是否可以删除托管在Azure上的Web应用程序上的弱密码或编辑注册表设置？

Question

我们的安全小组报告说我们使用了弱密码，尽管我们在我们的web应用程序上使用了TLS 1.2配置。我想弄清楚弱密码套件，以及如何从我们的TLS 1.2配置中删除弱密码，因为我们可以看到扫描站点上的所有弱密码细节。由于Azure函数\web应用程序是托管服务，是否有方法禁用它们，或者是否可以修改应用程序的注册表设置？

Answer 1

对于Azure web应用程序，目前不支持从请求中删除密码套件。如本文档- https://github.com/projectkudu/kudu/wiki/Azure-Web-App-sandbox#writing-to-registry所示，不可能对web应用程序的注册表设置进行任何配置更改。

为了更高的安全性，您只能将TLS设置设置为1.2，并且通过与客户端协商，可以使用它们所拥有的任何密码，因此默认情况下，客户端通常会使用其中一个不弱的密码。许多Azure客户对删除/禁用不安全密码的特性请求提供了反馈，但到目前为止，只有RC4在整个服务中被禁用-- https://feedback.azure.com/forums/169385-web-apps-formerly-websites/suggestions/7091994-disable-insecure-ciphers-in-azure-websites?page=2&per_page=20，尽管微软一直在审查密码套件。

目前，有三种可能的方法可以删除弱密码：

1. 应用程序服务环境-这使您可以通过Azure资源管理器- https://learn.microsoft.com/en-us/azure/app-service/environment/app-service-app-service-environment-custom-settings#change-tls-cipher-suite-order来设置自己的密码。我复制了这个，并发现可以通过修改https://resources.azure.com/.

中的clusterSettings来设置您自己的密码或更改密码套件顺序。

1. 使用Azure FrontDoor -您可以通过Azure门户在自定义域HTTPS设置中在Azure前门配置一个最小的TLS版本。配置TLS1.2之后，只支持以下强密码套件: TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384、TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256、TLS_DHE_RSA_WITH_AES_256_GCM_SHA384、TLS_DHE_RSA_WITH_AES_128_GCM_SHA256。您可以在这里找到更多关于此的信息- https://learn.microsoft.com/en-us/azure/frontdoor/front-door-faq#tls-configuration.

使用应用程序网关的

1. --这允许您指定一个适合组织安全需求并有助于满足遵从性要求的中心TLS策略。如本文所示，TLS策略包括TLS协议版本的控制以及密码套件的控制，以及在TLS握手过程中使用密码的顺序。