הגבלת חבילות הצפנה מסוג TLS

בדף הזה מוסבר איך אפשר למנוע גישה למשאבים ב- Cloud de Confiance by S3NS על ידי דחיית בקשות שנוצרות באמצעות חבילות צופן מסוימות של Transport Layer Security ‏ (TLS) שהן פחות מאובטחות.

סקירה כללית

Cloud de Confiance by S3NS תמיכה בכמה סטים של אלגוריתמים להצפנה (cipher suite) ב-TLS. כדי לעמוד בדרישות אבטחה או בדרישות תאימות, יכול להיות שתרצו לדחות בקשות מלקוחות שמשתמשים בחבילות הצפנה של TLS ברמת אבטחה נמוכה.

היכולת הזו מסופקת על ידי gcp.restrictTLSCipherSuites הגבלת מדיניות הארגון. אפשר להחיל את האילוץ על ארגונים, תיקיות או פרויקטים בהיררכיית המשאבים.

אפשר להשתמש באילוץ gcp.restrictTLSCipherSuites כרשימת היתרים או כרשימת דחייה:

• רשימת ההיתרים: מאפשרת להשתמש בקבוצה ספציפית של חבילות הצפנה. כל השאר נדחים.
• רשימת דחייה: דחייה של קבוצה ספציפית של חבילות הצפנה. כל השאר מותרים.

בגלל האופן שבו מתבצעת הערכה של היררכיית מדיניות הארגון, האילוץ 'הגבלת חבילות ההצפנה של TLS' חל על צומת המשאב שצוין ועל כל צאצאיו. לדוגמה, אם מאפשרים רק חבילות צופן מסוימות של TLS לארגון, ההגדרה הזו חלה גם על כל התיקיות והפרויקטים (צאצאים) ששייכים לארגון הזה.

לפני שמתחילים

כדי לקבל את ההרשאות שדרושות בשביל להגדיר, לשנות או למחוק מדיניות ארגונית, אתם צריכים לבקש מהאדמין לתת לכם את תפקיד ה-IAM‏ Organization policy administrator (roles/orgpolicy.policyAdmin) בארגון. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

הגדרת מדיניות הארגון

ההגבלה 'הגבלת השימוש בסט האלגוריתמים להצפנה (cipher suite) ב-TLS' היא סוג של הגבלת רשימה. אפשר להוסיף ולהסיר סטים של אלגוריתמים להצפנה מהרשימות allowed_values או denied_values של האילוץ 'הגבלת סטים של אלגוריתמים להצפנה ב-TLS'. כדי למנוע ממדיניות הארגון להיות מגבילה מדי ולפשט את ניהול המדיניות, אפשר להשתמש בקבוצות ערכים. קבוצות ערכים הן חבילות צפנים מומלצות של TLS שנבחרו על ידי Google.

constraint: constraints/gcp.restrictTLSCipherSuites
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

gcloud resource-manager org-policies set-policy \
--RESOURCE_TYPE RESOURCE_ID \
POLICY_PATH

constraint: constraints/gcp.restrictTLSCipherSuites
etag: COS9qr0GELii6o0C
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
updateTime: '2025-02-11T00:50:44.565875Z'

קבוצות ערכים

קבוצות ערכים הן אוספים של סטים של אלגוריתמים להצפנה (cipher suite) שנאספו על ידי Google כדי לספק דרך פשוטה יותר להגדיר סטים מועדפים או מומלצים של אלגוריתמים להצפנה ב-TLS. קבוצות הערכים כוללות כמה חבילות צפנים, ועם הזמן Google מרחיבה אותן. אין צורך לשנות את מדיניות הארגון כדי להתאים אותה לחבילות ההצפנה החדשות.

כדי להשתמש בקבוצות ערכים במדיניות הארגון, צריך להוסיף את המחרוזת in: לפני הערכים. מידע נוסף על שימוש בקידומות של ערכים מופיע במאמר שימוש באילוצים. שמות של קבוצות ערכים מאומתים בקריאה להגדרת מדיניות הארגון. אם משתמשים בשם קבוצה לא תקין, הגדרת המדיניות תיכשל.

