envoyproxy/envoy

Remove SHA-1 cipher suites from the defaults on the server-side

Open

#5400 aperta il 22 dic 2018

Vedi su GitHub
 (0 commenti) (0 reazioni) (0 assegnatari)C++ (5373 fork)batch import
area/tlshelp wanted

Metriche repository

Star
 (27.997 star)
Metriche merge PR
 (Merge medio 8g) (378 PR mergiate in 30 g)

Descrizione

This is the intent to remove remaining SHA-1 cipher suites (i.e. ECDHE-ECDSA-AES128-SHA, ECDHE-RSA-AES128-SHA, ECDHE-ECDSA-AES256-SHA and ECDHE-RSA-AES256-SHA) from the default cipher suites on the server-side.

This change will affect your deployment if it's using default cipher suites (i.e. not configuring cipher_suites) and it's accepting incoming connections using those cipher suites:

$ curl -s localhost:9901/stats | grep -E "^listener.*.ssl.ciphers..*SHA:"
listener.<address>.ssl.ciphers.ECDHE-ECDSA-AES128-SHA: 1
listener.<address>.ssl.ciphers.ECDHE-ECDSA-AES256-SHA: 1
listener.<address>.ssl.ciphers.ECDHE-RSA-AES128-SHA: 1
listener.<address>.ssl.ciphers.ECDHE-RSA-AES256-SHA: 1

(This works only with Envoy v1.9.0 and newer)

ETA: 1.15 (i.e. ~late 2020)

Guida contributor

Direzione di ricerca
Cerca gli elenchi predefiniti delle suite di cifratura nel codice sorgente di Envoy, probabilmente in `source/common/tls/` o file di configurazione correlati. Determina dove sono definite le suite SHA 1 e rimuovile. Assicurati che la modifica sia coerente con la politica di deprecazione e aggiorna eventuali test. Considera anche le implicazioni lato client.
Tech stack
Nessuno
Dominio
security
Tipo issue
Sicurezza
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
3
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
1-2 giorni
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Datata
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Abbastanza chiara
Prerequisiti
C++SSL/TLS basics
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
55