是否可以配置RabbitMQ管理插件使用的密码套件?

时间:2018-09-12 13:29:58

标签: rabbitmq rabbitmq-management

我有一个RabbitMQ 3.7.7-management图像实例正在运行。它已启用rabbitmq-management插件,并将其配置为根据documentation使用HTTPS:

management.listener.port = 15671
management.listener.ssl = true
management.listener.ssl_opts.cacertfile = /path/to/cacert.pem
management.listener.ssl_opts.certfile = /path/to/cert.pem
management.listener.ssl_opts.keyfile = /path/to/key.pem
management.listener.ssl_opts.fail_if_no_peer_cert = false
management.listener.ssl_opts.versions.1 = tlsv1.2

当我使用testssl.sh测试工具评估TLS设置时,针对 SWEET32 漏洞的测试失败:

Testing vulnerabilities

...
SWEET32 (CVE-2016-2183, CVE-2016-6329)    VULNERABLE, uses 64 bit block ciphers
...

OpenVAS框架还抱怨:

漏洞检测结果

'Vulnerable' cipher suites accepted by this service via the TLSv1.2 protocol:
TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA (SWEET32)
TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA (SWEET32)
TLS_RSA_WITH_3DES_EDE_CBC_SHA (SWEET32)

解决方案类型:缓解

The configuration of this services should be changed so that it does not accept the listed cipher suites anymore.

是否可以配置RabbitMQ管理插件将使用哪些密码套件?对于RabbitMQ it is possible,但查看rabbitmq_management.schema似乎对于管理插件来说是不可能的。还是有其他方法可以修复此漏洞?

1 个答案:

答案 0 :(得分:1)

您将必须使用advanced.config文件。我假设您已经使用显示的设置创建了/etc/rabbitmq/rabbitmq.conf。使用这些内容创建/etc/rabbitmq/advanced.config文件,然后重新启动RabbitMQ:

[
    {rabbitmq_management, [
        {listener, [
            {ssl_opts, [
                {ciphers, [
                    %% CIPHERS GO HERE
                ]}
            ]}
        ]}
    ]}
].

设置应合并到rabbitmq.conf中指定的设置中。您可以在/var/lib/rabbitmq/...

中检查生成的配置文件

如果这不起作用,请按照邮件列表进行后续操作。


注意: RabbitMQ团队监视the rabbitmq-users mailing list,并且有时仅在StackOverflow上回答问题。