6.2.4. 클라이언트-프록시 연결에 대한 TLS 암호화 제품군 구성

암호화 제품군은 TLS에서 제공하는 보안 보장을 함께 제공하는 암호화 알고리즘 세트입니다. TLS 협상 중에 서버와 클라이언트는 모두 지원하는 공통 암호화 제품군에 동의합니다.

일부 이전 암호화 제품군은 이제 안전하지 않은 것으로 간주되지만 이전 클라이언트가 연결할 수 있도록 Kafka 클러스터에서 활성화할 수 있습니다.

프록시에서 기본적으로 활성화된 암호화 제품군은 프록시 이미지에 사용된 JVM 및 협상되는 TLS 프로토콜 버전에 따라 다릅니다.

TLS 다운그레이드 공격을 방지하려면 안전하지 않거나 더 이상 권장되지 않는 암호화 제품군을 비활성화할 수 있습니다. 그러나 프록시와 클러스터는 공통적으로 하나 이상의 암호화 제품군을 지원해야 합니다.

cipherSuites 속성을 구성하여 프록시에서 클라이언트-proxy 연결을 협상할 때 사용하는 TLS 암호화 제품군을 제한할 수 있습니다.

kind: VirtualKafkaCluster
metadata:
  # ...
spec:
  # ...
  ingresses:
    - ingressRef:
        name: cluster-ip
      tls:
        certificateRef:
          # ...
        cipherSuites: 

          allow: 

           - TLS_AES_128_GCM_SHA256
           - TLS_AES_256_GCM_SHA384

또는 deny 를 사용하여 제외할 암호화 모음을 지정할 수 있습니다.

지원되는 암호화 제품군의 이름은 프록시 컨테이너 이미지의 JVM에 따라 다릅니다. 자세한 내용은 JSSE Cipher Suite Names 를 참조하십시오.