V9.1.2 Client Communication Security

Requirement:

Verify using up to date TLS testing tools that only strong cipher suites are enabled, with the strongest cipher suites set as preferred.

Explanation:

Требование направлено на обеспечение безопасности клиентского взаимодействия путем проверки того, что при реализации Transport Layer Security (TLS) включены только сильные наборы шифров, причем самые сильные из них являются предпочтительными. Наборы шифров - это наборы криптографических алгоритмов, определяющих методы шифрования, аутентификации и целостности данных, используемые в процессе рукопожатия TLS. Данное требование направлено на повышение безопасности конфигурации TLS за счет использования надежных механизмов шифрования и криптографии, что позволяет защитить конфиденциальные данные, передаваемые между клиентами и сервером.

Remediation:

Чтобы выполнить требование и обеспечить использование в приложении только сильных наборов шифров, причем самые сильные из них должны быть установлены как предпочтительные для TLS соединения, можно выполнить следующие действия:

1. Understand Cipher Suites:

• Ознакомьтесь с концепцией наборов шифров, их компонентами и последствиями для безопасности.

2. Identify Current Cipher Suites:

•  Проанализируйте конфигурацию TLS вашего приложения, чтобы определить включенные в настоящее время наборы шифров и их порядок.

3. Use Up-to-Date TLS Testing Tools:

• Используйте современные средства тестирования TLS для анализа конфигурации TLS и настроек набора шифров в приложении.
• Такие инструменты, как SSL Labs' SSL Server Test (https://www.ssllabs.com/ssltest/), позволяют получить представление о безопасности конфигурации.

4. Disable Weak Cipher Suites:

• Отключите или удалите слабые и устаревшие наборы шифров, которые уязвимы для атак.

• Рекомендации по отключению конкретных наборов шифров см. в документации к библиотеке TLS или серверному программному обеспечению.

5. Prioritize Strong Cipher Suites:

• Переопределите список включенных наборов шифров таким образом, чтобы наиболее сильные из них занимали первое место.

• В сильных наборах шифров обычно используются современные алгоритмы шифрования и методы обмена ключами.

6. Stay Updated:

• Регулярно пересматривайте и обновляйте конфигурацию TLS приложения в соответствии с последними рекомендациями по безопасности и уязвимостями.

7. Test Configuration Changes:

• После внесения изменений в настройки набора шифров используйте средства тестирования TLS для проверки эффективности изменений.
• Убедитесь, что включены только сильные наборы шифров и правильно установлены предпочтительные наборы.

8. Penetration Testing:

• Проведите тестирование на проникновение, чтобы убедиться, что в конфигурации TLS приложения эффективно используются стойкие наборы шифров.
• Протестируйте различные сценарии, чтобы убедиться в том, что конфигурация работает в различных условиях.

9. Document Changes:

• Задокументируйте изменения, внесенные в конфигурацию TLS приложения, включая отключенные наборы шифров и порядок предпочтительных наборов.

10. Keep Monitoring:

• Осуществляйте постоянный мониторинг и периодическую оценку конфигурации TLS приложения для обеспечения ее безопасности.

Пример демонстрирующий, как с помощью библиотеки requests можно проверить и убедиться в том, что для связи с клиентом включены и предпочитаются сильные наборы шифров, в соответствии с требованием V9.1.2

import requests

def check_cipher_suites(url):

try:

# Send a request to the URL

response = requests.get(url, verify=True)

# Print the negotiated cipher suite

negotiated_cipher_suite = response.connection.cipher()

print("Negotiated Cipher Suite:", negotiated_cipher_suite)

except requests.exceptions.RequestException as e:

print("Request error:", e)

if __name__ == "__main__":

target_url = "https://example.com"

check_cipher_suites(target_url)

В данном примере:

• Используется библиотекa requests для отправки GET-запроса на целевой URL.
• Аргумент verify=True обеспечивает включение проверки сертификатов SSL/TLS.
• После установления соединения мы выводим согласованный набор шифров.

Additional:

https://cwe.mitre.org/data/definitions/326.html

https://cheatsheetseries.owasp.org/cheatsheets/Transport_Layer_Protection_Cheat_Sheet.html

https://owasp.org/www-community/controls/Certificate_and_Public_Key_Pinning