GCP Terraform Misconfiguration: Insecure Load Balancer Transport

Terraform 組態允許 SSL 原則搭配將低強度的加密套件用於 Proxy 負載平衡器。

傳輸層安全性 (TLS) 和安全通訊端層 (SSL) 通訊協定提供保護機制，確保用戶端與 Web 伺服器之間所傳輸的資料的真實性、機密性和完整性。TLS 和 SSL 均歷經多次修訂，定期提供更新版本。每次新的修訂皆會解決之前版本中發現的安全性弱點。使用不安全的 TLS/SSL 版本會削弱資料保護，並可能讓攻擊者危及、竊取或修改敏感資訊。

不安全的 TLS/SSL 版本可能存在以下一或多個屬性：

- 無法防範 man-in-the-middle 攻擊
- 驗證及加密使用同一金鑰
- 訊息驗證控制弱
- 無法防範 TCP 連線關閉

這些屬性可能會讓攻擊者得以攔截、修改或竄改敏感資料。

範例 1：以下範例 Terraform 組態定義了一個 SSL 原則，其透過將 profile 設定為 COMPATIBLE 來容許 Proxy 負載平衡器可以使用低強度 SSL 加密套件。

resource "google_compute_ssl_policy" "policy-demo" {
...
  profile = "COMPATIBLE"
...
}

範例 2：以下範例 Terraform 組態定義了一個自訂 SSL 原則，其特別容許 Proxy 負載平衡器可以使用名為 TLS_RSA_WITH_AES_128_CBC_SHA 的低強度 SSL 加密套件。

resource "google_compute_ssl_policy" "policy-demo" {
...
  profile = "CUSTOM"
  min_tls_version = "TLS_1_2"
  custom_features = ["TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256", "TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256", "TLS_RSA_WITH_AES_128_CBC_SHA"]
...
}