Como lidar com cifras fracas no TLS 1.2

Atualize para o TLS 1.3 ou configure conjuntos de cifras seguras para o Automation Suite no Linux.

O TLS 1.2 tem vulnerabilidades relacionadas à implementação de codificação fraca. Se você usar o TLS 1.2, você deve seguir uma das seguintes etapas:

• Opção A: atualizar para o TLS 1.3
• Opção B: usar o TLS 1.2 e modificar seu pacote de dados criptografados para solucionar problemas de TLS do servidor da API do kube

Se você não tiver certeza de qual versão do TLS você usa, consulte Como verificar a versão do TLS.

Opção A: atualizar para o TLS 1.3

Importante:

Antes de aplicar o TLS 1.3, verifique se todos os Robots e navegadores que se conectam ao Automation Suite são compatíveis com o TLS 1.3. Qualquer máquina com uma versão TLS máxima compatível abaixo da versão 1.3 não poderá se conectar após a aplicação. Se você não puder garantir o suporte ao TLS 1.3 em seu ambiente, considere a Opção B em vez disso.

Para atualizar para o TLS 1.3, execute as seguintes etapas:

1. Modifique a configuração do ouvinte TLS primário no Automation Suite, que opera na porta 443. Para fazer isso, atualize o valor do parâmetro istioMinProtocolVersion no arquivo cluster_config.json para TLSV1_3.

2. Execute novamente a instalação do Automation Suite executando o seguinte comando:

   ./bin/uipathctl manifest apply cluster_config.json --versions versions/helm-charts.json
   

3. Atualize o servidor da API do kube para o TLS 1.3. O servidor de API do kube opera na porta 6443. Para executar a atualização, adicione a seguinte linha a seu arquivo config.yaml :

   sed -i '/kube-apiserver-arg:/a\  - tls-min-version=VersionTLS13' /etc/rancher/rke2/config.yaml
   

4. Reinicie o servidor RKE2. Observe que essa etapa pode causar tempo de inatividade temporário.

   systemctl restart rke2-server
   

Opção B: modificando seu pacote de codificação

Para continuar usando o TLS 1.2 e fortificar a segurança do seu sistema, siga as seguintes etapas. Observe que as etapas a seguir abordam os problemas de TLS do servidor da API do kube.

1. Modifique seu conjunto de cifras inserindo a seguinte linha em seu config.yaml. A linha de configuração deve incluir os parâmetros das cifras que você deseja permitir.

   sed  -i '/kube-apiserver-arg:/a\  - "tls-cipher-suites=TLS_CHACHA20_POLY1305_SHA256,TLS_AES_256_GCM_SHA384,TLS_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_128_GCM_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_256_GCM_SHA384"' /etc/rancher/rke2/config.yaml
   

2. Reinicie o servidor RKE2. Observe que essa etapa pode causar tempo de inatividade temporário.

   systemctl restart rke2-server