Restringir pacotes de criptografia TLS

Esta página descreve como impedir o acesso a recursos Google Cloud negando solicitações feitas usando determinados pacotes de criptografia do Transport Layer Security (TLS) menos seguros.

Visão geral

OGoogle Cloud oferece suporte a vários pacotes de criptografia TLS. Para atender aos requisitos de segurança ou conformidade, você pode negar solicitações de clientes que usam pacotes de criptografia TLS menos seguros.

Esse recurso é fornecido pela restrição da política da organização gcp.restrictTLSCipherSuites. A restrição pode ser aplicada a organizações, pastas ou projetos na hierarquia de recursos.

É possível usar a restrição gcp.restrictTLSCipherSuites como uma lista de permissões ou uma lista de rejeições:

• Lista de permissões: permite um conjunto específico de grupos de cifras. Todas as outras são negadas.
• Lista de negação: nega um conjunto específico de pacotes de criptografia. Todos os outros são permitidos.

Devido ao comportamento da avaliação da hierarquia da política da organização, a restrição "Restringir pacotes de criptografia TLS" se aplica ao nó de recurso especificado e a todos os filhos dele. Por exemplo, se você permitir apenas determinados pacotes de criptografia TLS para uma organização, isso também se aplica a todas as pastas e projetos (filhos) que descendem dessa organização.

Antes de começar

Para receber as permissões necessárias a fim de definir, alterar ou excluir políticas da organização, peça ao administrador para conceder a você o papel do IAM de Administrador de políticas da organização (roles/orgpolicy.policyAdmin) na organização. Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

Também é possível conseguir as permissões necessárias por meio de papéis personalizados ou de outros papéis predefinidos.

Como definir a política da organização

A restrição "Restringir pacotes de criptografia TLS" é um tipo de restrição de lista. É possível adicionar e remover pacotes de criptografia das listas allowed_values ou denied_values de uma restrição de pacotes de criptografia TLS. Para evitar que as políticas da organização sejam muito restritivas e simplificar o gerenciamento de políticas, use grupos de valores. Os grupos de valores são pacotes de cifras TLS recomendados pelo Google.

constraint: constraints/gcp.restrictTLSCipherSuites
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

gcloud resource-manager org-policies set-policy \
--RESOURCE_TYPE RESOURCE_ID \
POLICY_PATH

constraint: constraints/gcp.restrictTLSCipherSuites
etag: COS9qr0GELii6o0C
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
updateTime: '2025-02-11T00:50:44.565875Z'

Grupos de valores

Os grupos de valores são coleções de pacotes de criptografia selecionados pelo Google para oferecer uma maneira mais simples de definir pacotes de criptografia TLS preferidos ou recomendados. Os grupos de valor incluem vários conjuntos de criptografia e são expandidos ao longo do tempo pelo Google. Não é necessário mudar a política da organização para acomodar os novos conjuntos de cifras.

Para usar grupos de valores na sua política da organização, insira a string in: no prefixo das entradas. Para mais informações sobre o uso de valores prefixo, consulte Usando restrições. Os nomes dos grupos de valores são validados na chamada para definir a política da organização. O uso de um nome de grupo inválido faz com que a configuração da política falhe.

A tabela a seguir contém a lista atual de grupos disponíveis:

Pacotes de criptografia aceitos

Esta é a lista de pacotes de criptografia compatíveis com Google Cloud.

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA

TLS_AES_128_GCM_SHA256
TLS_AES_256_GCM_SHA384
TLS_CHACHA20_POLY1305_SHA256

Mensagem de erro

Os serviços que oferecem suporte à restrição de pacotes de criptografia TLS neguem solicitações que violem a restrição.

Exemplo de mensagem de erro

A mensagem de erro tem um formato semelhante a este exemplo:

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/PROJECT_NUMBER'.
Access to service
'SERVICE_NAME.googleapis.com' attempted with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`
To access this resource, please use an allowed TLS Cipher Suite.

Esta saída inclui os seguintes valores:

• PROJECT_NUMBER: o número do projeto que hospeda o recurso mencionado no comando anterior.
• SERVICE_NAME: o nome do serviço no escopo bloqueado pela política de restrição de pacotes de criptografia TLS.
• TLS_Cipher_Suite_X: o pacote de criptografia TLS usado na solicitação.

