允许第三方检查提供PFS的服务器上的SSL/TLS通信量

Question

关于CDN和PFS配置服务器的组合，我有一个问题。

我的一个客户大规模地使用Akamai的CDN服务。大多数客户端应用程序都在纯文本HTTP上。在支付页面上，HTTPS被强制执行，并且只允许提供PFS的密钥交换算法。

我的问题是，如果Akamai必须检查WAF/DDoS缓解解决方案的通信量，他们是否能够解密每个连接的流量，尽管存在PFS？

Answer 1

我不熟悉Akamai的基础设施，但是由于它们是HTTPS连接的端点，所以不需要解密它们自己的通信量。相反，他们可以在他们的系统中的某个地方有一些SSL终端，并且从那时起可以清楚地分析所有的通信量。而且，将WAF功能和WAF服务器集成在一个系统中也并不少见。而且大多数DoS保护都是在第3层和第4层完成的，也就是说，它不关心通信是否加密。因此，我非常怀疑他们是否会试图解密交通，因为有这种更容易和更便宜的交通检查方法。