Crittografia at-rest

Google Distributed Cloud (GDC) con air gap fornisce una strategia di sicurezza completa per proteggere i tuoi dati, con la crittografia at-rest automatica. La crittografia at-rest è una misura di sicurezza che impedisce l'accesso non autorizzato ai dati archiviati su supporti di archiviazione non volatili (archiviazione che conserva i dati anche dopo un'interruzione dell'alimentazione), come dischi (incluse le unità a stato solido) e supporti di backup. GDC cripta i tuoi contenuti at-rest senza richiedere alcuna azione da parte tua.

Questo documento descrive i meccanismi di crittografia at-rest predefiniti in GDC e spiega la funzionalità delle chiavi di crittografia gestite dal cliente (CMEK), che ti consente di controllare le chiavi di crittografia che proteggono i dati archiviati.

Questo documento presuppone una conoscenza di base della crittografia e dei tipi di dati crittografici ed è destinato ai destinatari che gestiscono la sicurezza (ad esempio amministratori IT o ingegneri della sicurezza) all'interno di GDC. Per saperne di più, consulta la sezione Pubblici per la documentazione di GDC con air gap.

Tipi di dati dei clienti protetti

I dati dei clienti si riferiscono ai dati che i clienti o gli utenti finali forniscono a GDC tramite i servizi nell'ambito del loro account. GDC gestisce le seguenti due categorie di dati dei clienti:

• Contenuti dei clienti: dati che generi tu stesso o che fornisci a GDC, come dati archiviati, snapshot di dischi e criteri di Identity and Access Management (IAM). La crittografia at-rest predefinita, come descritta in questo documento, protegge principalmente i contenuti dei clienti.

• Metadati dei clienti: tutti gli altri dati dei clienti. I metadati dei clienti possono includere numeri di progetto generati automaticamente, timestamp, indirizzi IP, le dimensioni in byte di un oggetto o il tipo di macchina virtuale. GDC protegge i metadati dei clienti a un livello ragionevole per garantire prestazioni costanti e continuità delle operazioni.

Vantaggi della crittografia at-rest

La crittografia at-rest offre i seguenti vantaggi:

• Riduce l'impatto dell'accesso fisico non autorizzato ai dati archiviati sui dischi. Anche se gli autori degli attacchi ottengono l'accesso fisico ai dispositivi di archiviazione, non possono leggere o decriptare i dati senza le chiavi di crittografia, poiché i dischi espongono solo i dati criptati.
• Concentra la strategia di sicurezza sulla gestione delle chiavi. Poiché i dati sono criptati, la protezione delle chiavi di crittografia è una misura di sicurezza importante per impedire l'accesso non autorizzato ai dati.
• Fornisce un importante meccanismo di privacy. Quando GDC cripta i dati at-rest, limita l'accesso ai dati da parte di sistemi e ingegneri.

Livelli di crittografia predefiniti

GDC cripta automaticamente tutti i contenuti dei clienti archiviati a riposo utilizzando più livelli di crittografia. Questo approccio a più livelli significa che una compromissione a un livello ha meno probabilità di esporre i dati. Questi livelli vengono implementati nei tipi di archiviazione principali utilizzati dai carichi di lavoro dei clienti, tra cui:

• Archiviazione a blocchi

  • Crittografia a livello hardware: utilizza unità auto-criptanti (SED) conformi a FIPS 140-2. Le chiavi di crittografia per queste SED sono archiviate in un modulo di sicurezza hardware (HSM) esterno, che fornisce un'archiviazione conforme a FIPS 140-3.
  • Crittografia a livello software: implementa un livello aggiuntivo chiamato crittografia dei volumi (VE). Ogni volume di archiviazione a blocchi viene criptato con una chiave XTS-AES-256 univoca. Queste chiavi specifiche del volume vengono archiviate anche nell'HSM esterno e gestite come CMEK.

