OpenChoreo cluster-gateway internal mTLS communication hardening

脆弱性概要 このウェブページのスクリーンショットは、OpenChoreoプロジェクトにおけるコードコミットを示しており、主に内部コンポーネントとクラスタゲートウェイ間の通信に関するセキュリティ向上に焦点を当てています。コミット担当者は、内部コンポーネント間の通信の安全性を強化するために、内部TLS（トランスポート層セキュリティ）のサポートを追加しました。 影響範囲 影響コンポーネント：この変更は、 、 、 など、複数の内部コンポーネントに影響を及ぼします。 影響機能：これらのコンポーネント間の内部通信では、クライアント証明書の検証が必須となり、承認されたコンポーネントのみが通信可能であることを保証します。 修正方案 1. 内部TLSサポートの追加： - の ファイルにおいて、内部APIのTLS検証を制御するための フラグを追加しました。 - のデプロイテンプレートを更新し、内部TLS関連の設定と証明書のマウントを追加しました。 2. 証明書管理： - 内部TLS証明書の内容を生成・管理するため、 や などの新しい証明書リソースを作成しました。 - と のデプロイテンプレートを更新し、内部TLS証明書の設定とマウントを追加しました。 3. 設定の更新： - と ファイルを更新し、 、 、 などの内部TLS関連の設定項目を追加しました。 POCコードまたは脆弱性利用コード このコミットには、具体的なPOCコードや脆弱性利用コードは含まれておらず、主にコード設定やテンプレートの更新が中心です。 go flag.BoolVar(&skipClientCertVerify, "skip-client-cert-verify", false, "Skip client certificate verification (for single-cluster setups without mTLS)") flag.BoolVar(&internalMTLS, "internal-mtls", false, "Use internal-mtls to control internal API verification") yaml {{- if and .Values.clusterGateway.tls.enabled .Values.clusterGateway.internalMTLS.enabled }} name: internal-client-ca mountPath: /internal-ca readOnly: true {{- end }} yaml apiVersion: cert-manager.io/v1 kind: Certificate metadata: name: {{ include "openchoreo-control-plane.clusterGateway.name" }}-internal-ca namespace: {{ .Release.Namespace }} spec: secretName: {{ .Values.clusterGateway.internalMTLS.caSecretName }} duration: 8760h 10年間 renewBefore: 720h 30日間 privateKey: algorithm: RSA size: 4096 isCA: true commonName: openchoreo-cluster-gateway-internal-ca subject: organizations: - OpenChoreo yaml apiVersion: cert-manager.io/v1 kind: Certificate metadata: name: {{ .Values.controllerManager.name }}-cluster-gateway-client namespace: {{ .Release.Namespace }} spec: secretName: {{ .Values.controllerManager.clusterGateway.tls.clientSecret }} commonName: openchoreo-controller-manager subject: organizations: - OpenChoreo isCA: false privateKey: algorithm: RSA size: 2048 usages: - client auth issuerRef: name: {{ include "openchoreo-control-plane.clusterGateway.name" }}-internal-ca-issuer kind: Issuer yaml apiVersion: cert-manager.io/v1 kind: Certificate metadata: name: {{ include "openchoreo-control-plane.openchoreoApi.name" }}-cluster-gateway-client namespace: {{ .Release.Namespace }} spec: secretName: {{ .Values.openchoreoApi.clusterGateway.tls.clientSecret }} commonName: openchoreo-api subject: organizations: - OpenChoreo isCA: false privateKey: algorithm: RSA size: 2048 usages: - client auth issuerRef: name: {{ include "openchoreo-control-plane.clusterGateway.name" }}-internal-ca-issuer kind: Issuer yaml {{- if .Values.clusterGateway.tls.enabled }} ca_cert_path: {{ .Values.openchoreoApi.clusterGateway.tls.caPath {{- end }} {{- if and .Values.clusterGateway.tls.enabled .Values.clusterGateway.internalMTLS.enabled }} client_cert_path: {{ .Values.openchoreoApi.clusterGateway.tls.clientCertPath client_key_path: {{ .Values.openchoreoApi.clusterGateway.tls.clientKeyPath {{- end }} yaml {{- if and .Values.clusterGateway.tls.enabled .Values.clusterGateway.internalMTLS.enabled }} name: cluster-gateway-client-tls mountPath: /etc/cluster-gateway-client readOnly: true {{- end }} 上記の要約は、脆弱性の概要、影響範囲、修正方案、および関連するコード例を網羅しています。

目標達成すべての支援者に感謝 — 100%達成しました！

OpenChoreo cluster-gateway internal mTLS communication hardening

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

OpenChoreo cluster-gateway internal mTLS communication hardening

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！