GCP Terraform Misconfiguration: Insecure Load Balancer Transport

Uma configuração do Terraform permite políticas SSL com conjuntos de criptografia fracos para balanceadores de carga de proxy.

Os protocolos TLS (Transport Layer Security) e SSL (Secure Sockets Layer) fornecem um mecanismo de proteção para garantir a autenticidade, a confidencialidade e a integridade dos dados transmitidos entre um cliente e o servidor web. Tanto o TLS quanto o SSL sofreram revisões, o que resulta em atualizações de versão periódicas. Cada nova revisão resolve as vulnerabilidades de segurança descobertas nas versões anteriores. O uso de uma versão não segura do TLS/SSL enfraquece a proteção dos dados e pode permitir que um invasor comprometa, roube ou modifique informações confidenciais.

Versões inseguras do TLS/SSL podem exibir uma ou mais das propriedades a seguir:

- Nenhuma proteção contra ataques man-in-the-middle
- Mesma chave usada para autenticação e criptografia
- Controle fraco da autenticação de mensagens
- Nenhuma proteção contra o fechamento de conexões TCP

A presença dessas propriedades pode possibilitar que um invasor intercepte, modifique ou adultere dados confidenciais.

Exemplo 1: O exemplo de configuração do Terraform a seguir define uma política SSL que permite que o balanceador de carga de proxy autorize o uso de conjuntos de criptografia SSL fracos definindo profile como COMPATIBLE.

resource "google_compute_ssl_policy" "policy-demo" {
...
  profile = "COMPATIBLE"
...
}

Exemplo 2: O exemplo a seguir de configuração do Terraform que define uma política SSL personalizada que permite especificamente que o balanceador de carga do proxy autorize o uso de um conjunto de criptografia SSL fraco chamado TLS_RSA_WITH_AES_128_CBC_SHA.

resource "google_compute_ssl_policy" "policy-demo" {
...
  profile = "CUSTOM"
  min_tls_version = "TLS_1_2"
  custom_features = ["TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256", "TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256", "TLS_RSA_WITH_AES_128_CBC_SHA"]
...
}