Bollettino sulla sicurezza

Seleziona una versione della documentazione:

Per valutare la security posture dei tuoi deployment AlloyDB Omni autonomi e pianificare gli upgrade del database, consulta le policy di sicurezza, l'ambito delle vulnerabilità, le pratiche di divulgazione e i limiti del modulo crittografico Federal Information Processing Standards (FIPS) 140-3 in questa pagina:

Per ricevere le note di rilascio e gli aggiornamenti della sicurezza più recenti di AlloyDB Omni nel tuo lettore di feed, iscriviti al feed delle note di rilascio di AlloyDB Omni.

Filtro per ambito e gravità

Per concentrare i workflow di correzione su avvisi di sicurezza utili e ridurre il rumore dello scanner, i riepiloghi delle vulnerabilità di AlloyDB Omni e i log CVE dettagliati seguono queste policy di reporting:

  • Filtro rigoroso per gravità critica e alta: le tabelle di riepilogo delle vulnerabilità e i log CVE dettagliati segnalano esclusivamente le CVE con gravità critica e alta in base alle valutazioni di gravità del National Vulnerability Database (NVD) e del vendor upstream. I suggerimenti con gravità bassa e media sono esclusi dai conteggi di riepilogo e dai log dettagliati.
  • Kernel del database e reporting del control plane disaccoppiati: i bollettini sulla sicurezza di AlloyDB Omni autonomo segnalano le vulnerabilità specifiche delle immagini container del kernel del database (18.x, 17.x, 16.x e 15.x). Gli avvisi relativi all'operatore Kubernetes e ai container sidecar vengono monitorati separatamente nelBollettino sulla sicurezza di AlloyDB Omni su Kubernetes.
  • Isolamento specifico per versione: i log CVE dettagliati sono organizzati in sottopagine dedicate per versione di release utilizzando uno schema standardizzato a 4 colonne (CVE ID, Severity, Impacted images e Mitigated in). All'interno di ogni log di release, le vulnerabilità corrette in una release successiva mostrano la versione di release di mitigazione nella colonna Mitigated in.

Criterio di valutazione e aggiornamento delle vulnerabilità

Google analizza regolarmente tutte le immagini container AlloyDB Omni pubblicate rispetto ai database delle vulnerabilità NVD, Red Hat Security Data, Debian Security Tracker e Go. Google aggiorna i bollettini sulla sicurezza di AlloyDB Omni quando vengono pubblicate nuove release:

  • CVE corretti: le vulnerabilità presenti in un'immagine container del kernel del database AlloyDB Omni precedente vengono mitigate in una release secondaria o patch successiva. Google applica patch di sicurezza alla versione secondaria più recente delle versioni principali di PostgreSQL supportate 18, 17, 16 e 15.
  • Immagini container sostituite: quando una nuova release di AlloyDB Omni mitiga le CVE di una release precedente, Google contrassegna i digest delle immagini container sostituite come deprecati. Esegui sempre il pull delle immagini kernel del database che corrispondono all'ultima release supportata.

Conformità a FIPS 140-3 e applicazione di patch CVE

Per mantenere la conformità con i Federal Information Processing Standard (FIPS) 140-3 e applicare continuamente patch alle vulnerabilità di sicurezza nelle release minori e nelle patch, AlloyDB Omni disaccoppia i moduli crittografici interni convalidati FIPS dalle librerie crittografiche e di protocollo esterne:

  • Convalida FIPS per i moduli di crittografia: il Cryptographic Module Validation Program (CMVP) del National Institute of Standards and Technology (NIST) certifica un modulo o un provider di crittografia interno bloccato ed emette un numero di certificato. La modifica di qualsiasi istruzione all'interno di questo confine convalidato altera il checksum di integrità HMAC (Hash-based Message Authentication Code) incorporato e invalida il certificato.
  • Conformità FIPS per i deployment: un deployment AlloyDB Omni opera in modalità conforme a FIPS 140-3 quando viene eseguito su un sistema operativo host abilitato per FIPS, come Red Hat Enterprise Linux (RHEL) 9 con il file /proc/sys/crypto/fips_enabled impostato su 1. In questa modalità, il deployment instrada tutte le operazioni di crittografia relative alla sicurezza tramite un modulo convalidato FIPS con test di risposta nota (KAT) all'accensione e controlli di integrità HMAC abilitati. Inoltre, applica le versioni approvate di Transport Layer Security (TLS) 1.2 o successive, le suite di crittografia approvate e il metodo di autenticazione con password scram-sha-256. Le immagini container del kernel del database Red Hat Universal Base Image 9 (UBI 9) (-ubi9) sono compatibili con FIPS e la tua organizzazione è responsabile dell'attivazione e della verifica della modalità FIPS sul sistema operativo host sottostante.
  • Applicazione di patch CVE al di fuori del confine FIPS: le librerie di analisi dei protocolli e di networking, come le macchine di stato TLS, l'analisi dei certificati X.509 e ASN.1, HTTP/2 e l'I/O di rete, risiedono nel livello esterno al di fuori del confine del modulo FIPS bloccato. Poiché questi componenti si trovano al di fuori del confine convalidato, Google applica patch alle CVE del livello esterno nelle release secondarie e nelle patch senza modificare il modulo crittografico interno o invalidare la certificazione NIST CMVP. Solo una vulnerabilità all'interno dell'implementazione della primitiva crittografica di basso livello richiede un aggiornamento del modulo FIPS interno.
La tabella seguente descrive gli stack crittografici nelle immagini container del kernel del database AlloyDB Omni Red Hat UBI 9 (-ubi9), inclusi il confine FIPS interno bloccato e il livello crittografico e di protocollo esterno che viene aggiornato tra le release:

Stack di crittografia Immagine container del kernel del database Programmi binari Modulo o provider interno convalidato FIPS Livello di protocollo e crittografico esterno
BoringSSL e BoringCrypto alloydbomni (-ubi9) Binari C postgres e pgbackrest Google BoringCrypto Module (BCM) Pacchetti BoringSSL libssl e non BCM libcrypto x509, asn1, pem e bio per postgres e pgbackrest
OpenSSL 3 Livello del sistema operativo di base Red Hat UBI 9 di alloydbomni (-ubi9) Librerie e utilità condivise del sistema operativo di base Provider FIPS OpenSSL RHEL 9 /lib64/libssl.so.3 e /lib64/libcrypto.so.3 nel pacchetto RPM openssl-libs

Passaggi successivi