V9.1.3 Client Communication Security

Requirement:

Verify that only the latest recommended versions of the TLS protocol are enabled, such as TLS 1.2 and TLS 1.3. The latest version of the TLS protocol should be the preferred option.

Explanation:

Требование направлено на поддержание безопасности клиентского взаимодействия путем обеспечения включения только последних рекомендованных версий протокола TLS и установки последней версии в качестве предпочтительной. Transport Layer Security (TLS) - это криптографический протокол, обеспечивающий безопасную передачу данных по сетям. По мере обнаружения уязвимостей в безопасности со временем выпускаются новые версии TLS, которые устраняют эти проблемы и предоставляют расширенные возможности защиты. Данное требование направлено на обеспечение безопасности взаимодействия приложений путем использования последних и наиболее защищенных версий протокола TLS.

Remediation:

Чтобы выполнить требование и обеспечить использование в приложении только последних рекомендованных версий протокола TLS, установив при этом последнюю версию в качестве предпочтительной, необходимо выполнить следующие действия:

1. Understand TLS Protocol Versions.

Ознакомиться с различными версиями протокола TLS, их функциональными возможностями и уязвимостями.

2. Identify Current TLS Configuration.

Проанализировать текущую конфигурацию TLS в приложении, чтобы определить, какие версии протокола включены.

3. Stay Informed.

Следовать рекомендациям из надежных источников по использованию версий протокола TLS.

4. Disable Older Protocol Versions.

Отключить или удалить поддержку старых и менее безопасных версий TLS, таких как TLS 1.0 и TLS 1.1, из конфигурации TLS приложения.

5. Enable TLS 1.2 and TLS 1.3.

Включить поддержку последних рекомендуемых версий TLS: TLS 1.2 и TLS 1.3. Убедиться, что серверные и клиентские библиотеки вашего приложения поддерживают эти версии.

6. Set Latest Version as Preferred.

Настроить приложение на установку последней версии TLS (TLS 1.3, если она поддерживается) в качестве предпочтительной при согласовании TLS handshake.

7. Update TLS Libraries.

Убедиться, что библиотеки, используемые для TLS соединения в вашем приложении, обновлены и поддерживают последние версии.

8. Test TLS Configuration.

Использовать средства тестирования TLS, например SSL Server Test от SSL Labs (https://www.ssllabs.com/ssltest/), для анализа конфигурации TLS приложения. Убедиться, что включены только последние рекомендованные версии TLS, а последняя версия установлена как предпочтительная.

9. Monitor and Respond.

Осуществлять постоянный мониторинг конфигурации TLS на предмет уязвимостей и обновлений. Разработать планы реагирования на инциденты для устранения любых нарушений безопасности, связанных с подключением.

10. Documentation and Training.

Документировать изменения, внесенные в конфигурацию TLS приложения, включая включенные версии и предпочтительные настройки.

11. Regular Review and Updates.

Периодически пересматривать и обновлять конфигурацию TLS приложения, чтобы соответствовать последним рекомендациям по безопасности.

Пример демонстрирующий, как можно использовать библиотеку requests для обеспечения использования в клиентском взаимодействии последних рекомендованных версий протокола TLS (таких как TLS 1.2 и TLS 1.3) в соответствии с требованием V9.1.3:

import requests

def send_request_with_latest_tls(url):

try:

# Specify the allowed TLS versions

allowed_tls_versions = ("TLSv1.2", "TLSv1.3")

# Send a request to the URL with allowed TLS versions

response = requests.get(url, verify=True, tls_version=allowed_tls_versions)

# Check if the response is successful

if response.status_code == 200:

print("Response received:", response.text)

else:

print("Request failed with status code:", response.status_code)

except requests.exceptions.RequestException as e:

print("Request error:", e)

if __name__ == "__main__":

target_url = "https://example.com"

send_request_with_latest_tls(target_url)

В данном примере:

•     Используется библиотека requests для отправки GET-запроса на целевой URL.
•     Указываются допустимые версии TLS ("TLSv1.2", "TLSv1.3") для того, чтобы при передаче данных использовались только TLS 1.2 и TLS 1.3.
•     Аргумент verify=True включает проверку сертификата SSL/TLS.

Additional:

https://cwe.mitre.org/data/definitions/326.html