Configure the TLS version to ensure secure communication - Object Storage Service

Önkoşullar

RAM kullanıcılarının aşağıdaki izinlere sahip olması gerekir: oss:PutTLSVersion ve oss:GetTLSVersion. Daha fazla bilgi için bkz. Bir RAM kullanıcısına özel ilke atama.

TLS sürümleri

TLS; 1,0, 1,1, 1,2 ve 1,3 olmak üzere dört sürümü destekler. Aşağıdaki tabloda her sürümün kullanım senaryoları ve desteklenen tarayıcılar açıklanmaktadır.

Protokol	Açıklama	Kullanım senaryoları	Desteklenen tarayıcılar
TLS 1,0	Bu sürüm RSA, DES ve 3DES gibi şifreleme algoritmalarını kullanır. TLS 1,0 bilinen güvenlik açıklarına sahiptir ve BEAST ile POODLE gibi saldırılara karşı savunmasızdır. Modern ağ bağlantıları için yeterli koruma sağlamaz ve PCI DSS uyumluluk standartlarını karşılamaz.	Güvenlik açıkları nedeniyle TLS 1,0 artık geniş çapta önerilmemektedir. Çoğu durumda daha güvenli bir TLS sürümüne geçiş yapmanızı öneririz.	IE 6+ Chrome 1+ Firefox 2+
TLS 1,1	Bu sürüm, bazı bilinen açıkları gidererek ve AES, RSA ile SHA-256 gibi daha güçlü şifreleme algoritmaları için destek ekleyerek güvenliği artırır.	Yüksek düzeyde güvenlik gerektiren ancak en yeni TLS özelliklerine ihtiyaç duymayan ortamlar için uygundur.	IE 11+ Chrome 22+ Firefox 24+ Safari 7+
TLS 1,2	Bu sürüm güvenliği daha da artırır ve Server Name Indication (SNI) ile genişletilmiş el sıkışma protokolü gibi yeni özellikler ekler. Desteklenen şifreleme algoritmaları arasında AES-GCM, AES-CBC ve ECDHE bulunur.	Web uygulamaları, e-ticaret siteleri, e-posta ve sanal özel ağlar (VPN'ler) dahil olmak üzere çoğu yaygın güvenli iletişim senaryosu için uygundur.	IE 11+ Chrome 30+ Firefox 27+ Safari 7+
TLS 1,3	Bu sürüm güvenlik, performans ve gizlilik alanlarında önemli iyileştirmeler getirir. Güvenli olmayan kriptografik algoritmaları kaldırır, daha sağlam anahtar değişimi ve şifreleme algoritmaları ekler, el sıkışma gecikme süresini azaltır ve daha iyi ileri gizlilik ile kimlik doğrulama mekanizmaları sağlar.	Finans kuruluşları, büyük internet şirketleri ve devlet kurumları gibi sıkı güvenlik gereksinimleri olan ve daha iyi performans ile gizlilik talep eden senaryolar için uygundur.	Chrome 70+ Firefox 63+

Kullanım notları

Bir paketi yalnızca TLS 1,0 veya TLS 1,1'e izin verecek şekilde yapılandırmaktan kaçının. Yapılandırmanız en azından ana akım sürüm olan TLS 1,2'yi içermelidir.
TLS Sürüm Yönetimi etkinleştirilmezse varsayılan olarak TLS 1,0, 1,1 ve 1,2 desteklenir ancak TLS 1,3 desteklenmez. TLS Sürüm Yönetimini etkinleştirdiğinizde TLS 1,0, 1,1, 1,2 ve 1,3 arasından seçim yapabilirsiniz. OSS konsolunda TLS sürümünü ilk kez yapılandırdığınızda ana akım sürüm olarak varsayılan değer TLS 1,2'dir. TLS 1,2 seçilmezse bazı ana akım istemciler OSS'ye erişemeyebilir.
TLS sürümünü düşürmek (örneğin TLS 1,2'den TLS 1,1 veya TLS 1,0'a) ya da TLS Sürüm Yönetimini devre dışı bırakmak güvenlik ve uyumluluk riskleri getirebilir. Bu işlemi dikkatle gerçekleştirin.
Bir TLS sürümünü devre dışı bırakmadan önce hiçbir istemcinin bağlantılar için yalnızca bu sürüme bağımlı olmadığından emin olun.

Yordam

OSS konsolu

OSS konsoluna giriş yapın.
Sol gezinme bölmesinde Buckets öğesini tıklayın ve ardından hedef paketin adını seçin.
Sol gezinme bölmesinde Content Security > TLS Version Management seçeneğini belirleyin.

TLS Version Management sayfasında aşağıdaki parametreleri yapılandırın.

