阿里云负载均衡存在TLS ROBOT Attack

小灰灰 2023-02-14 10:46 4阅读 0赞

**负载均衡**（Server Load Balancer）是将访问流量根据转发策略分发到后端多台云服务器（ECS实例）的流量分发控制服务。负载均衡扩展了应用的服务能力，增强了应用的可用性。

**阿里云 SLB 的负载均衡：目前有七层和四层**

四层和七层监听的请求报文交互情况：

**详细信息**  
抓包环境介绍  
47.*.*.241：客户端公网IP。  
121.*.*.252：SLB公网IP。  
172.*.*.252：后端ECS的内网IP。

**TCP四层监听报文**  
面向连接的协议，在正式收发数据前，必须和对方建立可靠的连接，在网络层可直接看到来源地址。当SLB对流量进行转发时，请求报文仅经过LVS，然后透传到后端服务器（单从入方向的请求来看，SLB的角色与直接绑定在ECS上的EIP角色类似）。  
后端服务器报文：直接与客户端公网IP三次握手后，建立TCP连接。  
客户端侧报文：与SLB公网IP三次握手后，建立TCP连接。

**HTTP七层监听报文**  
后端服务器不直接与客户端建立连接，SLB只作为反向代理，请求处理过程中，经过LVS与Tengine集群（HTTPS在首次请求时还需要经由Key Server）。  
后端服务器报文：TCP连接与SLB回源IP（一般为100段）三次握手后，建立TCP连接。  
客户端侧报文：TCP连接与SLB公网IP三次握手后，建立TCP连接。

--------------------

## TLS ROBOT ##

TLS ROBOT存在于传输层安全(TLS)协议，影响使用PKCS \#1 v1.5填充的RSA加密和签名的服务器，在该漏洞下，攻击者能够在不获取网站的私钥的前提下，解密通信双方的密文。这是一种自适应的密文选择攻击。

威胁程度：中等  
更多参考：[The TLS ROBOT Attack][]

--------------------

目前发生的问题，主要针对的是上面介绍的阿里负载均衡的七层协议，四层协议因为放在后端处理的没有这个漏洞。但采用四层协议的方式，TLS协议处理的话必须在系统内部处理，这样的话必须重新启动客户系统，造成业务中断。

个人建议阿里这边针对TLS协议能够像微软云那样可以进行定制化处理（如下图）：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx_size_16_color_FFFFFF_t_70]

--------------------

TLS ROBOT Attack 的测试方法和修复方案如下：

检查方法：  
https://myssl.com/robot\_detect.html

修复方案：  
https://blog.myssl.com/robot-attack-detect/

[The TLS ROBOT Attack]: https://robotattack.org/
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20200602163858567.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx,size_16,color_FFFFFF,t_70