Chiavi di crittografia gestite dal cliente

Le chiavi di crittografia gestite dal cliente (CMEK) ti consentono di controllare le chiavi che proteggono i tuoi dati at-rest in GDC. Per impostazione predefinita, tutti i dati archiviati in GDC vengono criptati at-rest utilizzando moduli di crittografia convalidati FIPS 140 e chiavi supportate da HSM, senza richiedere configurazione o configurazione.

Le CMEK offrono i seguenti vantaggi che possono aiutarti a soddisfare i requisiti di conformità:

• Controllo: puoi controllare le chiavi, inclusa la possibilità di eliminarle.
• Trasparenza: puoi controllare l'accesso alla chiave per assicurarti che i tuoi dati siano protetti.
• Cancellazione crittografica: l'adozione di CMEK consente questo metodo di distruzione dei dati ad alta garanzia per la correzione della perdita di dati e l'offboarding. Puoi eliminare le chiavi fuori banda dei dati che proteggono.
• Applicazione centralizzata: le chiavi di crittografia gestite centralmente creano un'unica posizione per applicare i criteri di accesso e controllare l'utilizzo delle chiavi.

Tipi di risorse CMEK

Le CMEK sono chiavi di crittografia che il gruppo di amministratori della piattaforma può monitorare, controllare ed eliminare. Puoi gestire queste chiavi tramite le risorse Kubernetes utilizzando le API HSM o il Key Management System (KMS).

Esistono due tipi di risorse Kubernetes CMEK:

• CTMKey: una risorsa Kubernetes creata e gestita direttamente all'interno dell'HSM utilizzando Thales CipherTrust Manager (CTM). Puoi gestire le risorse CTMKey utilizzando kubectl per interagire con l'API HSM.

  Servizi come l'archiviazione a blocchi utilizzano le risorse CTMKey come CMEK.

• AEADKey: una risorsa Kubernetes gestita dal KMS. KMS ti consente di creare e gestire le tue chiavi di crittografia e firma. KMS utilizza una chiave radice supportata da HSM per eseguire il wrapping del materiale AEADKey, assicurandosi che sia criptato at-rest. Sebbene la radice di attendibilità sia ancora l'HSM, KMS fornisce un ulteriore livello di gestione delle chiavi. Puoi gestire le risorse AEADKey utilizzando kubectl per interagire con l'API KMS.

  Servizi come la crittografia dei bucket di archiviazione di oggetti utilizzano le risorse AEADKey come CMEK.

Servizi supportati da CMEK in GDC

Quando crei risorse che archiviano dati all'interno dei servizi GDC, i servizi generano automaticamente le chiavi di crittografia che proteggono i tuoi dati e le rendono disponibili come risorse CMEK.

Avviso:le chiavi generate automaticamente dai servizi GDC per CMEK sono legate al ciclo di vita della risorsa corrispondente. Non utilizzare queste chiavi per altri scopi (ad esempio per criptare altri dati utilizzando le API KMS). Se utilizzi una chiave di questo tipo per altri scopi e la risorsa originale viene eliminata in un secondo momento, il servizio potrebbe eliminare anche la chiave, causando la perdita permanente dei dati per tutti gli altri dati criptati con quella chiave.

Solo alcuni servizi supportano la rotazione CMEK. Consulta la documentazione di ogni servizio per istruzioni sulla rotazione della chiave.

I seguenti servizi GDC supportano CMEK:

• Archiviazione a blocchi: cripta ogni dispositivo di archiviazione a blocchi.
• Dischi di macchine virtuali (VM): cripta i dischi delle VM.
• Servizio di database: cripta i dati per l'istanza del database. Tieni presente che i backup del database non rientrano nell'ambito di CMEK e vengono criptati utilizzando le impostazioni del sistema di archiviazione di backup.
• Carichi di lavoro dei container utente: cripta i metadati Kubernetes e il etcd cluster. I volumi permanenti (PV) utilizzati dai carichi di lavoro dei container vengono criptati nell'ambito della crittografia dell'archiviazione a blocchi.
• Archiviazione: cripta ogni oggetto con una chiave AES-256-GCM univoca, sottoposta a wrapping da una chiave AEAD KMS a livello di bucket.