Parametre	Açıklama
TLS Version Management	TLS Sürüm Yönetimini etkinleştirin.
TLS Cipher Suite	Şifre paketi; veri şifreleme, kimlik doğrulama ve bütünlük koruması için kullanılan belirli kriptografik algoritma kombinasyonudur. Her şifre paketi genellikle bir anahtar değişimi algoritması (RSA veya ECDHE gibi), bir kimlik doğrulama algoritması (ECDSA gibi), bir simetrik şifreleme algoritması (AES gibi) ve bir mesaj kimlik doğrulama kodu algoritması (SHA256 gibi) içerir. OSS aşağıdaki üç şifre paketi türünü destekler: All Cipher Suites (Varsayılan): Yüksek uyumluluk sunar ancak daha düşük güvenlik sağlar. Strong Cipher Suite: Daha yüksek güvenlik sunar ancak uyumluluğu daha düşüktür. Güçlü şifre paketlerinin listesi ECDHE-ECDSA-CHACHA20-POLY1305 ECDHE-RSA-CHACHA20-POLY1305 ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES128-CCM8 ECDHE-ECDSA-AES128-CCM ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES256-CCM8 ECDHE-ECDSA-AES256-CCM ECDHE-ECDSA-ARIA256-GCM-SHA384 ECDHE-ARIA256-GCM-SHA384 ECDHE-ECDSA-ARIA128-GCM-SHA256 ECDHE-ARIA128-GCM-SHA256 TLS_AES_256_GCM_SHA384 TLS_AES_128_GCM_SHA256 TLS_CHACHA20_POLY1305_SHA256 Custom Cipher Suite: Yüksek özelleştirme imkanı sunar ve belirli güvenlik politikanıza göre en uygun algoritma kombinasyonunu seçmenize olanak tanır. Örneğin daha güçlü şifreleme algoritmaları (AES-128 yerine AES-256 gibi) veya daha güvenli anahtar değişimi mekanizmaları (RSA yerine ECDHE gibi) seçebilirsiniz. Özel şifre paketini yalnızca TLS sürümü 1,2 veya 1,3 olarak ayarlandığında belirleyebilirsiniz. TLS 1,2 için özel şifre paketleri ECDHE-ECDSA-CHACHA20-POLY1305 ECDHE-RSA-CHACHA20-POLY1305 ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES128-CCM8 ECDHE-ECDSA-AES128-CCM ECDHE-ECDSA-AES128-SHA256 ECDHE-RSA-AES128-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES256-CCM8 ECDHE-ECDSA-AES256-CCM ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-ARIA256-GCM-SHA384 ECDHE-ARIA256-GCM-SHA384 ECDHE-ECDSA-ARIA128-GCM-SHA256 ECDHE-ARIA128-GCM-SHA256 ECDHE-ECDSA-CAMELLIA256-SHA384 ECDHE-RSA-CAMELLIA256-SHA384 ECDHE-ECDSA-CAMELLIA128-SHA256 ECDHE-RSA-CAMELLIA128-SHA256 AES256-GCM-SHA384 AES256-CCM8 AES256-CCM ARIA256-GCM-SHA384 AES128-GCM-SHA256 AES128-CCM8 AES128-CCM ARIA128-GCM-SHA256 TLS 1,3 için özel şifre paketleri TLS_AES_256_GCM_SHA384 TLS_AES_128_GCM_SHA256 TLS_CHACHA20_POLY1305_SHA256
Allowed TLS Version	İzin verilecek TLS sürümlerini seçin. Her TLS sürümünün kullanım senaryoları ve açıklamaları hakkında daha fazla bilgi için TLS sürümleri bölümüne bakın.

Save öğesini tıklayın ve ardından onay iletişim kutusunda OK seçeneğini belirleyin.

Yapılandırma 30 dakika içinde etkili olur.

ossutil CLI

TLS Sürüm Yönetimini etkinleştirmek veya devre dışı bırakmak için ossutil komut satırı aracını kullanın. ossutil'in nasıl yükleneceği hakkında bilgi için bkz. ossutil'i yükleme.

Aşağıdaki örnek, examplebucket paketi için TLS Sürüm Yönetiminin nasıl etkinleştirileceğini ve TLS sürümlerinin TLSv1.2 ile TLSv1.3 olarak nasıl ayarlanacağını gösterir.
```
ossutil api put-bucket-https-config --bucket examplebucket --https-configuration "{\"TLS\":{\"Enable\":\"true\",\"TLSVersion\":[\"TLSv1.2\",\"TLSv1.3\"]}}"
```
Bu komut hakkında daha fazla bilgi için bkz. put-bucket-https-config.
Aşağıdaki örnek, examplebucket paketi için TLS sürümü ayarlarının nasıl alınacağını gösterir.
```
ossutil api get-bucket-https-config --bucket examplebucket
```
Bu komut hakkında daha fazla bilgi için bkz. get-bucket-https-config.

