보안 게시판

문서 버전을 선택합니다.

독립형 AlloyDB Omni 배포의 보안 상황을 평가하고 데이터베이스 업그레이드를 계획하려면 이 페이지에서 보안 정책, 취약점 범위, 공개 관행, 미국 연방 정보 처리 표준(FIPS) 140-3 암호화 모듈 경계를 검토하세요.

피드 리더에서 최신 AlloyDB Omni 출시 노트 및 보안 업데이트를 받으려면 AlloyDB Omni 출시 노트 피드를 구독하세요.

범위 및 심각도 필터링

해결 워크플로를 실행 가능한 보안 권고에 집중하고 스캐너 노이즈를 줄이기 위해 AlloyDB Omni 취약점 요약 및 자세한 CVE 로그는 다음 보고 정책을 따릅니다.

  • 엄격한 심각 및 높음 심각도 필터링: 취약점 요약 테이블 및 상세 CVE 로그는 국가 취약점 데이터베이스(NVD) 및 업스트림 공급업체 심각도 등급을 기준으로 심각 및 높음 심각도 CVE만 보고합니다. 심각도가 낮음 및 중간인 권고는 요약 수 및 세부 로그에서 제외됩니다.
  • 분리된 데이터베이스 커널 및 컨트롤 플레인 보고: 독립형 AlloyDB Omni 보안 게시판은 데이터베이스 커널 컨테이너 이미지(18.x, 17.x, 16.x, 15.x)와 관련된 취약점을 보고합니다. Kubernetes 연산자 및 사이드카 컨테이너 권고는Kubernetes의 AlloyDB Omni 보안 게시판에서 별도로 추적됩니다.
  • 버전별 격리: 상세 CVE 로그는 표준화된 4열 스키마(CVE ID, Severity, Impacted images, Mitigated in)를 사용하여 출시 버전별 전용 하위 페이지로 구성됩니다. 각 출시 로그 내에서 후속 출시에서 해결된 취약점은 Mitigated in 열에 완화 출시 버전을 표시합니다.

취약점 평가 및 새로고침 정책

Google은 게시된 모든 AlloyDB Omni 컨테이너 이미지를 NVD, Red Hat 보안 데이터, Debian 보안 추적기, Go 취약점 데이터베이스와 비교하여 정기적으로 검사합니다. Google은 새 버전이 게시되면 AlloyDB Omni 보안 게시판을 새로고침합니다.

  • 수정된 CVE: 이전 AlloyDB Omni 데이터베이스 커널 컨테이너 이미지에 있던 취약점이 후속 부 버전 또는 패치 출시 버전에서 완화됩니다. Google은 지원되는 PostgreSQL 메이저 버전 18, 17, 16, 15의 최신 마이너 버전에 보안 패치를 적용합니다.
  • 대체된 컨테이너 이미지: 새 AlloyDB Omni 출시 버전에서 이전 출시 버전의 CVE를 완화하면 Google은 대체된 컨테이너 이미지 다이제스트를 지원 중단된 것으로 표시합니다. 지원되는 최신 출시 버전에 해당하는 데이터베이스 커널 이미지를 항상 가져옵니다.

FIPS 140-3 규정 준수 및 CVE 패치

부 버전 및 패치 버전에 걸쳐 보안 취약점을 지속적으로 패치하면서 미국 연방 정보 처리 표준(FIPS) 140-3 규정 준수를 유지하기 위해 AlloyDB Omni는 내부 FIPS 검증 암호화 모듈을 외부 암호화 및 프로토콜 라이브러리에서 분리합니다.

  • 암호화 모듈에 대한 FIPS 검증: 미국 국립표준기술연구소(NIST) 암호화 모듈 검증 프로그램(CMVP)은 고정된 내부 암호화 모듈 또는 제공업체를 인증하고 인증서 번호를 발급합니다. 검증된 경계 내의 명령어를 수정하면 삽입된 해시 기반 메시지 인증 코드(HMAC) 무결성 체크섬이 변경되고 인증서가 무효화됩니다.
  • 배포의 FIPS 규정 준수: AlloyDB Omni 배포는 /proc/sys/crypto/fips_enabled 파일이 1로 설정된 Red Hat Enterprise Linux(RHEL) 9와 같은 FIPS 지원 호스트 OS에서 실행될 때 FIPS 140-3 규정 준수 모드로 작동합니다. 이 모드에서 배포는 전원 켜기 KAT(Known-Answer Test) 및 HMAC 무결성 검사가 사용 설정된 FIPS 검증 모듈을 통해 모든 보안 관련 암호화 작업을 라우팅합니다. 또한 TLS 1.2 이상의 승인된 전송 계층 보안(TLS) 버전, 승인된 암호화 스위트, scram-sha-256 비밀번호 인증 방법을 적용합니다. Red Hat Universal Base Image 9(UBI 9) 데이터베이스 커널 컨테이너 이미지(-ubi9)는 FIPS를 지원하며, 기본 호스트 OS에서 FIPS 모드를 사용 설정하고 확인하는 것은 조직의 책임입니다.
  • FIPS 경계 외부의 CVE 패치: TLS 상태 머신, X.509 및 ASN.1 인증서 파싱, HTTP/2, 네트워크 I/O와 같은 프로토콜 파싱 및 네트워킹 라이브러리는 고정된 FIPS 모듈 경계 외부의 외부 레이어에 있습니다. 이러한 구성요소는 검증된 경계 외부에 있으므로 Google은 내부 암호화 모듈을 수정하거나 NIST CMVP 인증을 무효화하지 않고 마이너 및 패치 출시 전반에 걸쳐 외부 레이어 CVE를 패치합니다. 하위 수준 암호화 프리미티브 구현 자체의 취약점만 내부 FIPS 모듈 업데이트가 필요합니다.
다음 표에서는 AlloyDB Omni Red Hat UBI 9 데이터베이스 커널 컨테이너 이미지(-ubi9)의 암호화 스택을 설명합니다. 여기에는 고정된 내부 FIPS 경계와 출시 버전 간에 패치되는 외부 암호화 및 프로토콜 레이어가 포함됩니다.

암호화 스택 데이터베이스 커널 컨테이너 이미지 바이너리 내부 FIPS 검증 모듈 또는 제공업체 외부 암호화 및 프로토콜 레이어
BoringSSL 및 BoringCrypto alloydbomni(-ubi9) postgres 및 pgbackrest C 바이너리 Google BoringCrypto 모듈(BCM) BoringSSL libssl 및 비 BCM libcrypto 패키지 x509, asn1, pem, bio(postgres 및 pgbackrest용)
OpenSSL 3 alloydbomni의 Red Hat UBI 9 기본 OS 레이어(-ubi9) 기본 OS 공유 라이브러리 및 유틸리티 RHEL 9 OpenSSL FIPS 제공업체 openssl-libs RPM 패키지의 /lib64/libssl.so.3 및 /lib64/libcrypto.so.3

다음 단계