k8s ssl 漏洞修复
针对Kubernetes集群中SSL/TLS协议信息泄露漏洞（CVE-2016-2183）的修复，需重点修改涉及弱加密算法的组件配置。以下是具体修复步骤及验证方法：
一、漏洞修复步骤
1. 修复etcd服务
-
修改配置文件
：
编辑
/etc/kubernetes/manifests/etcd.yaml，在
command段添加以下参数禁用弱加密算法：
- --cipher-suites=TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_128_GCM_SHA256,TLS_RSA_WITH_AES_256_GCM_SHA384注意：参数顺序需严格按示例排列，否则可能导致etcd反复重启。
2. 修复kube-apiserver
-
修改配置文件
：
编辑
/etc/kubernetes/manifests/kube-apiserver.yaml，添加以下参数：
- --tls-cipher-suites=TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_128_GCM_SHA256,TLS_RSA_WITH_AES_256_GCM_SHA384修改后保存，Kubelet会自动重启服务。
3. 修复kubelet
-
修改配置文件
：
编辑
/var/lib/kubelet/config.yaml，在末尾添加：
tlsCipherSuites: - TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 - TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 - TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA - TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA - TLS_RSA_WITH_AES_128_GCM_SHA256 - TLS_RSA_WITH_AES_256_GCM_SHA384执行
systemctl restart kubelet重启服务。
二、验证修复效果
使用nmap工具检测服务端口是否仍存在弱加密算法：
nmap --script ssl-enum-ciphers -p 2380,6443,10250 <节点IP>
若输出中无64-bit block cipher 3DES vulnerable to SWEET32 attack警告，则修复成功。
三、注意事项
- 多节点集群：
需在所有Master节点上同步修改配置，并确保同时重启etcd服务，避免因节点间配置不一致导致服务中断。 - 兼容性测试：
修改前备份配置文件，并在测试环境验证服务功能（如Pod调度、API访问），确认无兼容性问题。 - 其他组件：
若使用Windows节点，需额外禁用TLS 1.0/1.1并配置组策略加密套件。
四、补充说明
- 漏洞原理：CVE-2016-2183源于使用64位块加密算法（如3DES），易受SWEET32生日攻击，导致数据泄露。
- 替代方案：推荐优先使用AES-GCM等现代加密算法，并升级OpenSSL至1.1.1以上版本增强兼容性。
如需完整配置示例或修复脚本，可参考中的详细操作截图及脚本链接。