בטבלה הבאה מופיעה הרשימה הנוכחית של הקבוצות הזמינות:

חבילות הצפנה נתמכות

זו רשימת חבילות ההצפנה שנתמכות על ידי Cloud de Confiance by S3NS.

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA

TLS_AES_128_GCM_SHA256 (TLS 1.3 cipher suite)
TLS_AES_256_GCM_SHA384 (TLS 1.3 cipher suite)
TLS_CHACHA20_POLY1305_SHA256 (TLS 1.3 cipher suite)

הודעת השגיאה

שירותים שתומכים באילוץ 'הגבלת סטים של אלגוריתמים להצפנה (cipher suite) ב-TLS' דוחים בקשות שמפירות את האילוץ.

הודעת שגיאה לדוגמה

הודעת השגיאה היא בפורמט שדומה לדוגמה הבאה:

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/PROJECT_NUMBER'.
Access to service
'SERVICE_NAME.googleapis.com' attempted with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`
To access this resource, please use an allowed TLS Cipher Suite.

הפלט הזה כולל את הערכים הבאים:

• ‫PROJECT_NUMBER: מספר הפרויקט שמארח את המשאב שאליו מתייחסת הפקודה הקודמת.
• ‫SERVICE_NAME: שם השירות שמוגבל על ידי המדיניות 'הגבלת סט האלגוריתמים להצפנה (cipher suite) ב-TLS'.
• ‫TLS_Cipher_Suite_X: סט האלגוריתמים להצפנה (cipher suite) ב-TLS שנעשה בו שימוש בבקשה.

דוגמה ליומן ביקורת של Cloud

נוצרת גם רשומה ביומן הביקורת לצורך מעקב, התראות או ניפוי באגים. רשומה ביומן הביקורת אמורה להיראות כך:

{
  logName: "projects/my-project-number/logs/cloudaudit.googleapis.com%2Fpolicy"
  protoPayload: {
    @type: "type.googleapis.com/google.cloud.audit.AuditLog"
    status: {
      code: 7
      message: "Request is disallowed by organization's TLS Cipher Suite Restriction Org Policy for 'projects/my-project-number'. Attempting to use service 'bigquery.googleapis.com' with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`."
    }
    serviceName: "bigquery.googleapis.com"
    methodName: "google.cloud.bigquery.v2.TableDataService.InsertAll"
    resourceName: "projects/my-project-number"
    authenticationInfo: {
      principalEmail: "user_or_service_account@example.com"
    }
  }
  requestMetadata: {
    callerIp: "123.123.123.123"
  }
  policyViolationInfo: {
    orgPolicyViolationInfo: {
      violationInfo: [
        {
          constraint: "constraints/gcp.restrictTlsCipherSuites"
          errorMessage: "TLS Cipher Suite Restriction Org Policy is violated"
          policyType: "LIST_CONSTRAINT"
        }
      ]
    }
  }
  resource: {
    type: "audited_resource"
    labels: {
      project_id: "my-project-number"
      method: "google.cloud.bigquery.v2.TableDataService.InsertAll"
      service: "bigquery.googleapis.com"
    }
  }
  severity: "ERROR"
  timestamp: "2023-10-27T19:27:24.633477924Z"
  receiveTimestamp: "2023-10-27T19:27:25.071941737Z"
  insertId "42"
}

בדיקת המדיניות

אתם יכולים לבדוק את אילוץ המדיניות להגבלת הצפנה ב-TLS לכל שירות בהיקף. בדוגמה הבאה, הפקודה curl מאמתת את ההגבלה של סט אלגוריתמים להצפנה (cipher suite) ב-TLS עבור אוסף מפתחות של Cloud Key Management Service.

curl --ciphers TLS_CIPHER_SUITE --tls-max 1.2 -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/global/keyRings" --verbose

מחליפים את המשתנים הבאים:

• ‫TLS_CIPHER_SUITE: שם סט האלגוריתמים להצפנה (cipher suite) ב-TLS לפי מוסכמת השמות של OpenSSL, לדוגמה ECDHE-ECDSA-AES128-SHA שהוא השם ב-OpenSSL של TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA.

