Database Gateway upgrade - Database Gateway - Deprecated - Centre de documentation Alibaba Cloud

La mise à niveau de Database Gateway est prévue le 10 août 2025. Après cette opération, les passerelles des régions États-Unis (Virginie) et États-Unis (Silicon Valley) ne prendront plus en charge l'algorithme de chiffrement TLS_RSA_WITH_3DES_EDE_CBC_SHA, considéré comme non sécurisé bien qu'il soit compatible avec TLS 1.2.

Date de la mise à niveau

10 août 2025

Régions concernées

États-Unis (Virginie) et États-Unis (Silicon Valley).

Important

Les régions mentionnées dans cette annonce correspondent aux zones où vos passerelles de base de données sont accessibles, telles que définies lors du démarrage de l'agent Database Gateway.

Impact

Après la mise à niveau, les passerelles de base de données situées dans les régions États-Unis (Virginie) et États-Unis (Silicon Valley) qui utilisent l'algorithme de chiffrement TLS_RSA_WITH_3DES_EDE_CBC_SHA compatible avec TLS 1.2 ne seront plus disponibles.

Solution

Vérifiez le protocole TLS et l'algorithme de chiffrement sur chaque serveur exécutant l'agent Database Gateway. L'exemple suivant montre comment vérifier la disponibilité de l'algorithme de chiffrement et mettre à niveau la version TLS sur un serveur Red Hat Linux.

Étape 1 : Vérifier votre algorithme de chiffrement actuel

Connectez-vous au serveur exécutant l'agent Database Gateway.

Exécutez l'une des commandes suivantes selon la région d'accès à la passerelle de base de données :

États-Unis (Virginie) :

openssl s_client -connect pub-us-east-1.dg.aliyuncs.com:443 -tls1_2|grep Cipher

États-Unis (Silicon Valley) :

openssl s_client -connect pub-us-west-1.dg.aliyuncs.com:443 -tls1_2|grep Cipher

Consultez le résultat renvoyé.

Si le résultat indique TLS 1.2 avec un algorithme de chiffrement autre que TLS_RSA_WITH_3DES_EDE_CBC_SHA, aucune action n'est requise. Dans le cas contraire, passez à l'Étape 2.

Exemple de résultat (aucune action nécessaire) :
```
New, TLSv1.2, Cipher is ECDHE-RSA-AES128-GCM-SHA256
    Cipher    : ECDHE-RSA-AES128-GCM-SHA256
```

Étape 2 (facultative) : Mettre à niveau OpenSSL et TLS

Effectuez cette étape uniquement si votre serveur utilise l'algorithme de chiffrement TLS_RSA_WITH_3DES_EDE_CBC_SHA. Assurez-vous que la version d'OpenSSL est 1.1.1 ou ultérieure et que la version de TLS est 1.3 ou ultérieure.

Mettez à jour OpenSSL :
```
sudo yum update openssl -y
```
Vérifiez la version d'OpenSSL :
```
openssl version
```
Si la version est 1.1.1 ou ultérieure, passez à l'étape suivante.

Exemple de résultat :
```
OpenSSL 1.1.1k  FIPS 25 Mar 2021
```

Testez la connectivité TLS 1.3 en exécutant l'une des commandes suivantes selon votre région :

États-Unis (Virginie) :

openssl s_client -connect pub-us-east-1.dg.aliyuncs.com:443 -tls1_3|grep Cipher

États-Unis (Silicon Valley) :

openssl s_client -connect pub-us-west-1.dg.aliyuncs.com:443 -tls1_3|grep Cipher

Confirmez que le résultat indique TLS 1.3. Si c'est le cas, la mise à niveau a réussi.

Exemple de résultat :
```
New, TLSv1.3, Cipher is TLS_AES_128_GCM_SHA256
    Cipher    : TLS_AES_128_GCM_SHA256
```