mirror of
https://github.com/fatedier/frp.git
synced 2026-05-15 08:05:49 -06:00
[GH-ISSUE #3394] [Feature Request] SSL使用的密码采用中强度解密，即使用的KEY解密长度至少64位，但少于112位 #2714
Labels
No labels
In Progress
WIP
WaitingForInfo
bug
doc
duplicate
easy
enhancement
future
help wanted
invalid
lifecycle/stale
need-issue-template
need-usage-help
no plan
proposal
pull-request
question
todo
No milestone
No project
No assignees
1 participant
Notifications
Due date
No due date set.
Dependencies
No dependencies set.
Reference: github-starred/frp#2714
Loading…
Add table
Add a link
Reference in a new issue
No description provided.
Delete branch "%!s()"
Deleting a branch is permanent. Although the deleted branch may continue to exist for a short time before it actually gets removed, it CANNOT be undone in most cases. Continue?
Originally created by @iceleeyo on GitHub (Apr 10, 2023).
Original GitHub issue: https://github.com/fatedier/frp/issues/3394
Describe the feature request
被安全检测的公司扫描到一个漏洞，是否有配置项可以配置
加固建议：
重新设置受影响的应用程序，可能的话，避免使用中强度加密，改为强度较高的加密算法。
Describe alternatives you've considered
No response
Affected area
@fatedier commented on GitHub (Apr 10, 2023):
不太清楚具体的含义，以及是怎样请求
@iceleeyo commented on GitHub (Apr 10, 2023):
这个漏洞有可能是误报，请作者看看nginx里的这个漏洞描述是否有帮助
https://web175.com/archives/Nginx%E4%BF%AE%E5%A4%8D%E5%85%81%E8%AE%B8SSL%E9%87%87%E7%94%A8%E4%B8%AD%E5%BC%BA%E5%BA%A6%E5%8A%A0%E5%AF%86%E6%BC%8F%E6%B4%9E.html
Here is the list of medium strength SSL ciphers supported by the remote server :
Medium Strength Ciphers (> 64-bit and < 112-bit key, or 3DES)
ECDHE-RSA-DES-CBC3-SHA Kx=ECDH Au=RSA Enc=3DES-CBC(168) Mac=SHA1
The fields above are :
{OpenSSL ciphername}
Kx={key exchange}
Au={authentication}
Enc={symmetric encryption method}
Mac={message authentication code}
{export flag}
请求这一块，不知道安全公司的检测方式是什么样的，可能是使用nmap调用了一串命令测试frps服务端口的ssl连接
这份安全报告的文档还有两个漏洞涉及到frp，在列出的受影响的端口列表里除了frps的，还有443
加固建议：
启用对TLS 1.2和1.3的支持，并禁用对TLS 1.0的支持。
启用对TLS 1.2和/或1.3的支持，并禁用对TLS 1.1的支持。
@fatedier commented on GitHub (Apr 10, 2023):
TLS 目前用是 golang 默认配置，默认不禁用 TLS 1.1。
可以考虑支持这个配置，来选择禁用的 TLS 版本，不过不确定禁用之后是不是会有兼容性问题。而且既然是 Golang 默认的行为，可能主要是出于兼容性的考虑，在大部分场景下应该都是可以接受的。
另外你上面列了 7000-7003 四个端口，7000 可以理解是 frp 自身使用的。剩下三个端口你应该也不是全是 vhost_https_port，可能是直接 tcp 端口转发，那这个 TLS 配置，可能就是你内网自身服务的 TLS 版本，这个是没法在 frp 这个层面修改的。
@iceleeyo commented on GitHub (Apr 10, 2023):
明白了，谢谢回复~
@SidneyLann commented on GitHub (Nov 7, 2023):
tls至少得1.2， 这个在frps.toml如何设置？
@redlert commented on GitHub (Jan 10, 2024):
参照这里: https://github.com/fatedier/frp/issues/3750
@fatedier commented on GitHub (Feb 22, 2024):
Go 1.22 将会变更默认的 TLS min version 为 1.2，预计下个版本会使用 go1.22 编译。
@github-actions[bot] commented on GitHub (Mar 15, 2024):
Issues go stale after 21d of inactivity. Stale issues rot after an additional 7d of inactivity and eventually close.
@SidneyLann commented on GitHub (Mar 23, 2024):
.