הצפנה של דיסק האתחול

מכשיר Google Distributed Cloud (GDC) עם בידוד פיזי משתמש בהצפנת דיסק מבוססת-Linux Unified Key Setup (LUKS) עם YubiKeys.

לכל מכשיר GDC עם air gap, נשלחים ללקוח בנפרד שלושה מפתחות YubiKey או יותר. למפתחות YubiKey יש אישור FIPS 140-2. מידע נוסף על דגם YubiKey זמין בכתובת https://www.yubico.com/product/yubikey-5-nano-fips/.

יציאות ה-USB בכל להב שרת במכשיר מופעלות באמצעות מתאמי USB. מכניסים את מפתחות YubiKey למכונות השרת כחלק מהגדרת המכשיר. כל YubiKey מקושר לשרת במהלך תהליך האתחול, ואי אפשר להשתמש בו עם שרת אחר. אי אפשר להשתמש במפתחות לסירוגין.

אזהרה: חשוב לאחסן את כל מפתחות YubiKey במקום בטוח ולהסיר אותם בכל פעם שהמכשיר לא פועל. מכיוון שמפתחות YubiKey יכולים לפענח כוננים מקומיים בכל שלב במחזור החיים של מכשיר GDC עם air gap, השארתם ללא השגחה במכשיר לא פעיל יוצרת נקודת חולשה אבטחה.

צריך להכניס את YubiKey רק במהלך תהליך האתחול. אם מסירים את YubiKey אחרי תהליך האתחול, זה לא משפיע על הפעולה של המכשיר. אם מסירים את YubiKey, צריך להכניס אותו מחדש לאותו צומת לפני האתחול הבא. כדי להגן מפני גניבת שרת, חשוב לוודא שמפתחות YubiKey מועברים בנפרד מהמכשיר.