Questão de Segurança da Informação — TLS, SSL e HTTPS — FCC 2025

SSL Offloading: terminação TLS no balanceador de carga

Gabarito: letra C. No SSL Offloading, o balanceador de carga realiza a terminação SSL/TLS: ele descriptografa as solicitações do cliente, encaminha os dados em texto claro para o servidor backend e recriptografa a resposta antes de devolvê-la ao cliente. Essa é a definição clássica do mecanismo, que transfere o custo computacional da criptografia do servidor de aplicação para o balanceador.

O SSL Offloading (ou terminação SSL/TLS) é uma técnica usada para aliviar a carga de processamento criptográfico dos servidores de backend. Em vez de cada servidor de aplicação gastar CPU para criptografar e descriptografar cada requisição, o balanceador de carga — que fica na frente deles — assume essa tarefa. O fluxo é: o cliente estabelece uma conexão HTTPS com o balanceador; o balanceador faz o handshake TLS, descriptografa o tráfego e o encaminha ao backend em texto claro (geralmente via HTTP); o backend processa a requisição e devolve a resposta em texto claro; o balanceador, então, recriptografa a resposta e a envia ao cliente. Isso é possível porque o balanceador possui o certificado digital e a chave privada do serviço.

A principal vantagem é o ganho de desempenho: o backend não precisa lidar com a sobrecarga da criptografia, podendo processar mais requisições. Além disso, o balanceador pode inspecionar o tráfego descriptografado para aplicar regras de segurança, como WAF (Web Application Firewall). Por outro lado, há uma desvantagem de segurança: o tráfego entre o balanceador e o backend trafega em texto claro, o que pode ser um risco se a rede interna não for confiável. Para mitigar isso, muitas vezes se usa uma rede isolada ou se mantém a criptografia até o backend (SSL passthrough), mas aí não há offloading.

A banca explora exatamente a confusão entre os papéis: quem faz a criptografia e quem apenas gerencia o tráfego. A alternativa correta descreve o fluxo completo e correto; as demais ou invertem os papéis, ou negam o processamento, ou exageram na eliminação da criptografia. Guarde o fluxo: cliente → balanceador (termina TLS) → backend (texto claro) → balanceador (recriptografa) → cliente. É esse ciclo que separa a alternativa certa das erradas.

Alternativa A — ❌ Incorreta

Afirma que balanceador e backend compartilham as responsabilidades de criptografia e descriptografia. No SSL Offloading, o balanceador assume sozinho a terminação TLS; o backend não participa do processo criptográfico — ele recebe os dados já descriptografados. A ideia de "redundância" não se aplica aqui: o objetivo é justamente centralizar a carga criptográfica no balanceador, não dividi-la.

Alternativa B — ❌ Incorreta

Diz que o balanceador apenas redireciona as conexões criptografadas, sem processamento. Isso descreve o SSL passthrough (ou TCP passthrough), em que o balanceador encaminha o tráfego TLS intacto para o backend, que faz a terminação. No SSL Offloading, o balanceador faz a descriptografia — é exatamente o oposto. A banca troca os conceitos: passthrough ≠ offloading.

Alternativa C — ✅ Correta ⟵ GABARITO

Descreve com precisão o SSL Offloading: o balanceador termina a conexão TLS (descriptografa), envia os dados em texto claro ao backend e recriptografa a resposta antes de devolvê-la ao cliente. É o fluxo canônico da técnica, que alivia o backend do custo criptográfico e permite inspeção do tráfego.

Alternativa D — ❌ Incorreta

Inverte os papéis: afirma que o backend faz toda a criptografia/descriptografia e o balanceador só gerencia o tráfego. Isso é o comportamento de um balanceador comum sem offloading — mas a questão trata especificamente de SSL Offloading, em que o balanceador assume a terminação TLS. O backend, nesse cenário, não lida com criptografia.

Alternativa E — ❌ Incorreta

Diz que o balanceador elimina completamente a criptografia, enviando e recebendo dados em texto simples entre cliente e backend. Isso é falso: a criptografia é mantida entre o cliente e o balanceador (HTTPS). O que trafega em texto claro é apenas o trecho balanceador → backend. Eliminar a criptografia por completo deixaria os dados expostos ao cliente — o que não ocorre.

Gabarito: letra C