הגבלת חבילות הצפנה מסוג TLS

בדף הזה מוסבר איך אפשר למנוע גישה למשאבים על ידי דחיית בקשות שנוצרות באמצעות חבילות צופן מסוימות של Transport Layer Security ‏ (TLS) ברמת אבטחה נמוכה. Cloud de Confiance by S3NS

סקירה כללית

Cloud de Confiance by S3NS תומך בכמה סטים של אלגוריתמים להצפנה (cipher suite) ב-TLS. כדי לעמוד בדרישות אבטחה או תאימות, יכול להיות שתרצו לדחות בקשות מלקוחות שמשתמשים בסטים של אלגוריתמים להצפנה מסוג TLS ברמת אבטחה נמוכה.

היכולת הזו מסופקת על ידי gcp.restrictTLSCipherSuites הגבלת מדיניות הארגון. אפשר להחיל את האילוץ על ארגונים, תיקיות או פרויקטים בהיררכיית המשאבים.

אפשר להשתמש באילוץ gcp.restrictTLSCipherSuites כרשימת היתרים או כרשימת דחייה:

• רשימת היתרים: מאפשרת להשתמש בקבוצה ספציפית של חבילות הצפנה. השימוש בכל השאר אסור.
• רשימת דחייה: דחייה של קבוצה ספציפית של סטים של אלגוריתמים להצפנה. כל השאר מותרים.

בגלל אופן הפעולה של הערכת ההיררכיה של מדיניות הארגון, האילוץ Restrict TLS cipher suites חל על צומת המשאב שצוין ועל כל הצאצאים שלו. לדוגמה, אם מאפשרים רק חבילות צופן TLS מסוימות לארגון, הן חלות גם על כל התיקיות והפרויקטים (צאצאים) ששייכים לארגון הזה.

לפני שמתחילים

כדי לקבל את ההרשאות שדרושות בשביל להגדיר, לשנות או למחוק מדיניות ארגונית, אתם צריכים לבקש מהאדמין לתת לכם את תפקיד ה-IAM‏ Organization policy administrator (roles/orgpolicy.policyAdmin) בארגון. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

הגדרת מדיניות הארגון

ההגבלה Restrict TLS cipher suites (הגבלת השימוש בסט האלגוריתמים להצפנה (cipher suite) ב-TLS) היא סוג של הגבלת רשימה. אפשר להוסיף ולהסיר סטים של אלגוריתמים להצפנה מהרשימות allowed_values או denied_values של האילוץ 'הגבלת סטים של אלגוריתמים להצפנה ב-TLS'. כדי למנוע ממדיניות הארגון להיות מגבילה מדי ולפשט את ניהול המדיניות, אפשר להשתמש בקבוצות ערכים. קבוצות ערכים הן חבילות הצפנה מומלצות של TLS שנבחרו על ידי Google.

constraint: constraints/gcp.restrictTLSCipherSuites
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

gcloud resource-manager org-policies set-policy \
--RESOURCE_TYPE RESOURCE_ID \
POLICY_PATH

constraint: constraints/gcp.restrictTLSCipherSuites
etag: COS9qr0GELii6o0C
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
updateTime: '2025-02-11T00:50:44.565875Z'

קבוצות ערכים

קבוצות ערכים הן אוספים של סטים של אלגוריתמים להצפנה שנאספו על ידי Google כדי לספק דרך פשוטה יותר להגדיר סטים מועדפים או מומלצים של אלגוריתמים להצפנה ב-TLS. קבוצות הערכים כוללות כמה חבילות הצפנה, ו-Google מרחיבה אותן לאורך זמן. אין צורך לשנות את מדיניות הארגון כדי להתאים את חבילות ההצפנה החדשות.

כדי להשתמש בקבוצות ערכים במדיניות הארגון, צריך להוסיף את המחרוזת in: לפני הערכים. מידע נוסף על שימוש בקידומות של ערכים זמין במאמר שימוש באילוצים. שמות קבוצות הערכים מאומתים בקריאה להגדרת מדיניות הארגון. שימוש בשם קבוצה לא חוקי יגרום לכך שהגדרת המדיניות תיכשל.

