在 etcd Kubernetes 中禁用 3DES_EDE_CBC_SHA 密码

Question

在 Kubernetes 服务器上使用 nmap 评估网络安全时，我们注意到如下警告

~]# nmap xxx.xx.xx.xx -p 6443 -sVC --script=ssl*

.
.
.
ssl-enum-ciphers: 
|   TLSv1.2: 
|     ciphers: 
|       TLS_RSA_WITH_AES_128_GCM_SHA256 (rsa 2048) - A
|       TLS_RSA_WITH_AES_256_GCM_SHA384 (rsa 2048) - A
|       TLS_RSA_WITH_AES_128_CBC_SHA (rsa 2048) - A
|       TLS_RSA_WITH_AES_256_CBC_SHA (rsa 2048) - A
|       TLS_RSA_WITH_3DES_EDE_CBC_SHA (rsa 2048) - C
|     compressors: 
|       NULL
|     cipher preference: server
|     warnings: 
|       64-bit block cipher 3DES vulnerable to SWEET32 attack

通过一些研究了解到TLS_RSA_WITH_3DES_EDE_CBC_SHA (rsa 2048) - C密码套件支持 64 位块 SSL/TLS 握手，建议的解决方案是禁用 Z30136395F01879792198317C118 等中的密码选项。 请帮我怎么做。

对此非常感谢其他意见，请让我知道保护环境的更好方法是什么。

Answer 1

您可以对 etcd 使用--cipher-suites CLI 选项。 有关所有 TLS 配置选项的摘要，请参阅https://etcd.io/docs/v3.4/op-guide/security/ 。 默认密码基于用于编译它的 Go 版本。