Azure 应用服务 - 如何禁用弱密码？

Question

我有一个作为Azure App Service运行的Web应用程序。最近进行了安全审查，发现可用的加密套件较弱，需要禁用这些加密套件。这些密码如下：

• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
• TLS_RSA_WITH_AES_256_GCM_SHA384
• TLS_RSA_WITH_AES_256_CBC_SHA256
• TLS_RSA_WITH_AES_256_CBC_SHA
• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
• TLS_RSA_WITH_AES_128_GCM_SHA256
• TLS_RSA_WITH_AES_128_CBC_SHA256
• TLS_RSA_WITH_AES_128_CBC_SHA

我看到可以通过创建隔离的应用服务（https://learn.microsoft.com/en-us/azure/app-service/environment/app-service-app-service-environment-custom-settings#change-tls-cipher-suite-order）来禁用这些套件。但这会增加显著的开销和复杂性。是否可能在不需要隔离应用服务的情况下禁用这些套件？

- Matthew van Boheemen

---

你找到这个问题的答案了吗？我也曾经在安全审查中有过类似的经历。据我所知，尽管密码算法存在弱点，但它们并没有被破解或者从根本上不安全。 - Brett G

我们没有找到解决方案。最终我们只是接受了整体上似乎很低的风险。 - Matthew van Boheemen

我面临着相同的安全风险，但我无法找到一些简单的解决方案来禁用弱密码和禁用TLS1.0。 - Saad Awan

Answer 1

目前有三种可能的方法来删除弱密码：

应用服务环境 - 这使您可以通过Azure资源管理器设置自己的密码 - 更改TLS密码套件顺序。我复制了这个过程，并发现可以通过修改clusterSettings来设置自己的密码或更改密码套件顺序，如下所示：

使用Azure Front Door - 您可以在Azure门户网站的自定义域HTTPS设置中配置最小TLS版本。一旦配置了TLS1.2，只支持以下强密码套件：

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384

TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

TLS_DHE_RSA_WITH_AES_256_GCM_SHA384

TLS_DHE_RSA_WITH_AES_128_GCM_SHA256

您可以在此处找到更多信息 - Front Door TLS Configuration。

使用应用网关 - 这允许您指定一个适合组织安全要求并有助于满足合规要求的中央TLS策略。 TLS策略包括对TLS协议版本、密码套件以及在TLS握手期间使用密码的顺序的控制，如应用网关SSL策略概述所示。

- cobethur

---

删除这些弱密码套件有什么不利之处吗？我的意思是，为什么Azure没有默认删除它们以保护他们的客户呢？ - Vbakke

@Vbakke用户使用旧密码系统将无法连接。请参考Mozilla SSL配置生成器和Qualys SSL LAB测试。 - z2z

@z2z，我知道。这让我想知道为什么Azure默认使用这些古老的密码。 - Vbakke

@Vbakke 我认为他们不想强制执行... 无论如何，安全的客户端会选择最好的密码。 - z2z

没错，@z2z。但攻击发生是通过操纵握手过程来使用不太安全的方法。 - Vbakke

Answer 2

微软最近在Azure Web App配置设置中添加了[最小TLS加密套件（预览）]选项 - 请注意，它仍处于预览阶段，因此还有一些需要解决的错误，并且并非所有客户端都支持这种安全协议。

配置>常规设置>平台设置 最小TLS加密套件（预览） 更改最小TLS加密套件（预览）

- Alexander

---

请注意 - 应用服务需要在“高级”级别的应用服务计划上才能看到此选项。 - Claire Furney

Answer 3

最近，通过API调用，在多租户高级应用服务计划上禁用较弱的TLS密码套件的另一个选项已被添加。

PATCH https://management.azure.com/subscriptions/<subscriptionId>/resourceGroups/<resourceGroup>/providers/Microsoft.Web/sites/<siteName>/config/web?api-version=2022-03-01 

{ 
  "properties": { 
    "minTlsCipherSuite": "TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA" 
  } 
} 

这里可以找到详细信息：公共预览版：禁用较弱的TLS密码套件

- Paul Franke