בטבלה הבאה מופיעה רשימת הקבוצות שזמינות כרגע:

סטים נתמכים של אלגוריתמים להצפנה

זו רשימת חבילות ההצפנה שנתמכות על ידי Cloud de Confiance by S3NS.

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA

TLS_AES_128_GCM_SHA256 (TLS 1.3 cipher suite)
TLS_AES_256_GCM_SHA384 (TLS 1.3 cipher suite)
TLS_CHACHA20_POLY1305_SHA256 (TLS 1.3 cipher suite)

הודעת השגיאה

שירותים שתומכים באילוץ Restrict TLS cipher suites (הגבלת סטים של אלגוריתמים להצפנה ב-TLS) דוחים בקשות שמפירות את האילוץ.

הודעת שגיאה לדוגמה

הודעת השגיאה היא בפורמט שדומה לדוגמה הבאה:

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/PROJECT_NUMBER'.
Access to service
'SERVICE_NAME.googleapis.com' attempted with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`
To access this resource, please use an allowed TLS Cipher Suite.

הפלט הזה כולל את הערכים הבאים:

• ‫PROJECT_NUMBER: מספר הפרויקט שמארח את המשאב שאליו מתייחסת הפקודה הקודמת.
• ‫SERVICE_NAME: השם של השירות בהיקף שחסום על ידי המדיניות 'הגבלת חבילות הצפנה של TLS'.
• ‫TLS_Cipher_Suite_X: סט אלגוריתמים להצפנה (cipher suite) של TLS שנעשה בה שימוש בבקשה.

דוגמה ליומן ביקורת של Cloud

נוצרת גם רשומה ביומן הביקורת לצורך מעקב, התראות או ניפוי באגים. הרשומה ביומן הביקורת דומה לדוגמה הבאה:

{
  logName: "projects/my-project-number/logs/cloudaudit.googleapis.com%2Fpolicy"
  protoPayload: {
    @type: "type.googleapis.com/google.cloud.audit.AuditLog"
    status: {
      code: 7
      message: "Request is disallowed by organization's TLS Cipher Suite Restriction Org Policy for 'projects/my-project-number'. Attempting to use service 'bigquery.googleapis.com' with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`."
    }
    serviceName: "bigquery.googleapis.com"
    methodName: "google.cloud.bigquery.v2.TableDataService.InsertAll"
    resourceName: "projects/my-project-number"
    authenticationInfo: {
      principalEmail: "user_or_service_account@example.com"
    }
  }
  requestMetadata: {
    callerIp: "123.123.123.123"
  }
  policyViolationInfo: {
    orgPolicyViolationInfo: {
      violationInfo: [
        {
          constraint: "constraints/gcp.restrictTlsCipherSuites"
          errorMessage: "TLS Cipher Suite Restriction Org Policy is violated"
          policyType: "LIST_CONSTRAINT"
        }
      ]
    }
  }
  resource: {
    type: "audited_resource"
    labels: {
      project_id: "my-project-number"
      method: "google.cloud.bigquery.v2.TableDataService.InsertAll"
      service: "bigquery.googleapis.com"
    }
  }
  severity: "ERROR"
  timestamp: "2023-10-27T19:27:24.633477924Z"
  receiveTimestamp: "2023-10-27T19:27:25.071941737Z"
  insertId "42"
}

בדיקת המדיניות

אפשר לבדוק את האילוץ של מדיניות הגבלת הצפנה ב-TLS לכל שירות בהיקף. בדוגמה הבאה, הפקודה curl מאמתת את הגבלת חבילות ההצפנה ב-TLS עבור אוסף מפתחות של Cloud Key Management Service.

curl --ciphers TLS_CIPHER_SUITE --tls-max 1.2 -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/global/keyRings" --verbose

מחליפים את המשתנים הבאים:

• ‫TLS_CIPHER_SUITE: שם סט האלגוריתמים להצפנה (cipher suite) ב-TLS בהתאם למוסכמות השמות של OpenSSL, לדוגמה ECDHE-ECDSA-AES128-SHA שהוא השם ב-OpenSSL של TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA.

