k8s ssl 漏洞修复

针对Kubernetes集群中SSL/TLS协议信息泄露漏洞（CVE-2016-2183）的修复，需重点修改涉及弱加密算法的组件配置。以下是具体修复步骤及验证方法：

---

一、漏洞修复步骤

1. 修复etcd服务

• 修改配置文件

  ：

  编辑

  /etc/kubernetes/manifests/etcd.yaml
  

  ，在

  command
  

  段添加以下参数禁用弱加密算法：

  - --cipher-suites=TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_128_GCM_SHA256,TLS_RSA_WITH_AES_256_GCM_SHA384 
  

  注意：参数顺序需严格按示例排列，否则可能导致etcd反复重启。

2. 修复kube-apiserver

• 修改配置文件

  ：

  编辑

  /etc/kubernetes/manifests/kube-apiserver.yaml
  

  ，添加以下参数：

  - --tls-cipher-suites=TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_128_GCM_SHA256,TLS_RSA_WITH_AES_256_GCM_SHA384 
  

  修改后保存，Kubelet会自动重启服务。

3. 修复kubelet

• 修改配置文件

  ：

  编辑

  /var/lib/kubelet/config.yaml
  

  ，在末尾添加：

  tlsCipherSuites:
    - TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 
    - TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 
    - TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA 
    - TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA 
    - TLS_RSA_WITH_AES_128_GCM_SHA256 
    - TLS_RSA_WITH_AES_256_GCM_SHA384 
  

  执行

  systemctl restart kubelet
  

  重启服务。

---

二、验证修复效果

使用nmap工具检测服务端口是否仍存在弱加密算法：

nmap --script ssl-enum-ciphers -p 2380,6443,10250 <节点IP>

若输出中无64-bit block cipher 3DES vulnerable to SWEET32 attack警告，则修复成功。

---

三、注意事项

1. 多节点集群：
   需在所有Master节点上同步修改配置，并确保同时重启etcd服务，避免因节点间配置不一致导致服务中断。
2. 兼容性测试：
   修改前备份配置文件，并在测试环境验证服务功能（如Pod调度、API访问），确认无兼容性问题。
3. 其他组件：
   若使用Windows节点，需额外禁用TLS 1.0/1.1并配置组策略加密套件。

---

四、补充说明

• 漏洞原理：CVE-2016-2183源于使用64位块加密算法（如3DES），易受SWEET32生日攻击，导致数据泄露。
• 替代方案：推荐优先使用AES-GCM等现代加密算法，并升级OpenSSL至1.1.1以上版本增强兼容性。

如需完整配置示例或修复脚本，可参考中的详细操作截图及脚本链接。