API referansı

Bu işlemler REST API'lerini kullanır. Yüksek düzeyde özelleştirilmiş uygulamalar için doğrudan REST API istekleri gönderebilirsiniz; bu durum imza hesaplama kodunu manuel olarak yazmanızı gerektirir. Daha fazla bilgi için bkz. PutBucketHttpsConfig ve GetBucketHttpsConfig.

SSS

Geçerli TLS sürümünü kontrol etme

İstemci bir TLS sürümü belirtmezse istemci ile sunucu arasında anlaşmaya varılan sürümü belirlemek için aşağıdaki komutu çalıştırın.

openssl s_client -connect <bucket>.<endpoint>:443 -servername <bucket>.<endpoint>

Komuttaki parametreler aşağıdaki tabloda açıklanmıştır.

Parametre	Açıklama
bucket	OSS paketinizin adı.
endpoint	Genel uç nokta, dahili uç nokta veya özel etki alanı adı.

TLS sürümünü komut çıktısında bulabilirsiniz.

Yanıttaki Protocol alanının değeri geçerli TLS sürümüdür. Örnek bir yanıt aşağıda verilmiştir:

New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES128-GCM-SHA256
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
    Protocol  : TLSv1.2
    Cipher    : ECDHE-RSA-AES128-GCxxx
    Session-ID: DF6AF8834A5BE3E9EDCxxx
    Session-ID-ctx:
    Master-Key: 0C25A19D6E9E3BDEC86B417125AEC1FFA85xxx
    Key-Arg   : None
    Krb5 Principal: None
    PSK identity: None
    PSK identity hint: None
    TLS session ticket lifetime hint: 300 (seconds)
    TLS session ticket:

TLS yapılandırmasını doğrulama

Paketinizin yalnızca TLS 1,2'ye izin verecek şekilde doğru yapılandırıldığını doğrulamak için aşağıdaki davranışları kontrol edin:

İstemci açıkça TLS 1,2 kullandığında sunucuya erişebilir.

openssl s_client -connect <bucket>.<endpoint>:443 -servername <bucket>.<endpoint> -tls1_2

Komuttaki parametreler aşağıdaki tabloda açıklanmıştır.

Parametre	Açıklama
bucket	OSS paketinizin adı.
endpoint	Genel uç nokta, dahili uç nokta veya özel etki alanı adı.

Örnek yanıt:

SSL handshake has read 5779 bytes and written 470 bytes
---
New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES128-GCM-SHA256
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
    Protocol  : TLSv1.2
    Cipher    : ECDHE-RSA-AES128-Gxxx
    Session-ID: 6F487389CA287BAFD2xxx
    Session-ID-ctx:
    Master-Key: 620777CB36570132F9xxx
    Key-Arg   : None
    Krb5 Principal: None
    PSK identity: None
    PSK identity hint: None
    TLS session ticket lifetime hint: 300 (seconds)

İstemci bir TLS sürümü belirtmediğinde (ancak istemci TLS 1,2'yi desteklediğinde) sunucuya erişebilir.

openssl s_client -connect <bucket>.<endpoint>:443 -servername <bucket>.<endpoint>

Örnek yanıt:

SSL handshake has read 5779 bytes and written 470 bytes
---
New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES128-GCM-SHA256
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
    Protocol  : TLSv1.2
    Cipher    : ECDHE-RSA-AES128-Gxxx
    Session-ID: 6F487389CA287BAFD2xxx
    Session-ID-ctx:
    Master-Key: 620777CB36570132F9xxx
    Key-Arg   : None
    Krb5 Principal: None
    PSK identity: None
    PSK identity hint: None
    TLS session ticket lifetime hint: 300 (seconds)

Sunucu, TLS 1,2 dışındaki bir TLS sürümü (örneğin TLS 1,1) belirten istemcilerden gelen bağlantıları reddeder.

openssl s_client -connect <bucket>.<endpoint>:443 -servername <bucket>.<endpoint> -tls1_1

Örnek yanıt:

[root@i-xxx xxx ~]# openssl s_client -connect xxx.oss-cn-hangzhou.aliyuncs.com:443 -servername xxx.oss-cn-hangzhou.aliyuncs.com -tls1_1
CONNECTED(00000003)
140293333579664:error:1409442E:SSL routines:ssl3_read_bytes:tlsv1 alert protocol version:s3_pkt.c:1493:SSL alert number 70
140293333579664:error:1409E0E5:SSL routines:ssl3_write_bytes:ssl handshake failure:s3_pkt.c:659:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 7 bytes and written 0 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
    Protocol  : TLSv1.1
    Cipher    : 0000
    Session-ID:
    Session-ID-ctx:
    Master-Key:
    Key-Arg   : None
    Krb5 Principal: None
    PSK identity: None
    PSK identity hint: None
    Start Time: 1692262610
    Timeout   : 7200 (sec)
    Verify return code: 0 (ok)
---