הגבלת חבילות הצפנה מסוג TLS

בדף הזה מוסבר איך אפשר למנוע גישה למשאבים של Cloud de Confiance by S3NS על ידי דחיית בקשות שנעשות באמצעות סטים מסוימים של אלגוריתמים להצפנה (cipher suites) של Transport Layer Security ‏(TLS) שהם פחות מאובטחים.

סקירה כללית

‫Cloud de Confiance by S3NS תומך בכמה סטים של אלגוריתמים להצפנה (cipher suite) ב-TLS. כדי לעמוד בדרישות האבטחה או התאימות, יכול להיות שתרצו לדחות בקשות מלקוחות שמשתמשים בסט אלגוריתמים להצפנה (cipher suite) פחות מאובטחים של TLS.

היכולת הזו מסופקת על ידי האילוץ של מדיניות הארגון gcp.restrictTLSCipherSuites. אפשר להחיל את האילוץ על ארגונים, תיקיות או פרויקטים בהיררכיית המשאבים.

אפשר להשתמש באילוץ gcp.restrictTLSCipherSuites כרשימת היתרים או כרשימת חסימות:

• רשימת היתרים: מאפשרת קבוצה ספציפית של סטים של אלגוריתמים להצפנה (cipher suite). כל שאר הבקשות נדחות.
• רשימת חסימה: חוסמת קבוצה ספציפית של סטים של אלגוריתמים להצפנה (cipher suite). כל שאר האפשרויות מותרות.

בגלל האופן שבו ההיררכיה של מדיניות הארגון פועלת, האילוץ "הגבלת סט אלגוריתמים להצפנה (cipher suite) של TLS" חל על צומת המשאב שצוין ועל כל הצאצאים שלו. לדוגמה, אם מאפשרים רק סטים מסוימים של אלגוריתמים להצפנה (cipher suites) ב-TLS לארגון, הם חלים גם על כל התיקיות והפרויקטים (צאצאים) ששייכים לארגון הזה.

לפני שמתחילים

כדי לקבל את ההרשאות שדרושות להגדרה, לשינוי או למחיקה של כללי מדיניות של הארגון, צריך לבקש מהאדמין להקצות לכם את התפקיד אדמין של מדיניות הארגון (roles/orgpolicy.policyAdmin) ב-IAM ברמת הארגון. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

הגדרת מדיניות הארגון

האילוץ "הגבלת סטים של אלגוריתמים להצפנה (cipher suite) ב-TLS" הוא סוג של אילוץ רשימה. אפשר להוסיף ולהסיר סטים של אלגוריתמים להצפנה (cipher suite) מהרשימות allowed_values או denied_values של אילוץ הגבלת סטים של אלגוריתמים להצפנה ב-TLS. כדי למנוע ממדיניות הארגון להיות מגבילה מדי ולפשט את ניהול המדיניות, אפשר להשתמש בקבוצות ערכים. קבוצות ערכים הן סטים מומלצים של אלגוריתמים להצפנת TLS (cipher suite) שנאספו על ידי Google.

constraint: constraints/gcp.restrictTLSCipherSuites
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

gcloud resource-manager org-policies set-policy \
--RESOURCE_TYPE RESOURCE_ID \
POLICY_PATH

constraint: constraints/gcp.restrictTLSCipherSuites
etag: COS9qr0GELii6o0C
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
updateTime: '2025-02-11T00:50:44.565875Z'

קבוצות ערכים

קבוצות ערכים הן אוספים של סטים של אלגוריתמים להצפנה (cipher suite) ש-Google אוצרת כדי לספק דרך פשוטה יותר להגדיר סטים מועדפים או מומלצים של אלגוריתמים להצפנה ב-TLS. קבוצות ערכים כוללות כמה סטים של אלגוריתמים להצפנה (cipher suite), ו-Google מרחיבה אותן עם הזמן. לא צריך לשנות את מדיניות הארגון כדי להתאים אותה לסטים החדשים של אלגוריתמים להצפנה (cipher suite).

כדי להשתמש בקבוצות ערכים במדיניות הארגון, צריך להוסיף את המחרוזת in: בתחילת הרשומות. למידע נוסף על השימוש בתחיליות של ערכים, ראו שימוש באילוצים. השמות של קבוצות הערכים מאומתים בקריאה להגדרת מדיניות הארגון. אם תשתמשו בשם קבוצה לא חוקי, הגדרת המדיניות תיכשל.

