Mit Version 26.4.0 der Lobster Data Platform ändert sich das Verhalten von TLS-Verbindungen bei Legacy-AMQP-Verbindungen (siehe AMQP-Verbindungen (Legacy)). Die Verbindung prüft jetzt, ob das Zertifikat des Brokers zum konfigurierten Host passt. Bisher prüfte sie nur die Vertrauenskette des Zertifikats.
Was sich geändert hat
Mit Version 26.4.0 wurde die zugrunde liegende RabbitMQ-Client-Bibliothek von Version 5.25.0 auf 5.35.0 aktualisiert. Die Aktualisierung behebt mehrere Sicherheitslücken, darunter Denial-of-Service-Schwachstellen vor der Authentifizierung.
Als Folge prüfen TLS-Verbindungen mit AMQP 0.9.1 jetzt den Hostnamen des Brokers. Der Hostname im Zertifikat muss zum konfigurierten Host passen.
Wer ist betroffen
Sie sind betroffen, wenn alle drei Punkte zutreffen:
Sie nutzen eine Legacy-AMQP-Verbindung mit AMQP 0.9.1 (siehe AMQP-Verbindungen (Legacy)).
Für die Verbindung ist TLS aktiviert (Checkbox Ist eine SSL-Verbindung gesetzt).
Es ist ein Zertifikat oder ein Keystore mit Passphrase für SSL KeyStore hinterlegt.
Sie sind nicht betroffen, wenn einer der folgenden Punkte zutrifft:
Die Verbindung nutzt kein SSL.
Der CN oder SAN des Broker-Zertifikats passt bereits zum in der Verbindung konfigurierten Host.
Sie nutzen eine kanalbasierte AMQP-Verbindung (Konfiguration über einen Kanal). Dort ist die Hostname-Verifizierung bereits aktiv.
Wann schlagen Verbindungen fehl
Nach dem Upgrade schlägt eine Verbindung fehl, wenn das Broker-Zertifikat nicht zum konfigurierten Host passt. Häufige Fälle:
Die Verbindung ist mit einer IP-Adresse konfiguriert, das Zertifikat enthält aber einen DNS-Namen.
Es wird ein kurzer interner Hostname verwendet, das Zertifikat enthält aber einen vollständig qualifizierten Domänennamen (FQDN).
Ein Selbstsigniertes Zertifikat wurde mit einem Platzhalter oder einem abweichenden Namen erstellt.
Was Sie vor dem Upgrade auf 26.4.0 tun sollten
Suchen Sie alle Legacy-AMQP-Verbindungen mit AMQP 0.9.1 heraus, bei denen TLS aktiviert ist (Checkbox Ist eine SSL-Verbindung gesetzt) und ein Zertifikat oder ein Keystore mit Passphrase hinterlegt ist.
Prüfen Sie, ob der CN oder SAN des Broker-Zertifikats exakt zum in der Verbindung konfigurierten Host passt.
Beheben Sie eine Abweichung auf eine von zwei Arten:
Stellen Sie das Broker-Zertifikat mit dem korrekten Host oder SAN neu aus.
Ändern Sie die Verbindung so, dass der Host zum Zertifikat passt.
Wenn Sie unsicher sind, ob Ihre Konfiguration betroffen ist, wenden Sie sich vor dem Upgrade an den Support.