Restringir pacotes de criptografia TLS

Nesta página, descrevemos como impedir o acesso a recursos do Google Cloud negando solicitações feitas com determinados pacotes de criptografia Transport Layer Security (TLS) menos seguros.

Visão geral

Google Cloud é compatível com vários pacotes de criptografia TLS. Para atender a requisitos de segurança ou conformidade, talvez seja necessário negar solicitações de clientes que usam pacotes de criptografia TLS menos seguros.

Essa capacidade é fornecida pela restrição da política da organização gcp.restrictTLSCipherSuites. A restrição pode ser aplicada a organizações, pastas ou projetos na hierarquia de recursos.

Você pode usar a restrição gcp.restrictTLSCipherSuites como uma lista de permissões ou de proibições:

• Lista de permissões: permite um conjunto específico de algoritmos de criptografia. Todas as outras são negadas.
• Lista de bloqueio: bloqueia um conjunto específico de pacotes de criptografia. Todos os outros são permitidos.

Devido ao comportamento da avaliação da hierarquia de políticas da organização, a restrição "Restringir pacotes de criptografia TLS" se aplica ao nó de recurso especificado e a todos os filhos dele. Por exemplo, se você permitir apenas determinados pacotes de criptografia TLS para uma organização, isso também se aplicará a todas as pastas e projetos (filhos) que descendem dessa organização.

Antes de começar

Para receber as permissões necessárias para definir, alterar ou excluir políticas da organização, peça ao administrador para conceder a você o papel do IAM de Administrador de políticas da organização (roles/orgpolicy.policyAdmin) na organização. Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

Também é possível conseguir as permissões necessárias por meio de papéis personalizados ou de outros papéis predefinidos.

Como definir a política da organização

A restrição "Restringir pacotes de criptografia TLS" é um tipo de restrição de lista. É possível adicionar e remover pacotes de criptografia das listas allowed_values ou denied_values de uma restrição "Restringir pacotes de criptografia TLS". Para evitar que as políticas da organização sejam muito restritivas e simplificar o gerenciamento delas, use grupos de valores. Os grupos de valores são conjuntos de algoritmos de criptografia TLS recomendados e selecionados pelo Google.

constraint: constraints/gcp.restrictTLSCipherSuites
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

gcloud resource-manager org-policies set-policy \
--RESOURCE_TYPE RESOURCE_ID \
POLICY_PATH

constraint: constraints/gcp.restrictTLSCipherSuites
etag: COS9qr0GELii6o0C
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
updateTime: '2025-02-11T00:50:44.565875Z'

Grupos de valores

Grupos de valores são coleções de pacotes de criptografia selecionados pelo Google para oferecer uma maneira mais simples de definir pacotes de criptografia TLS preferidos ou recomendados. Os grupos de valores incluem vários pacotes de criptografia e são expandidos ao longo do tempo pelo Google. Não é necessário mudar a política da organização para acomodar os novos conjuntos de algoritmos de criptografia.

Para usar grupos de valores na sua política da organização, insira a string in: no prefixo das entradas. Para mais informações sobre o uso de valores prefixo, consulte Usando restrições. Os nomes dos grupos de valores são validados na chamada para definir a política da organização. Usar um nome de grupo inválido vai fazer com que a definição da política falhe.

A tabela a seguir contém a lista atual de grupos disponíveis:

Pacotes de criptografia compatíveis

Esta é a lista de pacotes de criptografia compatíveis com Google Cloud.

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA

TLS_AES_128_GCM_SHA256
TLS_AES_256_GCM_SHA384
TLS_CHACHA20_POLY1305_SHA256

Mensagem de erro

Os serviços que oferecem suporte à restrição "Restringir pacotes de criptografia TLS" negam solicitações que violam a restrição.

Exemplo de mensagem de erro

A mensagem de erro tem um formato semelhante ao exemplo a seguir:

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/PROJECT_NUMBER'.
Access to service
'SERVICE_NAME.googleapis.com' attempted with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`
To access this resource, please use an allowed TLS Cipher Suite.

Esta saída inclui os seguintes valores:

• PROJECT_NUMBER: o número do projeto que hospeda o recurso mencionado no comando anterior.
• SERVICE_NAME: o nome do serviço no escopo bloqueado pela política "Restringir pacotes de criptografia TLS".
• TLS_Cipher_Suite_X: o pacote de criptografia TLS usado na solicitação.