בטבלה הבאה מופיעה הרשימה הנוכחית של הקבוצות הזמינות:

סטים נתמכים של אלגוריתמים להצפנה (cipher suite)

זו רשימת סטי האלגוריתמים להצפנה שנתמכים על ידי Cloud de Confiance by S3NS.

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA

TLS_AES_128_GCM_SHA256 (TLS 1.3 cipher suite)
TLS_AES_256_GCM_SHA384 (TLS 1.3 cipher suite)
TLS_CHACHA20_POLY1305_SHA256 (TLS 1.3 cipher suite)

הודעת השגיאה

שירותים שתומכים באילוץ "הגבלת סטים של אלגוריתמים להצפנה (cipher suite) ב-TLS" דוחים בקשות שמפירות את האילוץ.

הודעת שגיאה לדוגמה

הודעת השגיאה נראית בערך כך:

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/PROJECT_NUMBER'.
Access to service
'SERVICE_NAME.googleapis.com' attempted with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`
To access this resource, please use an allowed TLS Cipher Suite.

הפלט הזה כולל את הערכים הבאים:

• ‫PROJECT_NUMBER: מספר הפרויקט שמארח את המשאב שאליו מתייחסת הפקודה הקודמת.
• ‫SERVICE_NAME: שם השירות בהיקף שנחסם על ידי המדיניות "הגבלת סט האלגוריתמים להצפנה (cipher suite) ב-TLS".
• ‫TLS_Cipher_Suite_X: סט האלגוריתמים להצפנה (cipher suite) של TLS ששימש בבקשה.

דוגמה ליומן ביקורת של Cloud

בנוסף, נוצרת רשומה ביומן הביקורת לצורך מעקב, התראה או ניפוי באגים. הרשומה ביומן הביקורת נראית דומה לדוגמה הבאה:

{
  logName: "projects/my-project-number/logs/cloudaudit.googleapis.com%2Fpolicy"
  protoPayload: {
    @type: "type.googleapis.com/google.cloud.audit.AuditLog"
    status: {
      code: 7
      message: "Request is disallowed by organization's TLS Cipher Suite Restriction Org Policy for 'projects/my-project-number'. Attempting to use service 'bigquery.googleapis.com' with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`."
    }
    serviceName: "bigquery.googleapis.com"
    methodName: "google.cloud.bigquery.v2.TableDataService.InsertAll"
    resourceName: "projects/my-project-number"
    authenticationInfo: {
      principalEmail: "user_or_service_account@example.com"
    }
  }
  requestMetadata: {
    callerIp: "123.123.123.123"
  }
  policyViolationInfo: {
    orgPolicyViolationInfo: {
      violationInfo: [
        {
          constraint: "constraints/gcp.restrictTlsCipherSuites"
          errorMessage: "TLS Cipher Suite Restriction Org Policy is violated"
          policyType: "LIST_CONSTRAINT"
        }
      ]
    }
  }
  resource: {
    type: "audited_resource"
    labels: {
      project_id: "my-project-number"
      method: "google.cloud.bigquery.v2.TableDataService.InsertAll"
      service: "bigquery.googleapis.com"
    }
  }
  severity: "ERROR"
  timestamp: "2023-10-27T19:27:24.633477924Z"
  receiveTimestamp: "2023-10-27T19:27:25.071941737Z"
  insertId "42"
}

בדיקת המדיניות

אתם יכולים לבדוק את אילוץ המדיניות להגבלת הצפנת TLS בכל שירות שנכלל בהיקף. בדוגמה הבאה, הפקודה curl מאמתת את ההגבלה של סט אלגוריתמים להצפנה (cipher suite) ב-TLS לאוסף מפתחות של Cloud Key Management Service.

curl --ciphers TLS_CIPHER_SUITE --tls-max 1.2 -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/global/keyRings" --verbose

מחליפים את המשתנים הבאים:

• ‫TLS_CIPHER_SUITE: השם של סט האלגוריתמים להצפנה (cipher suite) ב-TLS במוסכמות למתן שמות של OpenSSL, לדוגמה ECDHE-ECDSA-AES128-SHA, שהוא השם ב-OpenSSL של TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA.

