Verschlüsselung ruhender Daten

Google Distributed Cloud (GDC) mit Air Gap bietet eine umfassende Sicherheitsstrategie zum Schutz Ihrer Daten, einschließlich automatischer Verschlüsselung ruhender Daten. Die Verschlüsselung ruhender Daten ist eine Sicherheitsmaßnahme, die unbefugten Zugriff auf Daten verhindert, die auf nichtflüchtigem Speicher (Speicher, der Daten auch nach einem Stromausfall beibehält) gespeichert sind, z. B. auf Festplatten (einschließlich SSDs) und Sicherungsmedien. GDC verschlüsselt Ihre Inhalte im Ruhezustand, ohne dass Sie etwas tun müssen.

In diesem Dokument werden die Standardmechanismen zur Verschlüsselung ruhender Daten in GDC beschrieben und die Funktion „Kundenverwaltete Verschlüsselungsschlüssel“ (Customer-Managed Encryption Keys, CMEK) erläutert, mit der Sie die Verschlüsselungsschlüssel steuern können, die Ihre gespeicherten Daten schützen.

In diesem Dokument werden Grundkenntnisse in der Verschlüsselung und den kryptografischen Datentypen vorausgesetzt. Es richtet sich an Nutzer, die die Sicherheit in GDC verwalten (z. B. IT-Administratoren oder Sicherheitstechniker). Weitere Informationen finden Sie unter siehe Dokumentation zu Zielgruppen für GDC mit Air Gap.

Geschützte Arten von Kundendaten

Kundendaten sind Daten, die Kunden oder Endnutzer GDC über die Dienste in ihrem Konto zur Verfügung stellen. GDC verarbeitet die folgenden beiden Kategorien von Kundendaten:

  • Kundeninhalte: Daten, die Sie selbst erstellen oder GDC zur Verfügung stellen, z. B. gespeicherte Daten, Laufwerk-Snapshots und Richtlinien zur Identitäts- und Zugriffsverwaltung (Identity and Access Management, IAM). Die in diesem Dokument beschriebene Standardverschlüsselung ruhender Daten schützt in erster Linie Kundeninhalte.

  • Kundenmetadaten: Alle anderen Kundendaten. Kundenmetadaten können automatisch generierte Projektnummern, Zeitstempel, IP-Adressen, die Bytegröße eines Objekts oder den Maschinentyp umfassen. GDC schützt Kundenmetadaten in dem Maße, dass eine kontinuierliche Leistung und ein kontinuierlicher Betrieb gewährleistet sind.

Vorteile der Verschlüsselung ruhender Daten

Die Verschlüsselung ruhender Daten bietet folgende Vorteile:

  • Sie verringert die Auswirkungen von unbefugtem physischen Zugriff auf Daten, die auf Festplatten gespeichert sind. Auch wenn Angreifer physischen Zugriff auf Speichergeräte erhalten, können sie die Daten ohne die Verschlüsselungsschlüssel nicht lesen oder entschlüsseln, da die Festplatten nur verschlüsselte Daten preisgeben.
  • Die Sicherheitsstrategie konzentriert sich auf die Schlüsselverwaltung. Da die Daten verschlüsselt sind, ist der Schutz der Verschlüsselungsschlüssel eine wichtige Sicherheitsmaßnahme, um unbefugten Datenzugriff zu verhindern.
  • Sie bietet einen wichtigen Datenschutzmechanismus. Wenn GDC ruhende Daten verschlüsselt, beschränkt dies den Zugriff von Systemen und Entwicklern auf die Daten.

Standardverschlüsselungsebenen

GDC verschlüsselt alle gespeicherten Kundeninhalte im Ruhezustand automatisch mit mehreren Verschlüsselungsebenen. Dieser mehrschichtige Ansatz bedeutet, dass eine Kompromittierung auf einer Ebene die Daten weniger wahrscheinlich preisgibt. Diese Ebenen werden für die primären Speichertypen implementiert, die von Kundenarbeitslasten verwendet werden, einschließlich der folgenden:

  • Blockspeicher

    • Verschlüsselung auf Hardwareebene:Verwendet FIPS 140-2-konforme selbstverschlüsselnde Laufwerke (Self-Encrypting Drives, SEDs). Die Verschlüsselungsschlüssel für diese SEDs werden in einem externen Hardwaresicherheitsmodul (Hardware Security Module, HSM) gespeichert, das FIPS 140-3-konformen Speicher bietet.
    • Verschlüsselung auf Softwareebene:Implementiert eine zusätzliche Ebene namens Volume Encryption (VE). Jedes Blockspeichervolume wird mit einem eindeutigen XTS-AES-256-Schlüssel verschlüsselt. Diese volumenspezifischen Schlüssel werden ebenfalls im externen HSM gespeichert und als CMEKs verwaltet.

