V9.2.1 Server Communication Security

Requirement:

Verify that connections to and from the server use trusted TLS certificates. Where internally generated or self-signed certificates are used, the server must be configured to only trust specific internal CAs and specific self-signed certificates. All others should be rejected.

Explanation:

Требование определяет необходимость использования доверенных сертификатов для установления безопасных соединений и предотвращения возможности атакующих выдавать себя за сервер или перехватывать конфиденциальные данные. Оно также подчеркивает необходимость правильного управления внутренними или самоподписанными сертификатами для поддержания целостности и подлинности каналов связи.

Предположим, что в корпоративном приложении для внутреннего взаимодействия между различными микросервисами используются самоподписанные сертификаты. Сервер, на котором размещены микросервисы, настроен на доверие только к определенным самоподписным сертификатам, выпущенным уполномоченным центром сертификации организации. Любые другие самоподписанные сертификаты отвергаются, не позволяя неавторизованным сервисам устанавливать связь.

Remediation:

Чтобы выполнить требование и убедиться, что при взаимодействии с сервером приложения используются доверенные сертификаты TLS, соблюдается правильная конфигурация для внутренних или самоподписанных сертификатов и отклоняются недоверенные сертификаты, можно выполнить следующие действия:

1. Understand TLS Certificate Trust:

• Ознакомьтесь с принципом работы сертификатов TLS, концепцией цепочек доверия и центрами сертификации ("CA").

2. Review Certificate Setup:

• Проанализируйте текущую настройку сертификатов TLS в вашем приложении, включая типы сертификатов, эмитентов и конфигурацию доверия.

3. Identify Internal Certificates:

•  Определите внутренние или самоподписанные сертификаты, используемые в приложении.

4. Establish Certificate Authority (CA) Policy:

• Определите политику доверия к внутренним центрам сертификации или самоподписанным сертификатам в вашей организации.

5. Implement Certificate Revocation Checks:

•  Убедитесь, что ваше приложение проверяет статус отзыва сертификата, чтобы предотвратить использование отозванных сертификатов.

6. Configuration and Remediation:

Ниже приведен пошаговый подход к проверке и исправлению конфигурации сертификата TLS в приложении:

a. Review Certificate Trust Store:

• Проверьте хранилище сертификатов на сервере, чтобы определить, какие центры сертификации являются доверенными.
• Убедитесь, что в хранилище сертификатов включены только надежные центры сертификации, которые распознаны и авторизованы.

b. Verify Internally Issued Certificates:

• Проверьте сертификаты, используемые в приложении, особенно самоподписанные или внутренние сертификаты.

• Определите, какие из этих сертификатов считаются действительными и им следует доверять.

c. Implement Configuration Changes:

• Настройте сервер так, чтобы он доверял только тем внутренним центрам сертификации или самоподписанным сертификатам, которые соответствуют политике доверия вашей организации.

• Настройте сервер на отклонение любых сертификатов, которым явно не доверяют.

d. Certificate Validation Testing:

• Используйте средства тестирования TLS для проверки конфигурации сертификатов на сервере.

• Убедитесь, что сервер принимает только сертификаты от доверенных центров сертификации или доверенные самоподписанные сертификаты.

7. Certificate Management:

• Установите процесс управления внутренними центрами сертификации и самоподписанными сертификатами:

a. Issuance and Renewal:

• Выпускайте и продлевайте сертификаты по мере необходимости, соблюдая политику доверия.

b. Revocation:

• Реализуйте механизм отзыва сертификатов при необходимости (например, при компрометации закрытых ключей).

c. Updates: 

• Регулярно обновлять сертификаты и вести соответствующую документацию.

8. Monitoring and Incident Response:

• Настройте мониторинг для обнаружения любых несанкционированных или нестандартных действий с сертификатами.

• Разработайте план реагирования на инциденты, связанные с сертификатами.

9. Documentation and Training:

• Задокументируйте изменения, внесенные в конфигурацию сертификатов, политику доверия и процессы управления сертификатами.

10. Regular Review and Updates:

• Периодически пересматривайте и обновляйте конфигурацию сертификатов и политику доверия, чтобы соответствовать изменяющимся требованиям безопасности.

Для генерации Cipher Suites и настройки TLS connection on Web Server рекомендуется использовать Generator Ciphers Suites & Tool for setting up IIS Cipher Suite.

How to check it: https://www.ssllabs.com/ssltest/analyze.html?d=example.com

Пример демонстрирующий, как в соответствии с требованием V9.2.1 можно обеспечить использование доверенных TLS-сертификатов, как внутренних, так и самоподписанных, при подключении к внешнему серверу:

import requests

def send_request():

# Set up the external server URL

external_url = "https://external.example.com"

try:

# Send a request to the external server

response = requests.get(external_url)

# Check if the response is successful

if response.status_code == 200:

print("Response received:", response.text)

else:

print("Request failed with status code:", response.status_code)

except requests.exceptions.RequestException as e:

print("Request error:", e)

if __name__ == "__main__":

send_request()

В данном примере:

•     Используется библиотека requests для отправки GET-запроса на внешний сервер.
•     Доступ к URL-адресу внешнего сервера осуществляется по протоколу HTTPS, что подразумевает использование TLS.
•     Ответ проверяется на успешность и выводится на печать.

Additional:

https://cwe.mitre.org/data/definitions/295.html

https://cheatsheetseries.owasp.org/cheatsheets/Transport_Layer_Protection_Cheat_Sheet.html