阿里云负载均衡存在TLS ROBOT Attack

负载均衡（Server Load Balancer）是将访问流量根据转发策略分发到后端多台云服务器（ECS实例）的流量分发控制服务。负载均衡扩展了应用的服务能力，增强了应用的可用性。

阿里云 SLB 的负载均衡：目前有七层和四层

四层和七层监听的请求报文交互情况：

详细信息
抓包环境介绍
47...241：客户端公网IP。
121...252：SLB公网IP。
172...252：后端ECS的内网IP。

TCP四层监听报文
面向连接的协议，在正式收发数据前，必须和对方建立可靠的连接，在网络层可直接看到来源地址。当SLB对流量进行转发时，请求报文仅经过LVS，然后透传到后端服务器（单从入方向的请求来看，SLB的角色与直接绑定在ECS上的EIP角色类似）。
后端服务器报文：直接与客户端公网IP三次握手后，建立TCP连接。
客户端侧报文：与SLB公网IP三次握手后，建立TCP连接。

HTTP七层监听报文
后端服务器不直接与客户端建立连接，SLB只作为反向代理，请求处理过程中，经过LVS与Tengine集群（HTTPS在首次请求时还需要经由Key Server）。
后端服务器报文：TCP连接与SLB回源IP（一般为100段）三次握手后，建立TCP连接。
客户端侧报文：TCP连接与SLB公网IP三次握手后，建立TCP连接。

---

TLS ROBOT

TLS ROBOT存在于传输层安全(TLS)协议，影响使用PKCS #1 v1.5填充的RSA加密和签名的服务器，在该漏洞下，攻击者能够在不获取网站的私钥的前提下，解密通信双方的密文。这是一种自适应的密文选择攻击。

威胁程度：中等
更多参考：The TLS ROBOT Attack

---

目前发生的问题，主要针对的是上面介绍的阿里负载均衡的七层协议，四层协议因为放在后端处理的没有这个漏洞。但采用四层协议的方式，TLS协议处理的话必须在系统内部处理，这样的话必须重新启动客户系统，造成业务中断。

个人建议阿里这边针对TLS协议能够像微软云那样可以进行定制化处理（如下图）：

---

TLS ROBOT Attack 的测试方法和修复方案如下：

检查方法：
https://myssl.com/robot_detect.html

修复方案：
https://blog.myssl.com/robot-attack-detect/