如何保護HAProxy SSL證書作爲服務？

Question

我試圖設計一種方法來保護我的HAProxy SSL證書，同時在磁盤上休息，以便如果負載平衡器主機被黑客攻擊，SSL證書不會坐在那裏成熟，攻擊者可以採摘。

我意識到，至少，證書必須在內存中可用才能被HAProxy用來協商SSL連接。不過，我想盡一切可能來保證證書的安全。

如何設置要保護和/或加密的ssl-cert目錄，並僅在需要信息（可能是服務啓動時）纔可用於HAProxy？

目前我看到兩種方式可以實現。

1. 使用某種類型的linux/* nix文件系統級加密。

這意味着改寫（munging）的HAProxy的初始化/新貴腳本需要特定的密碼或者密鑰文件存在於磁盤上。然後使用該密碼從加密存檔文件（例如RAR或其他？）中提取證書到HAProxy/etc/haproxy/certs目錄中。 HAproxy服務開始使用srm密碼/密鑰文件以及/ etc/haproxy/certs目錄。

1. 創建一個外部API服務管理層，該層在不同的（超安全的）主機上運行。此服務將存儲證書並協調負載均衡器服務重新啓動和重新加載。此服務將通過haproxy certs目錄上的rsync，通過ssh重新啓動或重新加載，然後 certs目錄安全擦除/ etc/haproxy/certs目錄。

我希望能夠對這些想法，任何相關經驗或其他任何可以實現此安全目標的方式提供反饋意見。

其他資源：

Here is a relevant related question on SO regarding multi-ssl HAproxy.

HAProxy SSL termination documentation

Answer 1

雖然這不是你的問題的適當論壇，這裏有一個答案：

只需使用密碼保護你的SSL證書。

啓動HAProxy後，您的SSL庫會詢問密碼。

請記住，每次啓動/重新啓動HAProxy時都需要鍵入密碼。