|
c024 |
|
OpenSSL — ECDHE-RSA-AES256-SHA384 IANA: TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 |
|
c028 |
|
OpenSSL — ECDHE-ECDSA-AES256-SHA IANA: TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA |
|
c00a |
|
OpenSSL — ECDHE-RSA-AES256-SHA IANA: TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA |
|
c014 |
|
OpenSSL — AES128-GCM-SHA256 IANA: TLS_RSA_WITH_AES_128_GCM_SHA256 |
|
9c |
|
OpenSSL — AES128-SHA256 IANA: TLS_RSA_WITH_AES_128_CBC_SHA256 |
|
3c |
|
OpenSSL — AES128-SHA IANA: TLS_RSA_WITH_AES_128_CBC_SHA |
|
2f |
|
OpenSSL — AES256-GCM-SHA384 IANA: TLS_RSA_WITH_AES_256_GCM_SHA384 |
|
9d |
|
OpenSSL — AES256-SHA256 IANA: TLS_RSA_WITH_AES_256_CBC_SHA256 |
|
3d |
|
OpenSSL — AES256-SHA IANA: TLS_RSA_WITH_AES_256_CBC_SHA |
|
35 |
Políticas de seguridad según la RFC 9151 (CNSA 1.0)
Network Load Balancer admite políticas de seguridad que ayudan a cumplir con la RFC 9151, que define los requisitos de TLS para el conjunto de algoritmos de seguridad nacional comercial (CNSA) 1.0 según lo especificado por la Agencia de Seguridad Nacional (NSA) de los EE. UU. El RFC 9151 especifica cómo usar la suite CNSA con los protocolos TLS 1.2 y TLS 1.3, y define los requisitos criptográficos para unas comunicaciones seguras que cumplan con los estándares de seguridad gubernamentales. Para obtener más información sobre la RFC 9151, consulte la RFC 9151. https://datatracker.ietf.org/doc/html/rfc9151
Las políticas de la RFC 9151 están disponibles en dos categorías:
-
Políticas estrictas: aplique los estrictos requisitos del esquema de cifrado y firma según la RFC 9151. Utilícelas cuando todos sus clientes puedan admitir la RFC 9151.
-
Políticas de interoperabilidad: admiten esquemas de cifrado y firma que cumplan con la RFC 9151 y que no cumplan con la RFC 9151 para facilitar una transición gradual hacia la conformidad con la RFC 9151. Utilícelas cuando no esté seguro de si todos los clientes pueden admitir la RFC 9151, o si quiere evitar molestar a los clientes durante la transición. Todas las políticas de interoperabilidad contienen la palabra «INTEROP» en el nombre de la política.
AWS recomienda comenzar con la política de interoperabilidadELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP4-FIPS-2023-07, que permite a los clientes negociar los algoritmos TLS 1.3, TLS 1.2 clásicos o los estrictos algoritmos RFC 9151, con el fin de minimizar las interrupciones. Puede pasar gradualmente a políticas más estrictas a medida que sus clientes admitan los algoritmos que cumplen con la RFC 9151. Puede aprovechar los tls_keyexchange campos tls_protocoltls_cipher, y de los registros de acceso de NLB para supervisar cómo se conectan los clientes.
importante
Cuando seleccionas una política de seguridad según la RFC 9151 para tu oyente, el balanceador de cargas la utiliza ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP4-FIPS-2023-07 para las conexiones de backend a los destinos y otros servicios. Sin embargo, el balanceador de cargas no puede garantizar ni hacer cumplir la RFC 9151 en las conexiones de salida, incluidas las conexiones a destinos, ni en los servicios externos configurados por el cliente (como los proveedores de identidad de terceros o los puntos finales de autenticación).
Es tu responsabilidad garantizar lo siguiente:
-
Tus destinos y cualquier servicio externo que configures pueden admitir los protocolos y los cifrados de la política de conexión al back-end.
-
Para cumplir estrictamente con la RFC 9151 entre el balanceador de cargas y tus destinos, estos deben tener implementados certificados y cifrados que cumplan con la RFC 9151.