Exemplo de registro de auditoria do Cloud

Uma entrada de registro de auditoria também é gerada para monitoramento, alerta ou depuração. A entrada de registro de auditoria é semelhante a este exemplo:

{
  logName: "projects/my-project-number/logs/cloudaudit.googleapis.com%2Fpolicy"
  protoPayload: {
    @type: "type.googleapis.com/google.cloud.audit.AuditLog"
    status: {
      code: 7
      message: "Request is disallowed by organization's TLS Cipher Suite Restriction Org Policy for 'projects/my-project-number'. Attempting to use service 'bigquery.googleapis.com' with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`."
    }
    serviceName: "bigquery.googleapis.com"
    methodName: "google.cloud.bigquery.v2.TableDataService.InsertAll"
    resourceName: "projects/my-project-number"
    authenticationInfo: {
      principalEmail: "user_or_service_account@example.com"
    }
  }
  requestMetadata: {
    callerIp: "123.123.123.123"
  }
  policyViolationInfo: {
    orgPolicyViolationInfo: {
      violationInfo: [
        {
          constraint: "constraints/gcp.restrictTlsCipherSuites"
          errorMessage: "TLS Cipher Suite Restriction Org Policy is violated"
          policyType: "LIST_CONSTRAINT"
        }
      ]
    }
  }
  resource: {
    type: "audited_resource"
    labels: {
      project_id: "my-project-number"
      method: "google.cloud.bigquery.v2.TableDataService.InsertAll"
      service: "bigquery.googleapis.com"
    }
  }
  severity: "ERROR"
  timestamp: "2023-10-27T19:27:24.633477924Z"
  receiveTimestamp: "2023-10-27T19:27:25.071941737Z"
  insertId "42"
}

Testar a política

É possível testar a restrição da política de criptografia TLS para qualquer serviço no escopo. O exemplo de comando curl a seguir valida a restrição de pacotes de criptografia TLS para um keyring do Cloud Key Management Service.

curl --ciphers TLS_CIPHER_SUITE --tls_max 1.2 -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/global/keyRings" --verbose

Substitua as seguintes variáveis:

• TLS_CIPHER_SUITE: o nome do pacote de criptografia TLS na convenção de nomenclatura do OpenSSL. Por exemplo, ECDHE-ECDSA-AES128-SHA, que é o nome do OpenSSL para TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA.

• PROJECT_ID: nome do projeto que contém o keyring.

O exemplo de solicitação curl a seguir mostra PROJECT_ID definido como my-project-id e TLS_CIPHER_SUITE definido como ECDHE-ECDSA-AES128-SHA:

curl --ciphers ECDHE-ECDSA-AES128-SHA --tls-max 1.2 \
  GET -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/my-project-id/locations/global/keyRings" --verbose

Se a política da organização para "my-project-id" estiver configurada para negar TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA , qualquer tentativa de acessar recursos com a criptografia no projeto restrito por política neste exemplo de comando vai falhar. Uma mensagem de erro semelhante ao exemplo a seguir é retornada, descrevendo o motivo dessa falha.

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/my-project-id'.
Access to service cloudkms.googleapis.com attempted with a disallowed TLS Cipher
Suite: `TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA`.
To access this resource, please use an allowed TLS Cipher Suite.

Criar uma política da organização no modo de teste

Uma política da organização em modo de simulação é um tipo de política em que as violações são registradas em auditoria, mas as ações violadoras não são negadas. É possível criar uma política da organização no modo de simulação usando a restrição de pacote de criptografia TLS para monitorar como ela afetaria sua organização antes de aplicar a política ativa. Para mais informações, consulte Criar uma política da organização no modo de simulação.

Serviços compatíveis

Os seguintes serviços são compatíveis com a restrição de pacotes de criptografia TLS. A restrição se aplica a todas as variações do endpoint de API, incluindo endpoints globais, locais e regionais. Consulte a página Tipos de endpoints da API para mais informações.

Serviços sem suporte

A restrição da política da organização "Restringir pacotes de criptografia TLS" não se aplica aos seguintes serviços:

• App Engine (*.appspot.com)
• Funções do Cloud Run (*.cloudfunctions.net),
• Cloud Run (*.run.app)
• Private Service Connect
• Domínios personalizados

Para restringir os pacotes de criptografia TLS desses serviços, use o Cloud Load Balancing com a política de segurança SSL.

Preferência deGoogle Cloud pacote de criptografia

Os endpoints para serviços compatíveis priorizam o AES-256 em vez do AES-128 e do ChaCha20. Os clientes que oferecem suporte ao AES-256 devem negociar com sucesso sem exigir mudanças na configuração.