Gunicorn: डिफ़ॉल्ट एसएसएल सिफर सेटिंग सबसे सुरक्षित सिफर को निष्क्रिय कर देती है

को निर्मित 23 जन॰ 2019 · 3टिप्पणियाँ · स्रोत: benoitc/gunicorn

--सिफर विकल्प के लिए डिफ़ॉल्ट TLSv1 ।

यह मान एक खराब डिफ़ॉल्ट है, क्योंकि यह सक्रिय रूप से नए, मजबूत सिफर को अक्षम करता है जो केवल TLSv1.2 के साथ उपलब्ध हैं। विशेष रूप से, इस डिफ़ॉल्ट मान द्वारा कॉन्फ़िगर किए गए सिफर के सेट और OWASP द्वारा A+ रेट किए गए सिफर के बीच कोई प्रतिच्छेदन नहीं है:

>>> import ssl
>>> ctx = ssl.SSLContext()
>>> ctx.set_ciphers('TLSv1')
>>> tlsv1 = {c['name'] for c in ctx.get_ciphers()}
>>> ctx.set_ciphers('DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256')  # From OWASP
>>> aplus = {c['name'] for c in ctx.get_ciphers()}
>>> aplus & tlsv1
set()

इससे उच्च सुरक्षा सेटिंग्स के साथ कॉन्फ़िगर किए गए क्लाइंट के लिए OpenSSL NO_SHARED_CIPHER त्रुटियाँ हो सकती हैं।

एक समाधान यह होगा कि डिफ़ॉल्ट को स्ट्रिंग 'TLSv1:TLSv1.2' बदलकर, केवल TLSv1.2 सिफर को सेट में जोड़ा जाए। यह गनीकॉर्न के किसी भी मौजूदा उपयोगकर्ता को तोड़े बिना, सख्त सुरक्षा सेटिंग्स के साथ कॉन्फ़िगर किए गए क्लाइंट के लिए अनुकूलता जोड़ देगा। हालांकि, यह सेट में कमजोर सिफर छोड़ देगा।

वर्णित संगतता स्तर के आधार पर डिफ़ॉल्ट के रूप में OWASP स्ट्रिंग्स में से एक को चुनना एक अधिक सुरक्षित विकल्प होगा। उदाहरण के लिए ओडब्ल्यूएएसपी सिफर स्ट्रिंग सी या सी- ज्ञात-कमजोर सिफर को खारिज करते हुए व्यापक संगतता बनाए रखेगा।

किसी भी मामले में, दस्तावेज़ को अद्यतन किया जा सकता है ताकि अपेक्षित उपयोग के आधार पर डिफ़ॉल्ट को एक मजबूत डिफ़ॉल्ट के साथ बदलने की सिफारिश की जा सके, जिसमें संदर्भ के रूप में OWASP पृष्ठ का लिंक भी शामिल है।

Feedback Requested FeaturSSL

स्रोत

lordmauve

👍1

सबसे उपयोगी टिप्पणी

इसके अलावा, पायथन की अपनी डिफ़ॉल्ट सिफर सूची है: यह ओपनएसएसएल के डिफ़ॉल्ट (जो स्पष्ट रूप से DEFAULT:!aNULL:!eNULL ) पर वापस नहीं आता है। यह ssl._DEFAULT_CIPHERS रूप में पहुंच योग्य है, हालांकि यह आंतरिक/अनियंत्रित है, इसलिए डिफ़ॉल्ट तक पहुंचने का तरीका SSLContext पर कभी भी set_ciphers() को कॉल नहीं करना है।

पायथन 3.6 के लिए _DEFAULT_CIPHERS is

'TLS13-AES-256-GCM-SHA384:TLS13-CHACHA20-POLY1305-SHA256:TLS13-AES-128-GCM-SHA256:ECDH+AESGCM:ECDH+CHACHA20:DH+AESGCM:DH+CHACHA20:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:ECDH+HIGH:DH+HIGH:RSA+AESGCM:RSA+AES:RSA+HIGH:!aNULL:!eNULL:!MD5:!3DES'

पायथन 3.7 में यह है

'DEFAULT:!aNULL:!eNULL:!MD5:!3DES:!DES:!RC4:!IDEA:!SEED:!aDSS:!SRP:!PSK'

एक टिप्पणी के साथ "डिफ़ॉल्ट: ओपनएसएसएल की डिफ़ॉल्ट सिफर सूची। 1.0.2 के बाद से सूची समझदार क्रम में है।"

ये सेटिंग्स बहुत तंग लगती हैं, और OWASP जैसी ही भावना में।

एक _RESTRICTED_SERVER_CIPHERS जो सर्वर में उपयोग के लिए अभिप्रेत है (गनिकोर्न के लिए एकदम सही) और कुछ पायथन संस्करणों में _DEFAULT_CIPHERS से अधिक सख्त है, लेकिन यह आंतरिक है और कहीं भी उपयोग नहीं किया गया है - लेकिन किया गया है कम से कम 3.4 के बाद से बनाए रखा।