-
Si tus destinos de backend solo admiten TLS 1.0 o TLS 1.1, las conexiones fallarán. Debes actualizar los protocolos y los cifrados de tus destinos para que coincidan con los cifrados admitidos por la política.
ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP4-FIPS-2023-07
Protocolos por política
En la siguiente tabla se describen los protocolos que admite cada política de seguridad de la RFC 9151.
| Políticas de seguridad | TLS 1.3 | TLS 1.2 | TLS 1.1 | TLS 1.0 |
|---|---|---|---|---|
| ELBSecurityPolicy-TLS13-1-3-RFC9151-FIPS-2023-07 | ||||
| ELBSecurityPolicy-TLS13-1-2-RFC9151-FIPS-2023-07 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext0-RFC9151-FIPS-2023-07 | ||||
| ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP1-FIPS-2023-07 | ||||
| ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP2-FIPS-2023-07 | ||||
| ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP3-FIPS-2023-07 | ||||
| ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP4-FIPS-2023-07 |
Cifrados por política
En la siguiente tabla se describen los cifrados que admite cada política de seguridad de la RFC 9151.
| Política de seguridad | Cifrados |
|---|---|
| ELBSecurityPolicy-TLS13-1-3-RFC9151-FIPS-2023-07 |
|
| ELBSecurityPolicy-TLS13-1-2-RFC9151-FIPS-2023-07 |
|
| ELBSecurityPolicy-TLS13-1-2-Ext0-RFC9151-FIPS-2023-07 |
|
| ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP1-FIPS-2023-07 |
|
| ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP2-FIPS-2023-07 |
|
| ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP3-FIPS-2023-07 |
|
| ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP4-FIPS-2023-07 |
|
Políticas por cifrado
En la tabla siguiente se describen las políticas de seguridad de la RFC 9151 que admiten cada cifrado.
| Nombre del cifrado | Políticas de seguridad | Conjunto de cifrado |
|---|---|---|
|
OpenSSL: TLS_AES_256_GCM_SHA384 IANA: TLS_AES_256_GCM_SHA384 |
|
1302 |
|
OpenSSL: TLS_AES_128_GCM_SHA256 IANA: TLS_AES_128_GCM_SHA256 |
|
1301 |
|
OpenSSL — ECDHE-ECDSA-AES256-GCM-SHA384 IANA: TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 |
|
c02c |
|
OpenSSL — ECDHE-RSA-AES256-GCM-SHA384 IANA: TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 |
|
c030 |
|
OpenSSL — AES256-GCM-SHA384 IANA: TLS_RSA_WITH_AES_256_GCM_SHA384 |
|
9d |
|
OpenSSL — ECDHE-ECDSA-AES128-GCM-SHA256 IANA: TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 |
|
c02b |
|
OpenSSL — ECDHE-RSA-AES128-GCM-SHA256 IANA: TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 |
|
c02f |
|
OpenSSL — ECDHE-ECDSA-AES256-SHA384 IANA: TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 |
|
c024 |
|
OpenSSL — ECDHE-RSA-AES256-SHA384 IANA: TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 |
|
c028 |
|
OpenSSL — ECDHE-ECDSA-AES128-SHA256 IANA: TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 |
|
c023 |
|
OpenSSL — ECDHE-RSA-AES128-SHA256 IANA: TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 |
|
c027 |
|
OpenSSL — ECDHE-ECDSA-AES256-SHA IANA: TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA |
|
c00a |
|
OpenSSL — ECDHE-RSA-AES256-SHA IANA: TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA |
|
c014 |
|
OpenSSL — ECDHE-ECDSA-AES128-SHA IANA: TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA |
|
c009 |
|
OpenSSL — ECDHE-RSA-AES128-SHA IANA: TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA |
|
c013 |
|
OpenSSL — AES256-SHA256 IANA: TLS_RSA_WITH_AES_256_CBC_SHA256 |
|
3d |
|
OpenSSL — AES256-SHA IANA: TLS_RSA_WITH_AES_256_CBC_SHA |
|
35 |
|
OpenSSL — AES128-GCM-SHA256 IANA: TLS_RSA_WITH_AES_128_GCM_SHA256 |
|
9c |
|
OpenSSL — AES128-SHA256 IANA: TLS_RSA_WITH_AES_128_CBC_SHA256 |
|
3c |
|
OpenSSL — AES128-SHA IANA: TLS_RSA_WITH_AES_128_CBC_SHA |
|
2f |
Políticas de seguridad FS admitidas
Las políticas de seguridad compatibles con FS (secreto hacia adelante) proporcionan protecciones adicionales contra el espionaje de datos cifrados mediante el uso de una clave de sesión aleatoria única. Esto impide la decodificación de los datos capturados, incluso si la clave secreta a largo plazo se ve comprometida.