Kundenverwaltete Verschlüsselungsschlüssel

Mit kundenverwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEK) können Sie die Schlüssel steuern, die Ihre ruhenden Daten in GDC schützen. Standardmäßig werden alle in GDC gespeicherten Daten im inaktiven Zustand mit FIPS 140-validierten kryptografischen Modulen und HSM-gestützten Schlüsseln verschlüsselt, ohne dass eine Einrichtung oder Konfiguration erforderlich ist.

CMEKs bieten die folgenden Vorteile, die Ihnen helfen können, Ihre Compliance-Anforderungen zu erfüllen:

  • Kontrolle:Sie steuern die Schlüssel und können sie auch löschen.
  • Transparenz:Sie können den Zugriff auf den Schlüssel prüfen, um sicherzustellen, dass Ihre Daten geschützt sind.
  • Kryptografisches Löschen:Die Einführung von CMEK ermöglicht diese Methode zur sicheren Datenvernichtung für die Behebung von Datenlecks und die Deaktivierung von Konten. Sie können Schlüssel außerhalb der Daten löschen, die sie schützen.
  • Zentrale Durchsetzung:Zentral verwaltete Verschlüsselungsschlüssel bieten einen zentralen Ort, an dem Zugriffsrichtlinien durchgesetzt und die Schlüsselnutzung geprüft werden kann.

Arten von CMEK-Ressourcen

CMEKs sind Verschlüsselungsschlüssel, die von der Gruppe der Plattformadministratoren überwacht, geprüft und gelöscht werden können. Sie verwalten diese Schlüssel über Kubernetes-Ressourcen mit HSM APIs oder dem Key Management System (KMS).

Es gibt zwei Arten von CMEK-Kubernetes-Ressourcen:

  • CTMKey: Eine Kubernetes-Ressource, die direkt im HSM mit dem Thales CipherTrust Manager (CTM) erstellt und verwaltet wird. Sie können CTMKey-Ressourcen mit kubectl verwalten, um mit der HSM API zu interagieren.

    Dienste wie der Blockspeicher verwenden CTMKey-Ressourcen als CMEKs.

  • AEADKey: Eine Kubernetes-Ressource, die vom KMS verwaltet wird. Mit KMS können Sie eigene Verschlüsselungs- und Signaturschlüssel erstellen und verwalten. KMS verwendet einen HSM-gestützten Root-Schlüssel, um das AEADKey-Material zu umschließen und so sicherzustellen, dass es im inaktiven Zustand verschlüsselt ist. Die Root of Trust ist zwar weiterhin das HSM, aber KMS bietet eine zusätzliche Ebene der Schlüsselverwaltung. Sie verwalten AEADKey-Ressourcen mit kubectl, um mit der KMS API zu interagieren.

    Dienste wie die Bucket-Verschlüsselung im Objektspeicher verwenden AEADKey-Ressourcen als CMEKs.

CMEK-unterstützte Dienste in GDC

Wenn Sie Ressourcen erstellen, in denen Daten in GDC-Diensten gespeichert werden, generieren die Dienste automatisch die Verschlüsselungsschlüssel, die Ihre Daten schützen, und stellen sie als CMEK-Ressourcen zur Verfügung.

Nur einige Dienste unterstützen die CMEK-Rotation. Eine Anleitung zur Schlüsselrotation finden Sie in der Dokumentation des jeweiligen Dienstes.

Die folgenden GDC-Dienste unterstützen CMEK:

  • Blockspeicher: Verschlüsselt jedes Blockspeichergerät.
  • Laufwerke virtueller Maschinen (VMs): Verschlüsselt VM-Laufwerke.
  • Datenbankdienst: Verschlüsselt Daten für Ihre Datenbankinstanz. Beachten Sie, dass Sicherungen für Ihre Datenbank nicht im Umfang von CMEK enthalten sind, sondern stattdessen mit den Einstellungen des Sicherungsspeichersystems verschlüsselt werden.
  • Nutzercontainer-Arbeitslasten: Verschlüsselt die Kubernetes-Metadaten und den etcd Cluster. Nichtflüchtige Volumes (Persistent Volumes, PVs), die von Containerarbeitslasten verwendet werden, werden im Rahmen der Blockspeicherverschlüsselung verschlüsselt.
  • Speicher: Verschlüsselt jedes Objekt mit einem eindeutigen AES-256-GCM-Schlüssel, der von einem KMS-AEAD-Schlüssel auf Bucket-Ebene umschlossen wird.