在运维工作中，在对 Kubernetes 集群进行安全扫描时，发现 Master 节点的Kubelet API（端口 10250）存在 SSL/TLS 协议配置风险。该服务默认可能支持不安全的加密算法（如 3DES）及不安全的密钥交换方式（RSA），导致目标主机易受中间人攻击或信息泄露（符合 CVE-2016-2183 特征）。

🛡️ Kubernetes 安全加固：修复 Kubelet API (10250) SSL/TLS 协议漏洞实战

在对 Kubernetes 集群进行安全扫描时，发现 Master 节点的 Kubelet API（端口 10250）存在 SSL/TLS 协议配置风险。该服务默认可能支持不安全的加密算法（如 3DES）及不安全的密钥交换方式（RSA），导致目标主机易受中间人攻击或信息泄露（符合 CVE-2016-2183 特征）。

1. 漏洞详情

• 涉及组件： kubelet
• 通信协议： TCP
• 监听端口： 10250
• 风险描述：
  1. SSL/TLS 协议信息泄露漏洞 (CVE-2016-2183)：目标主机支持弱加密套件（如 3DES），存在被暴力破解的风险。
  2. 目标主机支持 RSA 密钥交换：服务端允许使用纯 RSA 算法进行密钥交换，缺乏前向保密性（Forward Secrecy）。一旦服务器私钥泄露，历史通信记录将被解密。
• 影响范围： K8s 集群的所有 Master 节点均需执行此修复。

2. 修复方案

我们需要修改 Kubelet 的配置文件，显式指定高强度的加密套件（Cipher Suites），从而禁用不安全的算法并强制使用前向保密。

操作步骤：

1. 编辑 Kubelet 的配置文件 /var/lib/kubelet/config.yaml。
2. 在文件末尾添加或修改 tlsCipherSuites 字段，强制指定安全的加密套件列表。

⚠️ 注意：

• 请确保缩进正确（YAML 格式敏感）。
• 以下配置仅保留了基于 ECDHE 的 AES-GCM 加密套件，既保证了安全性（前向保密），又兼顾了性能。

# /var/lib/kubelet/config.yaml

tlsCipherSuites:
  - TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  - TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  - TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
  - TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384

3. 保存退出后，重新加载守护进程并重启 kubelet 服务：

systemctl daemon-reload
systemctl restart kubelet

3. 验证方法

修复完成后，请使用 openssl 工具分别针对“弱加密套件”和“RSA 密钥交换”进行验证。

1. 验证是否禁用了 3DES 等弱算法

尝试使用不安全的 3DES 算法连接 10250 端口，如果握手失败，说明修复成功。

验证命令：

openssl s_client -connect <集群主机IP>:10250 -cipher 3DES -tls1_2 </dev/null 2>&1 | grep "Cipher"

结果判定：

• ✅ 修复成功： 输出包含 no shared cipher 或 Cipher is (NONE)，说明服务器拒绝了 3DES 连接请求。
• ❌ 修复失败： 如果输出了具体的 Cipher 名称（如 Cipher is DES-CBC3-SHA），则说明漏洞依然存在。

2. 验证是否禁用了 RSA 密钥交换

尝试强制使用 RSA 密钥交换算法进行连接，检查服务端是否拒绝。

验证命令：

openssl s_client -connect <集群主机IP>:10250 -cipher "kRSA" -tls1_2 </dev/null 2>&1 | grep -E "(handshake failure|no shared cipher|Cipher)"

结果判定：

• ✅ 修复成功： 输出包含 handshake failure 且最终显示 Cipher is (NONE)。这表明服务端已成功禁用 RSA 密钥交换，强制要求使用前向保密算法。
• ❌ 修复失败： 如果输出中显示了具体的 Cipher 名称（如 Cipher is AES256-GCM-SHA384），则说明服务端仍然允许使用 RSA 进行密钥交换，漏洞尚未修复。