GCP Terraform Misconfiguration: Insecure Load Balancer Transport

Terraform 配置允许代理负载平衡器使用具有弱密码套件的 SSL 策略。

传输层安全 (TLS) 协议和安全套接字层 (SSL) 协议提供了一种保护机制，可以确保在客户端和 Web 服务器之间所传输数据的真实性、保密性和完整性。TLS 和 SSL 都进行了多次修订，因此需要定期进行版本更新。每次新的修订都解决了以往版本中发现的安全漏洞。使用不安全版本的 TLS/SSL 会削弱数据保护力度，并可能允许攻击者危害、窃取或修改敏感信息。

不安全版本的 TLS/SSL 可能会呈现出以下一个或多个属性：

- 没有针对中间人攻击的保护
- 身份验证和加密使用相同密钥
- 消息身份验证控制较弱
- 没有针对 TCP 连接关闭的保护

这些属性的存在可能会允许攻击者截取、修改或篡改敏感数据。

示例 1：以下示例 Terraform 配置定义了一个 SSL 策略，该策略通过将 profile 设置为 COMPATIBLE，允许代理负载平衡器使用弱 SSL 密码套件。

resource "google_compute_ssl_policy" "policy-demo" {
...
  profile = "COMPATIBLE"
...
}

示例 2：以下示例 Terraform 配置定义了一个自定义 SSL 策略，该策略专门允许代理负载平衡器使用名为 TLS_RSA_WITH_AES_128_CBC_SHA 的弱 SSL 密码套件。

resource "google_compute_ssl_policy" "policy-demo" {
...
  profile = "CUSTOM"
  min_tls_version = "TLS_1_2"
  custom_features = ["TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256", "TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256", "TLS_RSA_WITH_AES_128_CBC_SHA"]
...
}