Exemplo de registro de auditoria do Cloud

Uma entrada de registro de auditoria também é gerada para monitoramento, alerta ou depuração. A entrada de registro de auditoria é semelhante a este exemplo:

{
  logName: "projects/my-project-number/logs/cloudaudit.googleapis.com%2Fpolicy"
  protoPayload: {
    @type: "type.googleapis.com/google.cloud.audit.AuditLog"
    status: {
      code: 7
      message: "Request is disallowed by organization's TLS Cipher Suite Restriction Org Policy for 'projects/my-project-number'. Attempting to use service 'bigquery.googleapis.com' with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`."
    }
    serviceName: "bigquery.googleapis.com"
    methodName: "google.cloud.bigquery.v2.TableDataService.InsertAll"
    resourceName: "projects/my-project-number"
    authenticationInfo: {
      principalEmail: "user_or_service_account@example.com"
    }
  }
  requestMetadata: {
    callerIp: "123.123.123.123"
  }
  policyViolationInfo: {
    orgPolicyViolationInfo: {
      violationInfo: [
        {
          constraint: "constraints/gcp.restrictTlsCipherSuites"
          errorMessage: "TLS Cipher Suite Restriction Org Policy is violated"
          policyType: "LIST_CONSTRAINT"
        }
      ]
    }
  }
  resource: {
    type: "audited_resource"
    labels: {
      project_id: "my-project-number"
      method: "google.cloud.bigquery.v2.TableDataService.InsertAll"
      service: "bigquery.googleapis.com"
    }
  }
  severity: "ERROR"
  timestamp: "2023-10-27T19:27:24.633477924Z"
  receiveTimestamp: "2023-10-27T19:27:25.071941737Z"
  insertId "42"
}

Testar a política

É possível testar a restrição da política de restrição de cifras TLS para qualquer serviço no escopo. O exemplo de comando curl a seguir valida os pacotes de criptografia de TLS restritos para um keyring do Cloud Key Management Service.

curl --ciphers TLS_CIPHER_SUITE --tls_max 1.2 -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/global/keyRings" --verbose

Substitua as seguintes variáveis:

• TLS_CIPHER_SUITE: o nome do pacote de criptografia TLS na convenção de nomenclatura do OpenSSL, por exemplo, ECDHE-ECDSA-AES128-SHA, que é o nome do OpenSSL para TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA.

• PROJECT_ID: nome do projeto que contém o keyring.

O exemplo de solicitação curl a seguir mostra PROJECT_ID definido como my-project-id e TLS_CIPHER_SUITE definido como ECDHE-ECDSA-AES128-SHA:

curl --ciphers ECDHE-ECDSA-AES128-SHA --tls-max 1.2 \
  GET -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/my-project-id/locations/global/keyRings" --verbose

Se a política da organização para "my-project-id" estiver configurada para negar TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA , qualquer tentativa de acesso a recursos com a criptografia no projeto restrito por política neste comando de exemplo vai falhar. Uma mensagem de erro semelhante ao exemplo a seguir é retornada descrevendo o motivo dessa falha.

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/my-project-id'.
Access to service cloudkms.googleapis.com attempted with a disallowed TLS Cipher
Suite: `TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA`.
To access this resource, please use an allowed TLS Cipher Suite.

Criar uma política da organização no modo de simulação

Uma política da organização no modo de simulação é um tipo de política da organização em que as violações da política são registradas em auditoria, mas as ações de violação não são negadas. É possível criar uma política da organização no modo de simulação usando a restrição de restrição de pacotes de criptografia TLS para monitorar como ela afetaria sua organização antes de aplicar a política ativa. Para mais informações, consulte Criar uma política da organização no modo de simulação.

Serviços compatíveis

Os serviços a seguir oferecem suporte a pacotes de criptografia restritos de TLS. A restrição se aplica a todas as variações do endpoint de API, incluindo endpoints globais, locais e regionais. Consulte a página Tipos de endpoint da API para mais informações.

Serviços sem suporte

A restrição da política da organização "Restringir pacotes de criptografia TLS" não é aplicável aos seguintes serviços:

• App Engine (*.appspot.com)
• Funções do Cloud Run (*.cloudfunctions.net),
• Cloud Run (*.run.app)
• Private Service Connect
• Domínios personalizados

Para restringir pacotes de criptografia TLS para esses serviços, use o Cloud Load Balancing com a política de segurança SSL.

Google Cloud preferência de pacote de criptografia

Os endpoints para serviços com suporte priorizam AES-256 em vez de AES-128 em vez de ChaCha20. Os clientes que oferecem suporte a AES-256 precisam negociar com sucesso sem exigir nenhuma mudança na configuração.