Restringe los conjuntos de algoritmos de cifrado TLS

En esta página, se describe cómo puedes impedir el acceso a los recursos de Google Cloud rechazando las solicitudes realizadas con ciertos conjuntos de algoritmos de cifrado de seguridad de la capa de transporte (TLS) menos seguros.

Descripción general

Google Cloud admite varios conjuntos de algoritmos de cifrado TLS. Para cumplir con los requisitos de seguridad o cumplimiento, es posible que desees rechazar las solicitudes de los clientes que usan conjuntos de algoritmos de cifrado TLS menos seguros.

Esta capacidad se proporciona a través de la gcp.restrictTLSCipherSuites restricción de política de la organización. La restricción se puede aplicar a organizaciones, carpetas o proyectos en la jerarquía de recursos.

Puedes usar la restricción gcp.restrictTLSCipherSuites como una lista de entidades permitidas o como una lista de entidades denegadas:

• Lista de entidades permitidas: Permite un conjunto específico de algoritmos de cifrado. Todas las demás se rechazan.
• Lista de bloqueo: Deniega un conjunto específico de conjuntos de algoritmos de cifrado. Todas las demás están permitidas.

Debido al comportamiento de la evaluación de la jerarquía de políticas de la organización, la restricción Restrict TLS cipher suites se aplica al nodo de recurso especificado y a todos sus elementos secundarios. Por ejemplo, si solo permites ciertos conjuntos de algoritmos de cifrado TLS para una organización, también se aplicará a todas las carpetas y proyectos (secundarios) que desciendan de esa organización.

Antes de comenzar

Para obtener los permisos que necesitas para establecer, cambiar o borrar políticas de la organización, pídele a tu administrador que te otorgue el rol de IAM de administrador de políticas de la organización (roles/orgpolicy.policyAdmin) en la organización. Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

También puedes obtener los permisos necesarios mediante roles personalizados o cualquier otro rol predefinido.

Configura la política de la organización

La restricción Restrict TLS cipher suites es un tipo de restricción de lista. Puedes agregar y quitar conjuntos de algoritmos de cifrado de las listas de allowed_values o denied_values de una restricción de Restrict TLS cipher suites. Para evitar que las políticas de la organización sean demasiado restrictivas y simplificar la administración de políticas, usa grupos de valores. Los grupos de valores son conjuntos de algoritmos de cifrado TLS recomendados y seleccionados por Google.

constraint: constraints/gcp.restrictTLSCipherSuites
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

gcloud resource-manager org-policies set-policy \
--RESOURCE_TYPE RESOURCE_ID \
POLICY_PATH

constraint: constraints/gcp.restrictTLSCipherSuites
etag: COS9qr0GELii6o0C
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
updateTime: '2025-02-11T00:50:44.565875Z'

Grupos de valores

Los grupos de valores son colecciones de conjuntos de algoritmos de cifrado que Google selecciona para proporcionar una forma más sencilla de definir los conjuntos de algoritmos de cifrado TLS preferidos o recomendados. Los grupos de valores incluyen varios conjuntos de algoritmos de cifrado y Google los expande con el tiempo. No es necesario que cambies la política de tu organización para admitir los nuevos conjuntos de algoritmos de cifrado.

Para usar grupos de valores en tu política de la organización, escribe tus entradas con la string in:. Para obtener más información sobre el uso de prefijos de valor, consulta la sección sobre cómo usar restricciones. Los nombres de los grupos de valores se validan en la llamada para establecer la política de la organización. Si se usa un nombre de grupo no válido, fallará la configuración de la política.

En la siguiente tabla, se incluye la lista actual de grupos disponibles:

Conjuntos de algoritmos de cifrado admitidos

Esta es la lista de conjuntos de algoritmos de cifrado compatibles con Google Cloud.

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA

TLS_AES_128_GCM_SHA256
TLS_AES_256_GCM_SHA384
TLS_CHACHA20_POLY1305_SHA256

Mensaje de error

Los servicios que admiten la restricción Restringir conjuntos de algoritmos de cifrado TLS rechazan las solicitudes que la incumplen.

Ejemplo de mensaje de error

El mensaje de error tiene un formato similar al siguiente ejemplo:

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/PROJECT_NUMBER'.
Access to service
'SERVICE_NAME.googleapis.com' attempted with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`
To access this resource, please use an allowed TLS Cipher Suite.

En esta salida, se incluyen los siguientes valores:

• PROJECT_NUMBER: Es el número del proyecto que aloja el recurso al que se hace referencia en el comando anterior.
• SERVICE_NAME: Es el nombre del servicio dentro del alcance que bloquea la política de Restringir conjuntos de algoritmos de cifrado TLS.
• TLS_Cipher_Suite_X: Es el paquete de algoritmos de cifrado TLS que se usa en la solicitud.