• ‫PROJECT_ID: שם הפרויקט שמכיל את קבוצת המפתחות

בדוגמה הבאה של בקשת curl, הערך של PROJECT_ID מוגדר ל-my-project-id והערך של TLS_CIPHER_SUITE מוגדר ל-ECDHE-ECDSA-AES128-SHA:

curl --ciphers ECDHE-ECDSA-AES128-SHA --tls-max 1.2 \
  GET -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/my-project-id/locations/global/keyRings" --verbose

אם מדיניות הארגון של 'my-project-id' מוגדרת לדחיית TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA , כל ניסיון לגשת למשאבים עם הצופן בפרויקט המוגבל על ידי המדיניות בפקודה לדוגמה הזו ייכשל. מוחזרת הודעת שגיאה שדומה לדוגמה הבאה, שמתארת את הסיבה לכישלון.

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/my-project-id'.
Access to service cloudkms.googleapis.com attempted with a disallowed TLS Cipher
Suite: `TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA`.
To access this resource, please use an allowed TLS Cipher Suite.

יצירת מדיניות ארגונית במצב הרצת בדיקה

מדיניות ארגונית במצב פרימטר לבדיקות היא סוג של מדיניות ארגונית שבה הפרות של המדיניות נרשמות ביומן הביקורת, אבל הפעולות שמפירות את המדיניות לא נדחות. אפשר ליצור מדיניות ארגונית במצב הרצה יבשה באמצעות האילוץ TLS Cipher Suite Restriction (הגבלת חבילת הצפנה של TLS) כדי לעקוב אחרי ההשפעה שלה על הארגון לפני שאוכפים את המדיניות הפעילה. מידע נוסף מופיע במאמר בנושא יצירת מדיניות ארגונית במצב הרצה יבשה.

שירותים נתמכים

השירותים הבאים תומכים בהגבלת סטים של אלגוריתמים להצפנה (cipher suite) ב-TLS. ההגבלה חלה על כל הווריאציות של נקודת קצה ל-API, כולל נקודות קצה גלובליות, מבוססות-מיקום ואזוריות. מידע נוסף זמין בדף סוגי נקודות קצה ל-API.

שירותים שלא נתמכים

האילוץ 'הגבלת סט אלגוריתמים להצפנה (cipher suite) ב-TLS' במדיניות הארגון לא חל על השירותים הבאים:

• ‫Apigee‏ (*.apigee.net,‏ *.apigee.com ו-*.apigee.io)
• App Engine (*.appspot.com)
• פונקציות Cloud Run‏ (*.cloudfunctions.net),
• ‫Cloud Run‏ (*.run.app)
• התחברות לשירות פרטי
• דומיינים מותאמים אישית

כדי להגביל את סוויטות ההצפנה של TLS בשירותים האלה, צריך להשתמש ב-Cloud Load Balancing יחד עם מדיניות אבטחה של SSL.

Cloud de Confiance by S3NS העדפות השימוש בסט האלגוריתמים להצפנה (cipher suite)

נקודות הקצה של שירותים נתמכים נותנות עדיפות לחבילות הצפנה לפי הסדר הבא, מהמועדפת ביותר למועדפת פחות:

1. AES-256
2. AES-128
3. ChaCha20

במהלך לחיצת היד בפרוטוקול TLS, השרת בוחר את סט האלגוריתמים להצפנה (cipher suite) המועדף ביותר שגם הלקוח וגם השרת תומכים בו. בדרך כלל, תהליך הבחירה הזה לא דורש שינויים ספציפיים בהגדרות בצד הלקוח.

לחיצת היד בפרוטוקול TLS מתרחשת לפני בדיקת המדיניות בנושא הגבלת סט אלגוריתמים להצפנה (cipher suite) של TLS, והיא נפרדת מבדיקת המדיניות. כתוצאה מכך, גם סטים של האלגוריתמים להצפנה (cipher suite) שנקבעו במהלך לחיצת היד של TLS צריכים להיות מותרים על ידי בדיקת המדיניות 'הגבלת סטים של אלגוריתמים להצפנה (cipher suite) ב-TLS'. אחרת, החיבור יידחה. בעל המדיניות אחראי להגדרת המדיניות 'הגבלת סטי אלגוריתמים להצפנה (cipher suite) של TLS ואפליקציות לקוח' כדי לאפשר את סט אלגוריתמים להצפנה (cipher suite) שנקבע.