Verschlüsselung ruhender Daten

Google Distributed Cloud (GDC) mit Air Gap bietet eine umfassende Sicherheitsstrategie zum Schutz Ihrer Daten, einschließlich der automatischen Verschlüsselung inaktiver Daten. Die Verschlüsselung inaktiver Daten ist eine Sicherheitsmaßnahme, die unbefugten Zugriff auf Daten verhindert, die auf nichtflüchtigem Speicher (Speicher, der Daten auch nach einem Stromausfall beibehält) wie Festplatten (einschließlich SSDs) und Sicherungsmedien gespeichert sind. GDC verschlüsselt Ihre inaktiven Inhalte, ohne dass Sie etwas tun müssen.

In diesem Dokument werden die Standardmechanismen zur Verschlüsselung ruhender Daten in GDC beschrieben und die Funktion „Vom Kunden verwaltete Verschlüsselungsschlüssel“ (Customer-Managed Encryption Keys, CMEK) erläutert, mit der Sie die Verschlüsselungsschlüssel steuern können, die Ihre gespeicherten Daten schützen.

In diesem Dokument werden grundlegende Kenntnisse der Verschlüsselung und kryptografischer Datentypen vorausgesetzt. Es richtet sich an Nutzer, die die Sicherheit in GDC verwalten, z. B. IT-Administratoren oder Sicherheitsexperten. Weitere Informationen finden Sie in der Dokumentation zu Zielgruppen für GDC-Air-Gap-Umgebungen.

Arten geschützter Kundendaten

Kundendaten sind Daten, die Kunden oder Endnutzer GDC über die Dienste in ihrem Konto zur Verfügung stellen. GDC verarbeitet die folgenden zwei Kategorien von Kundendaten:

  • Kundeninhalte: Daten, die Sie selbst generieren oder GDC bereitstellen, z. B. gespeicherte Daten, Laufwerk-Snapshots und IAM-Richtlinien (Identity and Access Management). Die in diesem Dokument beschriebene Standardverschlüsselung inaktiver Daten schützt in erster Linie Kundeninhalte.

  • Kundenmetadaten: Alle anderen Kundendaten. Kundenmetadaten können automatisch generierte Projektnummern, Zeitstempel, IP-Adressen, die Bytegröße eines Objekts oder den Typ der virtuellen Maschine umfassen. GDC schützt Kundenmetadaten in dem Maße, dass eine kontinuierliche Leistung und ein kontinuierlicher Betrieb gewährleistet sind.

Vorteile der Verschlüsselung ruhender Daten

Die Verschlüsselung ruhender Daten bietet folgende Vorteile:

  • Verringert die Auswirkungen von unbefugtem physischen Zugriff auf auf Festplatten gespeicherte Daten. Selbst wenn Angreifer physischen Zugriff auf Speichergeräte erhalten, können sie die Daten ohne die Verschlüsselungsschlüssel nicht lesen oder entschlüsseln, da auf den Festplatten nur verschlüsselte Daten verfügbar sind.
  • Die Sicherheitsstrategie konzentriert sich auf die Schlüsselverwaltung. Da die Daten verschlüsselt sind, ist der Schutz der Verschlüsselungsschlüssel eine wichtige Sicherheitsmaßnahme, um unbefugten Datenzugriff zu verhindern.
  • Bietet einen wichtigen Datenschutzmechanismus. Wenn GDC inaktive Daten verschlüsselt, wird der Zugriff von Systemen und Entwicklern auf die Daten eingeschränkt.

Standardverschlüsselungsebenen

GDC verschlüsselt alle gespeicherten inaktiven Kundeninhalte automatisch mit mehreren Verschlüsselungsebenen. Bei diesem mehrschichtigen Ansatz ist es weniger wahrscheinlich, dass Daten durch eine Sicherheitslücke in einer Schicht offengelegt werden. Diese Ebenen werden für die primären Speichertypen implementiert, die von Kundenarbeitslasten verwendet werden, einschließlich der folgenden:

  • Blockspeicher

    • Verschlüsselung auf Hardwareebene:Hier werden FIPS 140-2-kompatible selbstverschlüsselnde Laufwerke (Self-Encrypting Drives, SEDs) verwendet. Die Verschlüsselungsschlüssel für diese SEDs werden in einem externen Hardware Security Module (HSM) gespeichert, das FIPS 140-3-konforme Speicherung bietet.
    • Verschlüsselung auf Softwareebene:Hier wird eine zusätzliche Ebene namens „Volume Encryption“ (VE) implementiert. Jedes Blockspeichervolume wird mit einem eindeutigen XTS-AES-256-Schlüssel verschlüsselt. Diese volumenspezifischen Schlüssel werden ebenfalls im externen HSM gespeichert und als CMEKs verwaltet.

