Criptografia em repouso

O Google Distributed Cloud (GDC) com isolamento físico oferece uma estratégia de segurança abrangente para ajudar a proteger seus dados, com criptografia automática em repouso. A criptografia em repouso é uma medida de segurança que impede o acesso não autorizado a dados armazenados em armazenamento não volátil (armazenamento que retém dados mesmo após a perda de energia), como discos (incluindo unidades de estado sólido) e mídia de backup. O GDC criptografa seu conteúdo em repouso, sem exigir nenhuma ação da sua parte.

Este documento descreve os mecanismos de criptografia padrão em repouso no GDC e explica o recurso de chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês), que permite controlar as chaves de criptografia que protegem seus dados armazenados.

Este documento pressupõe um conhecimento básico de criptografia e tipos de dados criptográficos e é destinado a públicos que gerenciam a segurança (como administradores de TI ou engenheiros de segurança) no GDC. Para mais informações, consulte Públicos-alvo da documentação do GDC com isolamento físico.

Tipos de dados do cliente protegidos

Os dados do cliente se referem aos dados que os clientes ou usuários finais fornecem ao GDC por meio dos serviços na conta deles. O GDC processa as duas categorias de dados do cliente a seguir:

  • Conteúdo do cliente: dados que você gera ou fornece ao GDC, como dados armazenados, snapshots de disco e políticas do Identity and Access Management (IAM). A criptografia padrão em repouso, conforme descrito neste documento, protege principalmente o conteúdo do cliente.

  • Metadados do cliente: todos os outros dados do cliente. Os metadados do cliente podem incluir números de projeto gerados automaticamente, carimbos de data/hora, endereços IP, o tamanho de bytes de um objeto ou o tipo de máquina virtual. O GDC protege os metadados do cliente em um nível razoável para manter o desempenho e as operações contínuas.

Benefícios da criptografia em repouso

A criptografia em repouso tem os seguintes benefícios:

  • Reduz o impacto do acesso físico não autorizado a dados armazenados em discos. Mesmo que os invasores consigam acesso físico aos dispositivos de armazenamento, eles não poderão ler ou descriptografar os dados sem as chaves de criptografia, já que os discos só expõem dados criptografados.
  • Concentra a estratégia de segurança no gerenciamento de chaves. Como os dados são criptografados, proteger as chaves de criptografia é uma medida de segurança importante para impedir o acesso não autorizado aos dados.
  • Fornece um mecanismo de privacidade importante. Quando o GDC criptografa dados em repouso, ele limita o acesso dos sistemas e engenheiros aos dados.

Camadas de criptografia padrão

O GDC criptografa automaticamente todo o conteúdo do cliente armazenado em repouso usando várias camadas de criptografia. Essa abordagem em camadas significa que uma violação em uma camada tem menos probabilidade de expor os dados. Essas camadas são implementadas nos principais tipos de armazenamento usados pelas cargas de trabalho do cliente, incluindo o seguinte:

  • Armazenamento em blocos

    • Criptografia no nível do hardware:usa unidades auto criptografadas (SEDs, na sigla em inglês) compatíveis com FIPS 140-2. As chaves de criptografia dessas SEDs são armazenadas em um módulo de segurança de hardware (HSM, na sigla em inglês) externo, fornecendo armazenamento compatível com FIPS 140-3.
    • Criptografia no nível do software:implementa uma camada extra chamada criptografia de volume (VE, na sigla em inglês). Cada volume de armazenamento em blocos é criptografado com uma chave XTS-AES-256 exclusiva. Essas chaves específicas do volume também são armazenadas no HSM externo e gerenciadas como CMEKs.

Chaves de criptografia gerenciadas pelo cliente

As chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês) oferecem controle sobre as chaves que protegem seus dados em repouso no GDC. Por padrão, todos os dados armazenados no GDC são criptografados em repouso usando módulos criptográficos validados pelo FIPS 140 e chaves apoiadas pelo HSM, sem exigir configuração.

As CMEKs oferecem as seguintes vantagens que podem ajudar você a atender aos requisitos de conformidade:

  • Controle:você controla as chaves, incluindo a capacidade de excluí-las.
  • Transparência:é possível auditar o acesso à chave para garantir que seus dados estejam protegidos.
  • Apagamento criptográfico:a adoção da CMEK permite esse método de destruição de dados de alta segurança para remediação e desativação de dados. É possível excluir chaves fora da banda dos dados que elas protegem.
  • Aplicação centralizada:as chaves de criptografia gerenciadas centralmente criam um único local para aplicar políticas de acesso e auditar o uso de chaves.

Tipos de recursos de CMEK

As CMEKs são chaves de criptografia que o grupo de administradores da plataforma pode monitorar, auditar e excluir. Você gerencia essas chaves por meio de recursos do Kubernetes usando APIs do HSM ou o Key Management System (KMS).

Há dois tipos de recursos do Kubernetes CMEK:

  • CTMKey: um recurso do Kubernetes criado e gerenciado diretamente no HSM usando o Thales CipherTrust Manager (CTM). É possível gerenciar recursos CTMKey usando kubectl para interagir com a API HSM.

    Serviços como o armazenamento em blocos usam recursos CTMKey como CMEKs.

  • AEADKey: um recurso do Kubernetes gerenciado pelo KMS. O KMS permite criar e gerenciar suas próprias chaves de criptografia e assinatura. O KMS usa uma chave raiz apoiada pelo HSM para encapsular o material AEADKey, garantindo que ele seja criptografado em repouso. Embora a raiz de confiança ainda seja o HSM, o KMS fornece uma camada extra de gerenciamento de chaves. Você gerencia recursos AEADKey usando kubectl para interagir com a API KMS.

    Serviços como a criptografia de bucket de armazenamento de objetos usam recursos AEADKey como CMEKs.

Serviços compatíveis com CMEK no GDC

Ao criar recursos que armazenam dados nos serviços do GDC, os serviços geram automaticamente as chaves de criptografia que protegem seus dados e as disponibilizam como recursos de CMEK.

Apenas alguns serviços oferecem suporte à rotação de CMEK. Consulte a documentação de cada serviço para instruções sobre a rotação de chaves.

Os seguintes serviços do GDC oferecem suporte à CMEK:

  • Armazenamento em blocos: criptografa cada dispositivo de armazenamento em blocos.
  • Discos de máquina virtual (VM): criptografa discos de VM.
  • Serviço de banco de dados: criptografa dados da instância do banco de dados. Os backups do banco de dados estão fora do escopo da CMEK e são criptografados usando as configurações do sistema de armazenamento de backup.
  • Cargas de trabalho de contêiner do usuário: criptografa os metadados do Kubernetes e o etcd cluster. Os volumes permanentes (PVs) usados pelas cargas de trabalho do contêiner são criptografados como parte da criptografia de armazenamento em blocos.
  • Armazenamento: criptografa cada objeto com uma chave AES-256-GCM exclusiva, encapsulada por uma chave AEAD do KMS no nível do bucket.