Buletin keamanan

Pilih versi dokumentasi:

Untuk mengevaluasi postur keamanan deployment AlloyDB Omni mandiri Anda dan merencanakan upgrade database, tinjau kebijakan keamanan, cakupan kerentanan, praktik pengungkapan, dan batasan modul kriptografis Federal Information Processing Standards (FIPS) 140-3 di halaman ini:

Untuk menerima catatan rilis dan update keamanan AlloyDB Omni terbaru di pembaca feed Anda, berlanggananlah ke feed catatan rilis AlloyDB Omni.

Pemfilteran cakupan dan tingkat keparahan

Untuk memfokuskan alur kerja perbaikan pada saran keamanan yang dapat ditindaklanjuti dan mengurangi derau pemindai, ringkasan kerentanan AlloyDB Omni dan log CVE yang mendetail mengikuti kebijakan pelaporan berikut:

  • Pemfilteran ketat untuk tingkat keparahan Kritis dan Tinggi: Tabel ringkasan kerentanan dan log CVE mendetail hanya melaporkan CVE dengan tingkat keparahan Kritis dan Tinggi berdasarkan rating tingkat keparahan dari National Vulnerability Database (NVD) dan vendor upstream. Saran dengan tingkat keparahan Rendah dan Sedang dikecualikan dari jumlah ringkasan dan log mendetail.
  • Pelaporan bidang kontrol dan kernel database yang dipisahkan: Buletin keamanan AlloyDB Omni mandiri melaporkan kerentanan khusus untuk image container kernel database (18.x, 17.x, 16.x, dan 15.x). Rekomendasi container sidecar dan operator Kubernetes dilacak secara terpisah diBuletin keamanan AlloyDB Omni di Kubernetes.
  • Isolasi khusus versi: Log CVE mendetail diatur ke dalam subhalaman khusus per versi rilis menggunakan skema 4 kolom standar (CVE ID, Severity, Impacted images, dan Mitigated in). Dalam setiap log rilis, kerentanan yang diperbaiki dalam rilis berikutnya menampilkan versi rilis mitigasi di kolom Mitigated in.

Penilaian kerentanan dan kebijakan pembaruan

Google secara rutin memindai semua image container AlloyDB Omni yang dipublikasikan terhadap database kerentanan NVD, Red Hat Security Data, Debian Security Tracker, dan Go. Google memperbarui buletin keamanan AlloyDB Omni saat rilis baru dipublikasikan:

  • CVE yang diperbaiki: Kerentanan yang ada dalam image container kernel database AlloyDB Omni sebelumnya dimitigasi dalam rilis minor atau patch berikutnya. Google menerapkan patch keamanan ke versi minor terbaru dari versi utama PostgreSQL yang didukung, yaitu 18, 17, 16, dan 15.
  • Image container yang diganti: Saat rilis AlloyDB Omni baru memitigasi CVE dari rilis sebelumnya, Google menandai ringkasan image container yang diganti sebagai tidak digunakan lagi. Selalu ambil image kernel database yang sesuai dengan rilis terbaru yang didukung.

Kepatuhan FIPS 140-3 dan patching CVE

Untuk mempertahankan kepatuhan terhadap Federal Information Processing Standards (FIPS) 140-3 sambil terus melakukan patch pada kerentanan keamanan di seluruh rilis minor dan patch, AlloyDB Omni memisahkan modul kriptografi dalam yang divalidasi FIPS dari library kriptografi dan protokol luarnya:

  • Validasi FIPS untuk modul kriptografis: Cryptographic Module Validation Program (CMVP) National Institute of Standards and Technology (NIST) menyertifikasi modul atau penyedia kriptografis internal yang dibekukan dan menerbitkan nomor sertifikat. Mengubah petunjuk apa pun di dalam batas yang divalidasi tersebut akan mengubah checksum integritas Hash-based Message Authentication Code (HMAC) yang disematkan dan membatalkan validitas sertifikat.
  • Kepatuhan FIPS untuk deployment: Deployment AlloyDB Omni beroperasi dalam mode yang mematuhi FIPS 140-3 saat berjalan di OS host yang mendukung FIPS, seperti Red Hat Enterprise Linux (RHEL) 9 dengan file /proc/sys/crypto/fips_enabled yang ditetapkan ke 1. Dalam mode ini, deployment merutekan semua operasi kriptografis yang relevan dengan keamanan melalui modul yang divalidasi FIPS dengan Known-Answer Test (KAT) yang diaktifkan dan pemeriksaan integritas HMAC diaktifkan. Proxy ini juga menerapkan versi Transport Layer Security (TLS) yang disetujui, yaitu TLS 1.2 atau yang lebih baru, cipher suite yang disetujui, dan metode autentikasi sandi scram-sha-256. Image container kernel database Red Hat Universal Base Image 9 (UBI 9) (-ubi9) siap untuk FIPS, dan organisasi Anda bertanggung jawab untuk mengaktifkan dan memverifikasi mode FIPS pada OS host yang mendasarinya.
  • Patching CVE di luar batas FIPS: Library penguraian protokol dan jaringan, seperti mesin status TLS, penguraian sertifikat X.509 dan ASN.1, HTTP/2, dan I/O jaringan, berada di lapisan luar di luar batas modul FIPS yang dibekukan. Karena komponen ini berada di luar batas yang divalidasi, Google menerapkan patch pada CVE lapisan luar di seluruh rilis minor dan patch tanpa mengubah modul kriptografi dalam atau membatalkan sertifikasi NIST CMVP-nya. Hanya kerentanan di dalam implementasi primitif kriptografis tingkat rendah itu sendiri yang memerlukan update pada modul FIPS internal.
Tabel berikut menjelaskan stack kriptografis di seluruh image container kernel database AlloyDB Omni Red Hat UBI 9 (-ubi9), termasuk batas FIPS dalam yang dibekukan dan lapisan kriptografis dan protokol luar yang di-patch di seluruh rilis:

Stack kriptografis Image container kernel database Biner Modul atau penyedia tervalidasi FIPS internal Lapisan kriptografi dan protokol luar
BoringSSL dan BoringCrypto alloydbomni (-ubi9) Biner C postgres dan pgbackrest Google BoringCrypto Module (BCM) BoringSSL libssl dan paket non-BCM libcrypto x509, asn1, pem, dan bio untuk postgres dan pgbackrest
OpenSSL 3 Lapisan OS dasar Red Hat UBI 9 dari alloydbomni (-ubi9) Pustaka bersama dan aplikasi utilitas OS dasar Penyedia FIPS OpenSSL RHEL 9 /lib64/libssl.so.3 dan /lib64/libcrypto.so.3 dalam paket RPM openssl-libs

Langkah berikutnya