• ‫PROJECT_ID: שם הפרויקט שמכיל את קבוצת המפתחות

בדוגמה הבאה של בקשת curl, הערך של PROJECT_ID מוגדר ל-my-project-id והערך של TLS_CIPHER_SUITE מוגדר ל-ECDHE-ECDSA-AES128-SHA:

curl --ciphers ECDHE-ECDSA-AES128-SHA --tls-max 1.2 \
  GET -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/my-project-id/locations/global/keyRings" --verbose

אם מדיניות הארגון של my-project-id מוגדרת לדחיית TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA, כל ניסיון לגשת למשאבים עם הצופן בפרויקט המוגבל במדיניות בפקודה לדוגמה הזו ייכשל. תוצג הודעת שגיאה דומה לדוגמה הבאה, שמתארת את הסיבה לכישלון.

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/my-project-id'.
Access to service cloudkms.googleapis.com attempted with a disallowed TLS Cipher
Suite: `TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA`.
To access this resource, please use an allowed TLS Cipher Suite.

יצירת מדיניות ארגונית במצב הרצת בדיקה

מדיניות ארגונית במצב פרימטר לבדיקות היא סוג של מדיניות ארגונית שבה הפרות של המדיניות נרשמות ביומן הביקורת, אבל הפעולות שמפירות את המדיניות לא נדחות. אפשר ליצור מדיניות ארגונית במצב הרצה יבשה באמצעות האילוץ TLS Cipher Suite Restriction (הגבלת חבילת הצפנה של TLS) כדי לעקוב אחרי ההשפעה שלה על הארגון לפני שאוכפים את המדיניות הפעילה. למידע נוסף, אפשר לעיין במאמר בנושא יצירת מדיניות ארגונית במצב הרצה יבשה.

שירותים נתמכים

השירותים הבאים תומכים בהגבלת סטים של אלגוריתמים להצפנה (cipher suite) ב-TLS. ההגבלה חלה על כל הווריאציות של נקודת קצה ל-API, כולל נקודות קצה גלובליות, מבוססות-מיקום ואזוריות. מידע נוסף זמין בדף סוגי נקודות קצה ל-API.

שירותים שלא נתמכים

האילוץ 'הגבלת סטים של אלגוריתמים להצפנה (cipher suite) ב-TLS' במדיניות הארגון לא חל על השירותים הבאים:

• ‫Apigee ‏ (*.apigee.net,‏ *.apigee.com ו-*.apigee.io)
• ‫App Engine‏ (*.appspot.com)
• פונקציות Cloud Run‏ (*.cloudfunctions.net),
• ‫Cloud Run‏ (*.run.app)
• התחברות לשירות פרטי
• דומיינים מותאמים אישית

כדי להגביל את חבילות הצפנה של TLS בשירותים האלה, משתמשים ב-Cloud Load Balancing יחד עם מדיניות אבטחה של SSL.

Cloud de Confiance by S3NS העדפות השימוש בסט האלגוריתמים להצפנה (cipher suite)

נקודות הקצה של השירותים הנתמכים נותנות עדיפות לחבילות הצפנה לפי הסדר הבא, מהמועדפות ביותר למועדפות פחות:

1. AES-256
2. AES-128
3. ChaCha20

במהלך לחיצת יד בפרוטוקול TLS, השרת בוחר את סט אלגוריתמים להצפנה (cipher suite) המועדף ביותר שגם הלקוח וגם השרת תומכים בו. בדרך כלל, תהליך הבחירה הזה לא דורש שינויים ספציפיים בהגדרות בצד הלקוח.

תהליך לחיצת היד בפרוטוקול TLS מתרחש לפני בדיקת המדיניות בנושא הגבלת סט אלגוריתמים להצפנה (cipher suite) של TLS, והוא נפרד מבדיקת המדיניות. כתוצאה מכך, גם סטים של האלגוריתמים להצפנה (cipher suite) שנקבעו במהלך לחיצת היד של TLS צריכים להיות מותרים על ידי בדיקת המדיניות 'הגבלת סטים של אלגוריתמים להצפנה (cipher suite) ב-TLS'. אחרת, החיבור יידחה. בעל המדיניות אחראי להגדיר את ההגבלות על סט אלגוריתמים להצפנה (cipher suite) של TLS ואת אפליקציות הלקוח כדי לאפשר את סט אלגוריתמים להצפנה (cipher suite) שנקבע.