Restringe versiones de TLS

En esta página, se describe cómo puedes evitar el acceso a los recursos de Google Cloud mediante el rechazo de las solicitudes realizadas con la seguridad de la capa de transporte (TLS) 1.0 o 1.1.

Descripción general

Google Cloud admite varias versiones del protocolo TLS. Para cumplir con los requisitos de cumplimiento, te recomendamos rechazar las solicitudes de protocolo de enlace de los clientes que usan versiones de TLS anteriores. Para ello, puedes usar la restricción de la política de la organización gcp.restrictTLSVersion.

La restricción gcp.restrictTLSVersion se puede aplicar a organizaciones, carpetas o proyectos en la jerarquía de recursos. La restricción usa una lista de denegación, que rechaza valores explícitos y permite todos los demás. Se producirá un error si intentas usar una lista de entidades permitidas.

Debido al comportamiento de la evaluación de la jerarquía de políticas de la organización, la restricción de versión de TLS se aplica al nodo del recurso especificado y a todos sus elementos secundarios. Por ejemplo, si rechazas la versión 1.0 de TLS para una organización, también se rechazará para todas las carpetas y proyectos (secundarios) que desciendan de esa organización.

Puedes anular la restricción de versiones de TLS heredada si actualizas la política de la organización en un recurso secundario. Por ejemplo, si la política de la organización deniega TLS 1.0 a nivel de la organización, puedes quitar la restricción de una carpeta secundaria si configuras una política de la organización separada en esa carpeta. Si la carpeta tiene algún elemento secundario, su política también se aplicará a cada recurso secundario debido a la herencia de políticas.

Antes de comenzar

  • Para establecer, cambiar o borrar una política de la organización, primero debes tener la función de Administrador de políticas de la organización (roles/orgpolicy.policyAdmin) Identity and Access Management (IAM).

Restringe una versión de TLS

Para restringir una o más versiones de TLS, completa los siguientes pasos:

Console

  1. Abre la página Políticas de la organización en la consola de Google Cloud.

    Ir a Políticas de la organización

  2. Selecciona el selector de proyectos en la parte superior de la página.

  3. En el selector de proyectos, selecciona el recurso para el que deseas establecer la política de la organización.

  4. Selecciona la restricción Restringir la versión de TLS de la lista de la página Políticas de la organización.

  5. Para actualizar la política de la organización para este recurso, haz clic en Editar.

  6. En la página Editar, selecciona Personalizar.

  7. En Aplicación de la política, selecciona una opción de aplicación:

    • Para combinar y evaluar las políticas de la organización, selecciona Combinar con superior. Para obtener más información sobre la herencia y la jerarquía de recursos, consulta Información sobre la evaluación de jerarquías.

    • Para anular las políticas heredadas de un recurso superior, selecciona Reemplazar.

  8. Haz clic en Agregar regla.

  9. En Valores de la política, el valor predeterminado es Rechazar todo. En su lugar, selecciona Personalizada.

  10. En Tipo de política, selecciona Rechazar.

  11. En Valores personalizados, ingresa la versión de TLS que desees rechazar. Los siguientes valores son valores personalizados válidos:

    • TLS_VERSION_1 para TLS 1.0
    • TLS_VERSION_1_1 para TLS 1.1

    Si restringes más de una versión de TLS, haz clic en Agregar valor y, luego, ingresa el valor en el campo adicional.

  12. Para finalizar y aplicar la política de la organización, haz clic en Guardar (Save).

gcloud

Usa el comando gcloud org-policies set-policy para establecer una política de la organización en el recurso:

gcloud org-policies set-policy POLICY_PATH

POLICY_PATH es la ruta completa al archivo de políticas de la organización, que debería verse de la siguiente manera si usas el formato YAML:

name: RESOURCE_TYPE/RESOURCE_ID/policies/gcp.restrictTLSVersion
spec:
  rules:
  - values:
    deniedValues:
    - TLS_VERSION_1
    - TLS_VERSION_1_1

Reemplázalo por lo siguiente:

  • RESOURCE_TYPE es organizations, folders o projects.

  • RESOURCE_ID es el ID de la organización, el ID de la carpeta, el ID del proyecto o el número del proyecto, según el tipo de recurso especificado en RESOURCE_TYPE.

Ejecuta el siguiente comando para verificar que se haya aplicado la política:

gcloud org-policies describe gcp.restrictTLSVersion --RESOURCE_TYPE=RESOURCE_ID --effective

Reemplázalo por lo siguiente:

  • RESOURCE_TYPE es organization, folder o project.

  • RESOURCE_ID es el ID de la organización, el ID de la carpeta, el ID del proyecto o el número del proyecto, según el tipo de recurso especificado en RESOURCE_TYPE.

Prueba la política

La restricción de la política de restricción de versiones de TLS se puede probar para cualquier servicio dentro del alcance. El siguiente comando curl de ejemplo valida la restricción de versión de TLS para un bucket de Cloud Storage.

  curl -X GET -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://storage.googleapis.com/storage/v1/b/GCS_BUCKET_NAME/o" \
  --tlsvTLS_VERSION --tls-max TLS_VERSION --ciphers DEFAULT@SECLEVEL=0

No hay espacio entre --tlsv y el valor. Por ejemplo: --tlsv1.1.

Reemplázalo por lo siguiente:

  • GCS_BUCKET_NAME es un nombre del bucket de Cloud Storage en tu proyecto, como mybucketname.

  • TLS_VERSION es una versión de TLS, como 1.0 o 1.1, rechazada en la política configurada.

En la siguiente solicitud curl de ejemplo, se muestra GCS_BUCKET_NAME configurada en mybucketname y TLS_VERSION configurada en 1.1:

  curl -X GET -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://storage.googleapis.com/storage/v1/b/mybucketname/o" \
  --tlsv1.1 --tls-max 1.1 --ciphers DEFAULT@SECLEVEL=0

Si la política de la organización está configurada para restringir TLS_VERSION_X, cualquier intento de acceder a los recursos con TLS_VERSION_X en el proyecto con restricción de política en este comando de ejemplo fallará. Se mostrará un mensaje de error que describe el motivo de este error.

Request is disallowed by organization's constraints/gcp.restrictTLSVersion
constraint for 'projects/PROJECT_NUMBER' to use service
'SERVICE_NAME.googleapis.com' by violated TLS version `TLS_VERSION_X`

En esta salida, se incluyen los siguientes valores:

  • PROJECT_NUMBER: Es el número de proyecto que aloja el recurso al que se hizo referencia en el comando anterior.
  • SERVICE_NAME: Es el nombre del servicio dentro del alcance bloqueado por la política de restricción de TLS.

Servicios compatibles

La restricción de versiones de TLS es compatible con todas las APIs de recursos de Google Cloud que tengan un encabezado firmado por Google Front End (GFE).

Servicios no admitidos

La restricción de la política de la organización de restricción de versiones de TLS no se aplica a los siguientes servicios:

  • App Engine (*.appspot.com)
  • Cloud Functions (*.cloudfunctions.net)
  • Cloud Run (*.run.app)
  • Private Service Connect
  • Dominios personalizados

Si deseas restringir las versiones de TLS para estos servicios, usa Cloud Load Balancing junto con las políticas de SSL. También puedes usar la restricción constraints/compute.requireSslPolicy predefinida junto con las restricciones personalizadas de las políticas de SSL para aplicar restricciones de versión de TLS y del conjunto de algoritmos de cifrado a los balanceadores de cargas.

¿Qué sigue?