Como lidar com cifras fracas no TLS 1.2

O TLS 1.2 tem vulnerabilidades relacionadas à implementação de codificação fraca. Se você usar o TLS 1.2, você deve seguir uma das seguintes etapas:

• Opção A: atualizar para o TLS 1.3
• Opção B: usar o TLS 1.2 e modificar seu pacote de dados criptografados para solucionar problemas de TLS do servidor da API do kube

Se você não tiver certeza de qual versão do TLS você usa, consulte Como verificar a versão do TLS.

Opção A: atualizar para o TLS 1.3

Para atualizar para o TLS 1.3, execute as seguintes etapas:

1. Modifique a configuração do ouvinte TLS primário no Automation Suite, que opera na porta 443. Para fazer isso, atualize o valor do parâmetro istioMinProtocolVersion no arquivo cluster_config.json para TLSV1_3.

2. Execute novamente a instalação do Automation Suite executando o seguinte comando:

   ./bin/uipathctl manifest apply cluster_config.json --versions versions/helm-charts.json

3. Atualize o servidor da API do kube para o TLS 1.3. O servidor de API do kube opera na porta 6443. Para executar a atualização, adicione a seguinte linha a seu arquivo config.yaml :

   sed -i '/kube-apiserver-arg:/a - "tls-min-version=VersionTLS13"' /etc/rancher/rke2/config.yaml

4. Reinicie o servidor RKE2. Observe que essa etapa pode causar tempo de inatividade temporário.

   systemctl restart rke2-server

Opção B: modificar seu conjunto de cifras

Para continuar usando o TLS 1.2 e fortificar a segurança do seu sistema, siga as seguintes etapas. Observe que as etapas a seguir abordam os problemas de TLS do servidor da API do kube.

1. Modifique seu conjunto de cifras inserindo a seguinte linha em seu config.yaml. A linha de configuração deve incluir os parâmetros das cifras que você deseja permitir.

   sed  -i '/kube-apiserver-arg:/a - "tls-cipher-suites=TLS_CHACHA20_POLY1305_SHA256,TLS_AES_256_GCM_SHA384,TLS_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_128_GCM_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_256_GCM_SHA384"' /etc/rancher/rke2/config.yaml

2. Reinicie o servidor RKE2. Observe que essa etapa pode causar tempo de inatividade temporário.

   systemctl restart rke2-server