Las políticas de esta sección son compatibles con el secreto directo (FS) y “FS” está incluido en sus nombres. Sin embargo, estas no son las únicas políticas que admiten secreto directo (FS). Las políticas que admiten únicamente TLS 1.3 son compatibles con el secreto directo (FS). Las políticas que admiten TLS 1.3 y TLS 1.2 y que incluyen únicamente cifrados de la forma TLS_* y ECDHE_* también proporcionan secreto directo (FS).
Protocolos por política
En la siguiente tabla se detallan los protocolos que admite cada política de seguridad FS admitida.
| Políticas de seguridad | TLS 1.3 | TLS 1.2 | TLS 1.1 | TLS 1.0 |
|---|---|---|---|---|
| ELBSecurityPolicy-FS-1-2-Res-2020-10 | ||||
| ELBSecurityPolicy-FS-1-2-Res-2019-08 | ||||
| ELBSecurityPolicy-FS-1-2-2019-08 | ||||
| ELBSecurityPolicy-FS-1-1-2019-08 | ||||
| ELBSecurityPolicy-FS-2018-06 |
Cifrados por política
En la siguiente tabla se detallan los cifrados que admite cada política de seguridad FS admitida.
| Política de seguridad | Cifrados |
|---|---|
| ELBSecurityPolicy-FS-1-2-Res-2020-10 |
|
| ELBSecurityPolicy-FS-1-2-Res-2019-08 |
|
| ELBSecurityPolicy-FS-1-2-2019-08 |
|
| ELBSecurityPolicy-FS-1-1-2019-08 |
|
| ELBSecurityPolicy-FS-2018-06 |
|
Políticas por cifrado
En la siguiente tabla se detallan las políticas de seguridad FS admitidas que admiten cada cifrado.
| Nombre del cifrado | Políticas de seguridad | Conjunto de cifrado |
|---|---|---|
|
OpenSSL — ECDHE-ECDSA-AES128-GCM-SHA256 IANA: TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 |
|
c02b |
|
OpenSSL — ECDHE-RSA-AES128-GCM-SHA256 IANA: TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 |
|
c02f |
|
OpenSSL — ECDHE-ECDSA-AES128-SHA256 IANA: TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 |
|
c023 |
|
OpenSSL — ECDHE-RSA-AES128-SHA256 IANA: TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 |
|
c027 |
|
OpenSSL — ECDHE-ECDSA-AES128-SHA IANA: TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA |
|
c009 |
|
OpenSSL — ECDHE-RSA-AES128-SHA IANA: TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA |
|
c013 |
|
OpenSSL — ECDHE-ECDSA-AES256-GCM-SHA384 IANA: TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 |
|
c02c |
|
OpenSSL — ECDHE-RSA-AES256-GCM-SHA384 IANA: TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 |
|
c030 |
|
OpenSSL — ECDHE-ECDSA-AES256-SHA384 IANA: TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 |
|
c024 |
|
OpenSSL — ECDHE-RSA-AES256-SHA384 IANA: TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 |
|
c028 |
|
OpenSSL — ECDHE-ECDSA-AES256-SHA IANA: TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA |
|
c00a |
|
OpenSSL — ECDHE-RSA-AES256-SHA IANA: TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA |
|
c014 |
