Encriptación en reposo

Google Distributed Cloud (GDC) aislado proporciona una estrategia de seguridad integral para proteger tus datos, que incluye la encriptación automática en reposo. La encriptación en reposo es una medida de seguridad que impide el acceso no autorizado a los datos almacenados en un almacenamiento no volátil (almacenamiento que conserva los datos incluso después de perder energía), como discos (incluidas las unidades de estado sólido) y medios de copia de seguridad. GDC encripta tu contenido en reposo sin que tengas que realizar ninguna acción.

En este documento, se describen los mecanismos de encriptación en reposo predeterminados en GDC y se explica la función de claves de encriptación administradas por el cliente (CMEK), que te permite controlar las claves de encriptación que protegen tus datos almacenados.

En este documento, se supone que tienes conocimientos básicos sobre la encriptación y los tipos de datos criptográficos, y está dirigido a públicos que administran la seguridad (como administradores de TI o ingenieros de seguridad) dentro de GDC. Para obtener más información, consulta Públicos de la documentación de Google Distributed Cloud aislado.

Tipos de datos de clientes protegidos

Los datos de clientes hacen referencia a los datos que los clientes o los usuarios finales proporcionan a GDC a través de los servicios en su cuenta. GDC controla las siguientes dos categorías de datos de clientes:

• Contenido de clientes: Datos que generas o proporcionas a GDC, como datos almacenados, instantáneas de discos y políticas de Identity and Access Management (IAM). La encriptación en reposo predeterminada, como se describe en este documento, protege principalmente el contenido de clientes.

• Metadatos de clientes: Todos los demás datos de clientes. Los metadatos de clientes pueden incluir números de proyectos, marcas de tiempo, direcciones IP, tamaños de bytes de un objeto o el tipo de máquina virtual generados automáticamente. GDC protege los metadatos de clientes en un nivel razonable que permita mantener las operaciones y el rendimiento.

Beneficios de la encriptación en reposo

La encriptación en reposo tiene los siguientes beneficios:

• Reduce el impacto del acceso físico no autorizado a los datos almacenados en los discos. Incluso si los atacantes obtienen acceso físico a los dispositivos de almacenamiento, no pueden leer ni desencriptar los datos sin las claves de encriptación, ya que los discos solo exponen datos encriptados.
• Enfoca la estrategia de seguridad en la administración de claves. Debido a que los datos están encriptados, proteger las claves de encriptación es una medida de seguridad importante para evitar el acceso no autorizado a los datos.
• Proporciona un mecanismo de privacidad importante. Cuando GDC encripta los datos en reposo, se limita el acceso de ingenieros y sistemas a los datos.

Capas de encriptación predeterminadas

GDC encripta automáticamente todo el contenido de clientes almacenado en reposo con varias capas de encriptación. Este enfoque en capas significa que es menos probable que una vulneración en una capa exponga los datos. Estas capas se implementan en los tipos de almacenamiento principales que usan las cargas de trabajo de los clientes, incluidos los siguientes:

• Almacenamiento en bloque

  • Encriptación a nivel de hardware: Utiliza unidades de autoencriptación (SED) compatibles con FIPS 140-2. Las claves de encriptación de estas SED se almacenan en un módulo de seguridad de hardware (HSM) externo, lo que proporciona almacenamiento compatible con FIPS 140-3.
  • Encriptación a nivel de software: Implementa una capa adicional llamada encriptación de volumen (VE). Cada volumen de almacenamiento en bloque se encripta con una clave XTS-AES-256 única. Estas claves específicas del volumen también se almacenan en el HSM externo y se administran como CMEK.

Claves de encriptación administradas por el cliente

Las claves de encriptación administradas por el cliente (CMEK) te permiten controlar las claves que protegen tus datos en reposo en GDC. De forma predeterminada, todos los datos almacenados en GDC se encriptan en reposo con módulos criptográficos validados por FIPS 140 y claves respaldadas por HSM, sin necesidad de configuración.

Las CMEK ofrecen las siguientes ventajas que pueden ayudarte a cumplir con los requisitos de cumplimiento:

• Control: Controlas las claves, incluida la capacidad de borrarlas.
• Transparencia: Puedes auditar el acceso a la clave para asegurarte de que tus datos estén protegidos.
• Borrado criptográfico: La adopción de CMEK habilita este método de destrucción de datos de alta seguridad para la corrección y la baja de datos. Puedes borrar las claves fuera de banda de los datos que protegen.
• Aplicación centralizada: Las claves de encriptación administradas de forma central crean un lugar único para aplicar políticas de acceso y auditar el uso de claves.

Tipos de recursos de CMEK

Las CMEK son claves de encriptación que el grupo de administradores de la plataforma puede supervisar, auditar y borrar. Puedes administrar estas claves a través de recursos de Kubernetes con las APIs de HSM o el sistema de administración de claves (KMS).

Existen dos tipos de recursos de CMEK de Kubernetes:

• CTMKey: Un recurso de Kubernetes creado y administrado directamente en el HSM con Thales CipherTrust Manager (CTM). Puedes administrar los recursos CTMKey con kubectl para interactuar con la API de HSM.

  Los servicios como el almacenamiento en bloque usan recursos CTMKey como CMEK.

• AEADKey: Un recurso de Kubernetes administrado por el KMS. KMS te permite crear y administrar tus propias claves de encriptación y firma. KMS usa una clave raíz respaldada por HSM para unir el material AEADKey, lo que garantiza que esté encriptado en reposo. Si bien la raíz de confianza sigue siendo el HSM, KMS proporciona una capa adicional de administración de claves. Puedes administrar los recursos AEADKey con kubectl para interactuar con la API de KMS.

  Los servicios como la encriptación de bucket de almacenamiento de objetos usan recursos AEADKey como CMEK.

Servicios compatibles con CMEK en GDC

Cuando creas recursos que almacenan datos dentro de los servicios de GDC, los servicios generan automáticamente las claves de encriptación que protegen tus datos y las ponen a disposición como recursos de CMEK.

Advertencia: Las claves que generan automáticamente los servicios de GDC para CMEK están vinculadas al ciclo de vida del recurso correspondiente. No uses estas claves para ningún otro propósito (como encriptar otros datos con las APIs de KMS). Si usas una clave de este tipo para otros propósitos y, luego, se borra el recurso original, es posible que el servicio también borre la clave, lo que provocará la pérdida permanente de datos para cualquier otro dato encriptado con esa clave.

Solo algunos servicios admiten la rotación de CMEK. Consulta la documentación de cada servicio para obtener instrucciones sobre la rotación de claves.

Los siguientes servicios de GDC admiten CMEK:

• Almacenamiento en bloque: Encripta cada dispositivo de almacenamiento en bloque.
• Discos de máquinas virtuales (VM): Encripta los discos de VM.
• Servicio de base de datos: Encripta los datos de tu instancia de base de datos. Ten en cuenta que las copias de seguridad de tu base de datos no están dentro del alcance de CMEK y, en cambio, se encriptan con la configuración del sistema de almacenamiento de copia de seguridad.
• Cargas de trabajo de contenedores de usuarios: Encripta los metadatos de Kubernetes y el etcd clúster. Los volúmenes persistentes (PV) que usan las cargas de trabajo de contenedores se encriptan como parte de la encriptación de almacenamiento en bloque.
• Almacenamiento: Encripta cada objeto con una clave AES-256-GCM única, unida por una clave AEAD de KMS a nivel del bucket.