node.js - 谷歌应用引擎 Node.js TLS 1.2

Question

我们的应用程序托管在 Google App Engine Node.js(灵活环境)上。我们现在正在接受安全审查，未解决 Google App Engine 支持 TLS 1.0 和 1.1 版本的问题。

有没有办法强制只使用 TLS 1.2？还要阻止低于 128 位的密码？

Answer 1

所以我也遇到了这个问题……发现 GCP 并没有那么有用。如果提出支持票，他们将有助于在域级别进行限制......这解决了安全问题......但你仍然会得到误报，需要在每次渗透测试时解释(GAE 共享 IP 接受其他其他域的 TLS 版本)。

一个漂亮干净的解决方案；使用 Cloudflare 作为您的 DNS。它们本质上充当中间人/Web 应用程序防火墙。除其他事项外(免费证书、WAF、DDOS 缓解、CDN、HTTPS 强制、HSTS 等等)，您可以根据需要设置最低 TLS 版本。我的现在最低为 TLS 1.2，如果浏览器接受，则支持 TLS 1.3。我基本上也只有 GAE 上的端口 80/443 连接到 cloudflare，根本没有公共(public)访问权限，因为所有流量都首先通过 cloudflare。非常简洁 - 向公众开放的零端口和一个全面运营的网站!渗透测试的家伙只是挠头并收拾行装。

哦...仅供引用 - 此级别的配置是免费的。快乐的安全测试;-)