Como Descobrir a Versão do TLS Usada no banco de dados utilizando Nmap

Se você está tentando descobrir a versão do TLS que está sendo usada no seu banco de dados deseja realizar isso por meio de uma conexão ao servidor de banco de dados, pode-se utilizar o Nmap para inspecionar o tráfego de rede entre o cliente e o servidor. O Nmap é útil especialmente quando você está testando em uma rede e precisa saber se o serviço está seguro, sem modificar diretamente as configurações do servidor.

Aqui está como realizar a varredura:

1. Verificar as versões TLS e ciphers disponíveis no banco de dados:

Você pode usar o script ssl-enum-ciphers do Nmap, que irá verificar todas as versões de TLS/SSL disponíveis na conexão PostgreSQL.

Comando:

# nmap --script ssl-enum-ciphers -p <Porta_do_banco> <IP_do_servidor>

Esse comando verifica quais versões de SSL/TLS estão ativas e quais cifras estão sendo utilizadas na porta, onde o banco de dados está rodando. A saída desse comando fornecerá detalhes como as versões de TLS (por exemplo, TLSv1.2, TLSv1.3) e as cifras aceitas.

2. Combinação com Detecção de Serviços:

Outro comando útil é combinar a detecção de versões de serviço com o script de cifras:

# nmap -sV --script ssl-enum-ciphers -p <Porta_do_banco> <IP_do_servidor>

Esse comando vai detectar o serviço em execução na porta e também a versão do TLS usada, além das cifras disponíveis.

Essa abordagem com o Nmap permite que você tenha uma visão clara sobre o nível de segurança da conexão do seu banco de dados PostgreSQL, garantindo que ele esteja utilizando protocolos seguros como TLSv1.2 ou TLSv1.3.

Isso ajuda a assegurar que o tráfego entre o banco de dados e o cliente esteja criptografado com segurança, evitando ataques relacionados a versões desatualizadas ou vulneráveis de SSL/TLS.

3. Resultado esperado

PORT     STATE SERVICE
5432/tcp open  postgresql
| ssl-enum-ciphers:
|   TLSv1.2:
|     ciphers:
|       TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (ecdh_x25519) - A
|       TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (ecdh_x25519) - A
|     compressors:
|       NULL
|   TLSv1.3:
|     ciphers:
|       TLS_AES_256_GCM_SHA384 - A
|       TLS_CHACHA20_POLY1305_SHA256 - A
|     compressors:
|       NULL