• ‫PROJECT_ID: שם הפרויקט שמכיל את אוסף המפתחות

בדוגמה הבאה לבקשת curl, הערך של PROJECT_ID מוגדר ל-my-project-id והערך של TLS_CIPHER_SUITE מוגדר ל-ECDHE-ECDSA-AES128-SHA:

curl --ciphers ECDHE-ECDSA-AES128-SHA --tls-max 1.2 \
  GET -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/my-project-id/locations/global/keyRings" --verbose

אם מדיניות הארגון של "my-project-id" מוגדרת לדחות את TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA , כל ניסיון לגשת למשאבים באמצעות הצופן בפרויקט שמוגבל על ידי המדיניות בפקודה לדוגמה הזו ייכשל. מוחזרת הודעת שגיאה שדומה לדוגמה הבאה, שמתארת את הסיבה לכישלון.

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/my-project-id'.
Access to service cloudkms.googleapis.com attempted with a disallowed TLS Cipher
Suite: `TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA`.
To access this resource, please use an allowed TLS Cipher Suite.

יצירת מדיניות ארגון במצב פרימטר לבדיקות

מדיניות ארגון במצב פרימטר לבדיקות היא סוג של מדיניות ארגון שבה הפרות של המדיניות נרשמות ביומן הביקורת, אבל הפעולות שמפירות את המדיניות לא נדחות. אתם יכולים ליצור מדיניות ארגונית במצב פרימטר לבדיקות באמצעות האילוץ TLS Cipher Suite Restriction, כדי לבדוק איך היא תשפיע על הארגון לפני שתאכפו את המדיניות בפועל. מידע נוסף זמין במאמר יצירת מדיניות ארגון במצב פרימטר לבדיקות.

שירותים נתמכים

השירותים הבאים תומכים בהגבלה של סטים של אלגוריתמים להצפנה (cipher suite) ב-TLS. האילוץ חל על כל הווריאציות של נקודת הקצה ל-API, כולל נקודות קצה גלובליות, מבוססות-מיקום ואזוריות. מידע נוסף זמין בדף סוגים של נקודות קצה ל-API.

שירותים לא נתמכים

האילוץ "הגבלת סט אלגוריתמים להצפנה (cipher suite) של TLS" במדיניות הארגון לא רלוונטי לשירותים הבאים:

• אפיגי (*.apigee.net, *.apigee.com ו-*.apigee.io)
• ‫App Engine‏ (*.appspot.com)
• פונקציות Cloud Run‏ (*.cloudfunctions.net),
• ‫Cloud Run‏ (*.run.app)
• התחברות לשירות פרטי
• דומיינים מותאמים אישית

כדי להגביל את סט האלגוריתמים להצפנה (cipher suite) של TLS בשירותים האלה, צריך להשתמש ב-Cloud Load Balancing יחד עם מדיניות האבטחה של SSL.

העדפות השימוש בסט האלגוריתמים להצפנה (cipher suite) ב-Cloud de Confiance by S3NS

נקודות קצה לשירותים נתמכים נותנות עדיפות לסטים של אלגוריתמים להצפנה (cipher suite) בסדר הבא, מהמועדף ביותר לפחות מועדף:

1. AES-256
2. AES-128
3. ChaCha20

במהלך לחיצת היד בפרוטוקול TLS, השרת בוחר את סט האלגוריתמים להצפנה המועדף ביותר שנתמך גם על ידי הלקוח וגם על ידי השרת. בדרך כלל, תהליך הבחירה הזה לא דורש שינויים ספציפיים בהגדרות בצד הלקוח.

לחיצת היד בפרוטוקול TLS מתרחשת לפני בדיקת המדיניות "הגבלת סט אלגוריתמים להצפנה (cipher suite) של TLS", והיא נפרדת מבדיקת המדיניות. כתוצאה מכך, סט האלגוריתמים להצפנה שנקבע במהלך לחיצת היד בפרוטוקול TLS צריך להיות מותר גם לפי בדיקת המדיניות "הגבלת סטים של אלגוריתמים להצפנה (cipher suite) בפרוטוקול TLS". אחרת, החיבור נדחה. בעלי המדיניות אחראים להגדיר את המדיניות "הגבלת סטי אלגוריתמים להצפנה (cipher suite) של TLS ואפליקציות הלקוח" כך שתאפשר את סט אלגוריתמים להצפנה (cipher suite) שהוסכם.