Vom Kunden verwaltete Verschlüsselungsschlüssel

Mit vom Kunden verwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEK) haben Sie die Kontrolle über die Schlüssel, die Ihre inaktiven Daten in GDC schützen. Standardmäßig werden alle in GDC gespeicherten Daten im Ruhezustand mit FIPS 140-validierten kryptografischen Modulen und HSM-gestützten Schlüsseln verschlüsselt. Eine Einrichtung oder Konfiguration ist nicht erforderlich.

CMEKs bieten die folgenden Vorteile, die Ihnen helfen können, Ihre Compliance-Anforderungen zu erfüllen:

  • Kontrolle:Sie haben die Kontrolle über die Schlüssel und können sie auch löschen.
  • Transparenz:Sie können den Zugriff auf den Schlüssel prüfen, um sicherzustellen, dass Ihre Daten geschützt sind.
  • Kryptografisches Löschen:Durch die Einführung von CMEK wird diese Methode zum sicheren Löschen von Daten für die Bereinigung von Datenlecks und das Offboarding ermöglicht. Sie können Schlüssel außerhalb des Datenbands der Daten löschen, die sie schützen.
  • Zentrale Erzwingung:Zentral verwaltete Verschlüsselungsschlüssel schaffen einen zentralen Ort, an dem Zugriffsrichtlinien erzwungen und die Schlüsselnutzung geprüft werden kann.

Arten von CMEK-Ressourcen

CMEKs sind Verschlüsselungsschlüssel, die von der Plattformadministratorgruppe überwacht, geprüft und gelöscht werden können. Sie verwalten diese Schlüssel über Kubernetes-Ressourcen mit HSM-APIs oder dem Key Management System (KMS).

Es gibt zwei Arten von CMEK-Kubernetes-Ressourcen:

  • CTMKey: Eine Kubernetes-Ressource, die direkt im HSM mit dem Thales CipherTrust Manager (CTM) erstellt und verwaltet wird. Sie können CTMKey-Ressourcen mit kubectl verwalten, um mit der HSM API zu interagieren.

    Dienste wie Blockspeicher verwenden CTMKey-Ressourcen als CMEKs.

  • AEADKey: Eine Kubernetes-Ressource, die vom KMS verwaltet wird. Mit KMS können Sie Ihre eigenen Verschlüsselungs- und Signaturschlüssel erstellen und verwalten. KMS verwendet einen HSM-gestützten Rootschlüssel, um das AEADKey-Material zu verpacken und so sicherzustellen, dass es im Ruhezustand verschlüsselt ist. Die Root of Trust ist zwar weiterhin das HSM, KMS bietet aber eine zusätzliche Ebene für die Schlüsselverwaltung. Sie verwalten AEADKey-Ressourcen mit kubectl, um mit der KMS API zu interagieren.

    Für Dienste wie die Verschlüsselung von Objektspeicher-Buckets werden AEADKey-Ressourcen als CMEKs verwendet.

Von CMEK unterstützte Dienste in GDC

Wenn Sie Ressourcen erstellen, in denen Daten in GDC-Diensten gespeichert werden, generieren die Dienste automatisch die Verschlüsselungsschlüssel, mit denen Ihre Daten geschützt werden. Diese sind dann als CMEK-Ressourcen verfügbar.

Nur einige Dienste unterstützen die CMEK-Rotation. Eine Anleitung zur Schlüsselrotation finden Sie in der Dokumentation zu den einzelnen Diensten.

Die folgenden GDC-Dienste unterstützen CMEK:

  • Blockspeicher: Verschlüsselt jedes Blockspeichergerät.
  • VM-Laufwerke: Verschlüsselt VM-Laufwerke.
  • Datenbankdienst: Verschlüsselt Daten für Ihre Datenbankinstanz. Beachten Sie, dass Sicherungen für Ihre Datenbank nicht in den Anwendungsbereich von CMEK fallen, sondern stattdessen mit den Einstellungen des Sicherungsspeichersystems verschlüsselt werden.
  • Nutzercontainer-Arbeitslasten: Verschlüsselt die Kubernetes-Metadaten und den etcd-Cluster. Nichtflüchtige Volumes (PVs), die von Containerarbeitslasten verwendet werden, werden im Rahmen der Blockspeicherverschlüsselung verschlüsselt.
  • Speicher: Jedes Objekt wird mit einem eindeutigen AES-256-GCM-Schlüssel verschlüsselt, der von einem KMS-AEAD-Schlüssel auf Bucket-Ebene umschlossen wird.