Можно ли настроить наборы шифров, используемые плагином RabbitMQ Management? - PullRequest
Новая
       34

Можно ли настроить наборы шифров, используемые плагином RabbitMQ Management?

0 голосов
/ 12 сентября 2018

У меня запущен экземпляр образа RabbitMQ 3.7.7-management . Он имеет подключаемый модуль rabbitmq-management и настроен на использование HTTPS согласно документации : 

management.listener.port = 15671
management.listener.ssl = true
management.listener.ssl_opts.cacertfile = /path/to/cacert.pem
management.listener.ssl_opts.certfile = /path/to/cert.pem
management.listener.ssl_opts.keyfile = /path/to/key.pem
management.listener.ssl_opts.fail_if_no_peer_cert = false
management.listener.ssl_opts.versions.1 = tlsv1.2

Когда я оцениваю настройку TLS с помощью testssl.sh инструмента тестирования, тест на уязвимость SWEET32 завершается неудачно: 

Testing vulnerabilities

...
SWEET32 (CVE-2016-2183, CVE-2016-6329)    VULNERABLE, uses 64 bit block ciphers
...

OpenVAS Framework также жалуется:

Результат обнаружения уязвимости 

'Vulnerable' cipher suites accepted by this service via the TLSv1.2 protocol:
TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA (SWEET32)
TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA (SWEET32)
TLS_RSA_WITH_3DES_EDE_CBC_SHA (SWEET32)

Тип решения: Смягчение последствий 

The configuration of this services should be changed so that it does not accept the listed cipher suites anymore.

Можно ли настроить, какие наборы шифров будут использоваться плагином управления RabbitMQ? Для RabbitMQ это возможно , но, глядя на rabbitmq_management.schema , кажется, что для модуля управления это невозможно. Или есть другой способ исправить уязвимость?

1 Ответ

0 голосов
/ 14 сентября 2018

Для этого вам понадобится файл advanced.config.Я предполагаю, что вы уже создали /etc/rabbitmq/rabbitmq.conf с настройками, которые вы показываете.Создайте файл /etc/rabbitmq/advanced.config с этим содержимым и перезапустите RabbitMQ: 

[
    {rabbitmq_management, [
        {listener, [
            {ssl_opts, [
                {ciphers, [
                    %% CIPHERS GO HERE
                ]}
            ]}
        ]}
    ]}
].

Параметр должен быть объединен с указанным в rabbitmq.conf.Вы можете проверить сгенерированные файлы конфигурации в /var/lib/rabbitmq/...

Если это не сработает, пожалуйста, следите за списком рассылки.

ПРИМЕЧАНИЕ: команда RabbitMQ отслеживает список рассылки rabbitmq-users и только иногда отвечает на вопросы о StackOverflow.

...