तो विकल्प 3 पायथन के डिफ़ॉल्ट सिफर सूट के लिए डिफ़ॉल्ट है।

ऐसा न करने का एकमात्र कारण यह है कि अगर हमें लगता है कि हम आज एक सूची भेज सकते हैं जो पुराने पायथन संस्करणों की तुलना में अधिक सुरक्षित है, या कि हम और भी सख्त OWASP स्तरों में से एक में ऑप्ट-इन करना चाहते हैं। ईमानदारी से यह काफी मामूली है।

lordmauve 24 जन॰ 2019

👍2

सभी 3 टिप्पणियाँ

इस विषय पर जानकारी देने के लिए धन्यवाद। हम इस बात से पूरी तरह वाकिफ हैं। Gunicorn ने अपने SSL समर्थन में कुछ समय के लिए महत्वपूर्ण परिवर्तन नहीं किए हैं। देखें #1933 और उस चर्चा से जुड़े मुद्दे।

इस बीच, यदि अब अधिक समझदार डिफ़ॉल्ट है कि Gunicorn केवल Python 3.4+ का समर्थन करता है, तो कृपया एक पुल अनुरोध सबमिट करें और मुझे इसे मर्ज करने में खुशी होगी। हम उस न्यूनतम संस्करण को और अधिक बढ़ाने पर भी विचार कर रहे हैं, इसलिए यदि कोई उच्चतर न्यूनतम पायथन संस्करण है जो और भी अधिक सुरक्षित डिफ़ॉल्ट को सक्षम करेगा, तो कृपया उस जानकारी को अगली रिलीज से पहले उस निर्णय को चलाने में मदद करने के लिए यहां पोस्ट करें।

tilgovi 23 जन॰ 2019

उपलब्ध सिफर (और तर्क की व्याख्या SSLContext.set_ciphers() ) पायथन संस्करण से प्रभावित नहीं हैं, लेकिन OpenSSL/LibreSSL के उस संस्करण से प्रभावित हैं, जिसके खिलाफ पायथन बनाता है। लिनक्स पर जो आमतौर पर डिस्ट्रो द्वारा प्रदान किया गया संस्करण होगा।

यदि आपका प्रश्न है "क्या हम एक अधिक सुरक्षित डिफ़ॉल्ट सेट कर सकते हैं जो हमेशा पायथन 3.4+ में काम करता है" तो सख्त उत्तर "नहीं" है क्योंकि यह निर्भर करता है कि आपने पायथन को कैसे संकलित किया। एक बहुत पुराने ओपनएसएसएल के खिलाफ हालिया पायथन को संकलित करना संभव हो सकता है जिसमें मजबूत सिफर की कमी है, इसलिए गनिकोर्न में मजबूत सिफर की आवश्यकता का मतलब यह हो सकता है कि एसएसएल बिल्कुल काम नहीं करता है।

हालाँकि, मुझे लगता है कि हम बहुत सुरक्षित हैं। 2014 में Python 3.4 जारी किया गया था, जबकि OpenSSL 1.0.1a, जिसमें TLSv1.2 जोड़ा गया था, अप्रैल 2012 में जारी किया गया था। इसलिए Python के डिस्ट्रो संस्करणों में संभवतः मजबूत सिफर होंगे। दूसरी बात यह है कि प्रत्येक पायथन रिलीज के लिए एक निश्चित ओपनएसएसएल संस्करण की आवश्यकता होती है (जैसे। पायथन 3.7 के लिए ओपनएसएसएल 1.0.2 की आवश्यकता होती है), लेकिन मुझे नहीं पता कि वास्तव में पायथन संस्करणों की क्या आवश्यकता है।

कुल मिलाकर मुझे OWASP द्वारा निर्देशित होना होगा। वे कहते हैं कि सी- "विरासत, वास्तविक पुराने ब्राउज़रों और विरासत पुस्तकालयों के लिए व्यापक संगतता" है - अतिरिक्त बोनस के साथ कि उन्हें स्रोत के रूप में उद्धृत किया जा सकता है।

lordmauve 24 जन॰ 2019

👍1

पायथन 3.6 के लिए _DEFAULT_CIPHERS is

'TLS13-AES-256-GCM-SHA384:TLS13-CHACHA20-POLY1305-SHA256:TLS13-AES-128-GCM-SHA256:ECDH+AESGCM:ECDH+CHACHA20:DH+AESGCM:DH+CHACHA20:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:ECDH+HIGH:DH+HIGH:RSA+AESGCM:RSA+AES:RSA+HIGH:!aNULL:!eNULL:!MD5:!3DES'

पायथन 3.7 में यह है

'DEFAULT:!aNULL:!eNULL:!MD5:!3DES:!DES:!RC4:!IDEA:!SEED:!aDSS:!SRP:!PSK'

ये सेटिंग्स बहुत तंग लगती हैं, और OWASP जैसी ही भावना में।

तो विकल्प 3 पायथन के डिफ़ॉल्ट सिफर सूट के लिए डिफ़ॉल्ट है।

lordmauve 24 जन॰ 2019

👍2

क्या यह पृष्ठ उपयोगी था?

0 / 5 - 0 रेटिंग्स

Gunicorn: डिफ़ॉल्ट एसएसएल सिफर सेटिंग सबसे सुरक्षित सिफर को निष्क्रिय कर देती है

सबसे उपयोगी टिप्पणी

सभी 3 टिप्पणियाँ

संबंधित मुद्दों