Ejemplo de registro de auditoría de Cloud

También se genera una entrada de registro de auditoría para una mayor supervisión, alertas o depuración. La entrada de registro de auditoría es similar al siguiente ejemplo:

{
  logName: "projects/my-project-number/logs/cloudaudit.googleapis.com%2Fpolicy"
  protoPayload: {
    @type: "type.googleapis.com/google.cloud.audit.AuditLog"
    status: {
      code: 7
      message: "Request is disallowed by organization's TLS Cipher Suite Restriction Org Policy for 'projects/my-project-number'. Attempting to use service 'bigquery.googleapis.com' with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`."
    }
    serviceName: "bigquery.googleapis.com"
    methodName: "google.cloud.bigquery.v2.TableDataService.InsertAll"
    resourceName: "projects/my-project-number"
    authenticationInfo: {
      principalEmail: "user_or_service_account@example.com"
    }
  }
  requestMetadata: {
    callerIp: "123.123.123.123"
  }
  policyViolationInfo: {
    orgPolicyViolationInfo: {
      violationInfo: [
        {
          constraint: "constraints/gcp.restrictTlsCipherSuites"
          errorMessage: "TLS Cipher Suite Restriction Org Policy is violated"
          policyType: "LIST_CONSTRAINT"
        }
      ]
    }
  }
  resource: {
    type: "audited_resource"
    labels: {
      project_id: "my-project-number"
      method: "google.cloud.bigquery.v2.TableDataService.InsertAll"
      service: "bigquery.googleapis.com"
    }
  }
  severity: "ERROR"
  timestamp: "2023-10-27T19:27:24.633477924Z"
  receiveTimestamp: "2023-10-27T19:27:25.071941737Z"
  insertId "42"
}

Prueba la política

Puedes probar la restricción de la política de restricción de algoritmos de cifrado TLS para cualquier servicio dentro del alcance. En el siguiente ejemplo, el comando curl valida la restricción de conjuntos de algoritmos de cifrado de TLS para un llavero de Cloud Key Management Service.

curl --ciphers TLS_CIPHER_SUITE --tls_max 1.2 -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/global/keyRings" --verbose

Reemplaza las siguientes variables:

• TLS_CIPHER_SUITE: Es el nombre del conjunto de algoritmos de cifrado TLS según la convención de nomenclatura de OpenSSL, por ejemplo, ECDHE-ECDSA-AES128-SHA, que es el nombre de OpenSSL para TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA.

• PROJECT_ID: Nombre del proyecto que contiene el llavero de claves

En el siguiente ejemplo de solicitud de curl, se muestra PROJECT_ID establecido en my-project-id y TLS_CIPHER_SUITE establecido en ECDHE-ECDSA-AES128-SHA:

curl --ciphers ECDHE-ECDSA-AES128-SHA --tls-max 1.2 \
  GET -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/my-project-id/locations/global/keyRings" --verbose

Si la política de la organización para "my-project-id" está configurada para denegar TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA , fallará cualquier intento de acceder a los recursos con el cifrado en el proyecto restringido por la política en este comando de ejemplo. Se mostrará un mensaje de error similar al siguiente ejemplo que describe el motivo de este error.

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/my-project-id'.
Access to service cloudkms.googleapis.com attempted with a disallowed TLS Cipher
Suite: `TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA`.
To access this resource, please use an allowed TLS Cipher Suite.

Crea una política de la organización en modo de ejecución de prueba

Una política de la organización en modo de ejecución de prueba es un tipo de política de la organización en la que se registran los incumplimientos de la política en el registro de auditoría, pero no se rechazan las acciones que incumplen la política. Puedes crear una política de la organización en modo de ejecución de prueba con la restricción de TLS Cipher Suite Restriction para supervisar cómo afectaría a tu organización antes de aplicar la política activa. Para obtener más información, consulta Crea una política de la organización en modo de ejecución de prueba.

Servicios compatibles

Los siguientes servicios admiten la restricción de conjuntos de algoritmos de cifrado TLS. La restricción se aplica a todas las variaciones del extremo de API, incluidos los extremos globales, regionales y de ubicación. Consulta la página Tipos de extremos de API para obtener más información.

Servicios no admitidos

La restricción de la política de la organización Restringir conjuntos de algoritmos de cifrado TLS no se aplica a los siguientes servicios:

• App Engine (*.appspot.com)
• Cloud Run Functions (*.cloudfunctions.net)
• Cloud Run (*.run.app)
• Private Service Connect
• Dominios personalizados

Para restringir los conjuntos de algoritmos de cifrado TLS para estos servicios, usa Cloud Load Balancing junto con la política de seguridad de SSL.

Preferencia deGoogle Cloud conjunto de algoritmos de cifrado

Los extremos de los servicios admitidos priorizan AES-256 sobre AES-128 y ChaCha20. Los clientes que admiten AES-256 deberían negociar correctamente su uso sin necesidad de realizar ningún cambio en la configuración.