4513-nginx-header-session-pfs-세션 복원 비활성화를 통한 완전 순방향 비밀성 구현 권장¶

규칙 ID¶

완전 순방향 비밀성은 서버의 개인 키가泄露(노출)되더라도 과거의 세션 키가泄露(노출)되지 않도록 하는 암호화 메커니즘입니다. 공격자가 서버에 대한 모든 트래픽을 기록하여 저장한 후, 완전 순방향 비밀성 없이 개인 키를 획득하면 모든 통신이 손상됩니다. 완전 순방향 비밀성을 사용하면 Diffie Hellman을 통해 사용자가 시작하는 각 세션에 대해 세션 키가 생성되므로, 세션泄露(노출)이 해당 통신 세션으로만 격리됩니다. 세션 복원을 허용하면 완전 순방향 비밀성이 깨집니다. 공격자가 이전 세션 및 서버와의 통신을 손상시킬 수 있다면, 이는 공격자의 공격 범위를 확대합니다.

grep -ir ssl_session_tickets /etc/nginx
# 출력에는 다음 내용이 포함되어야 합니다.
ssl_session_tickets off;

ssl_session_tickets off;