背景#

此修复项用于废弃两项SSH弱加密算法，包括

• hmac-sha1
• hmac-sha1-etm@openssh.com

严格来说，这两个并不是加密算法，而是SSH的MAC（消息认证码）算法，用于保证数据完整性和防篡改，而不是用于加密数据内容。

由于2017年，SHA-1加密算法已被碰撞攻击攻破，因此SHA-1不再被视为是安全的加密算法，伴随着的是：

• TLS 已弃用 SHA-1
• 浏览器不再信任 SHA-1 证书
• NIST 不推荐继续使用 SHA-1
• CIS Benchmark、DISA STIG、等保等基线普遍要求关闭

因此，关闭废弃这两个算法有助于提升环境的安全评级。然而，严格来说hmac-sha1并没有真正被攻破，真正导致它需要被禁用的原因是安全裕度不足，SHA-1只输出160 bit，而

• SHA256: 256 bit
• SHA384: 384 bit
• SHA512: 512 bit

既然有更好的加密算法，那么确实也没有必要留存这个不知道何时会被攻破，并且本身安全裕度不足的算法。

此外，很多安全扫描工具在扫到SHA-1算法后也会直接报高危漏洞，因此就算是仅仅为了通过安全审计，也有必要废弃此算法。

实现#

1. 通过显式声明将此算法排除

1
sudo tee /etc/ssh/sshd_config.d/99-disable-weak-macs.conf > /dev/null <<'EOF'
2
MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,umac-128@openssh.com
3
EOF

2. 确认配置无误

1
sudo sshd -t

3. 重启sshd

1
sudo systemctl restart sshd

4. 确认配置有效

1
sshd -T | grep macs

3.1. 备份旧Manifest文件#

1
mkdir -p /root/k8s-manifest-backups/
2

3
cp -r /etc/kubernetes/manifests/* /root/k8s-manifest-backups/

3.2 修改 kubelet，处理 10250/tcp#

1. 修改所有节点的kubelet配置文件: /var/lib/kubelet/config.yaml，加入或更新

1
tlsMinVersion: VersionTLS12
2
tlsCipherSuites:
3
- TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
4
- TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
5
- TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
6
- TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
7
- TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
8
- TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384

重启kubelet

1
systemctl restart kubelet && systemctl status kubelet

2. 修改 kube-system 下的 kubelet 配置 ConfigMap 这可以确保后续 kubeadm upgrade 或节点重建时配置不会被覆盖

1
# 先保存当前配置
2
kubectl get cm kubelet-config -n kube-system -o yaml > /root/k8s-manifest-backups/kubelet-config-ori.yaml
3
# 然后编辑
4
kubectl edit cm kubelet-config -n kube-system

在.data.kubelet层级下，增加前一步的tls配置并保存

或者也可以直接patch

1
kubectl patch cm kubelet-config -n kube-system --type merge -p '
2
data:
3
  kubelet: |
4
    {"tlsMinVersion":"VersionTLS12","tlsCipherSuites":["TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256","TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256","TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256","TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384","TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256","TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384"]}
5
'

3.3 修改 kube-controller-manager，处理 10257/tcp#

修改每个Control Plane节点上的/etc/kubernetes/manifests/kube-controller-manager.yaml文件，在command层级下加入:

1
- --tls-min-version=VersionTLS12
2
- --tls-cipher-suites=TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384

保存并退出，在约30s内，static pod会被自动重建

3.4 修改 kube-scheduler，处理 10259/tcp#

修改每个Control Plane节点上的/etc/kubernetes/manifests/kube-scheduler.yaml文件，在command层级下加入:

1
- --tls-min-version=VersionTLS12
2
- --tls-cipher-suites=TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384

保存并退出，在约30s内，static pod会被自动重建

3.5 修改 etcd，处理 2379/tcp 和 2380/tcp#

修改每个Control Plane节点上的/etc/kubernetes/manifests/etcd.yaml文件，在command层级下加入:

1
- --tls-min-version=TLS1.2
2
- --cipher-suites=TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384

etcd 建议逐台处理，等待当前节点 etcd 恢复健康后再处理下一台；监控etcd上线:

1
# 确保Pod状态为running
2
kubectl -n kube-system get pod -l component=etcd -o wide
3
# 在 etcd pod 内执行检查，确保 member 已加入集群
4
kubectl exec -n kube-system <etcd-pod-name> -- etcdctl endpoint health --cluster