התוכן הזה עודכן לאחרונה בפברואר 2025, והוא מציג את המצב הקיים במועד כתיבתו. מדיניות האבטחה ומערכות האבטחה של Google עשויות להשתנות בעתיד, כי אנחנו כל הזמן פועלים לשיפור ההגנה על הלקוחות שלנו.
מפתחות הצפנה באספקת הלקוח (CSEK) הם תכונה ב-Cloud Storage. אם אתם מספקים מפתחות הצפנה משלכם, Google משתמשת במפתח שלכם כדי להגן על המפתחות שנוצרו על ידי Google, שמצפינים ומפענחים את הנתונים שלכם.
במסמך הזה מוסבר איך מפתחות CSEK פועלים ואיך הם מוגנים ב-Google Cloud.
איך מפתחות CSEK פועלים עם Cloud Storage
כשמשתמשים במפתחות CSEK ב-Cloud Storage, המפתחות הבאים הם חלק מתהליך העטיפה:
- מפתח CSEK גולמי: אתם מספקים מפתח CSEK גולמי כחלק מקריאה ל-API. מפתח ה-CSEK הגולמי מועבר מממשק הקצה של Google (GFE) לזיכרון של מערכת האחסון. המפתח הזה הוא המפתח להצפנת מפתחות הצפנה (KEK) ב-Cloud Storage עבור הנתונים שלכם.
- מפתחות מוצפנים של חלקי נתונים: מפתח ה-CSEK הגולמי משמש להצפנה של המפתחות המוצפנים של חלקי הנתונים.
- מפתחות גולמיים של חלקי נתונים: מפתחות גולמיים של חלקי נתונים שנארזו בזיכרון. המפתחות הגולמיים של המקטעים משמשים להצפנת מקטעי הנתונים שמאוחסנים במערכות האחסון. המפתחות האלה משמשים כמפתחות להצפנת נתונים (DEK) ב-Cloud Storage עבור הנתונים שלכם.
בתרשים הבא מוצג תהליך עטיפת המפתח.
בטבלה הבאה מתוארים המפתחות.
| מקשים | מאוחסן ב | מטרה | הגישה זמינה עד |
|---|---|---|---|
Raw CSEK |
זיכרון של מערכת האחסון |
הגנה על מפתחות של נתחים עטופים. |
הפעולה שהלקוח ביקש (לדוגמה, |
מפתחות של נתחים עטופים |
התקני אחסון |
הגנה על מפתחות גולמיים של נתחי נתונים שמאוחסנים במצב מנוחה. |
אובייקט האחסון נמחק. |
מפתחות גולמיים של נתחים |
הזיכרון של התקני אחסון |
להגן על הנתונים שאתם קוראים או כותבים בדיסק. |
הפעולה שהלקוח ביקש הושלמה |
איך מוגנים מפתחות CSEK
בקטע הזה מוסבר איך מפתחות CSEK מוגנים בדיסק, כשהם עוברים בתשתית Google Cloud ובזיכרון.
מפתחות CSEK גולמיים, מפתחות שנגזרים מ-CSEK ומפתחות דיסק גולמיים אף פעם לא מאוחסנים בדיסק ללא הצפנה. כשמשתמשים בהפעלה מחדש אוטומטית, מפתחות דיסק גולמיים מאוחסנים כשהם עטופים במפתחות שמקורם ב-CSEK ובמפתחות של Google. Google לא שומרת את המפתחות שלכם בשרתים שלה באופן קבוע.
כל שירות משתמש בתכונות של ניהול הרשאות גישה שמסופקות על ידי התשתית, כדי לציין בדיוק אילו שירותים אחרים יכולים ליצור איתו קשר. השירות מוגדר עם רשימת ההיתרים של זהויות חשבונות השירות המורשים, ואז התשתית של Google Cloudאוכפת אוטומטית את הגבלת הגישה הזו. מידע נוסף זמין במאמר בנושא זהות, תקינות ובידוד של שירותים.
התשתית מספקת גם פרטיות קריפטוגרפית ושלמות לנתוני RPC ברשת. שירותים יכולים להגדיר את רמת ההגנה הקריפטוגרפית שהם רוצים לכל RPC של התשתית, וההגנה הזו מופעלת עבור CSEK. מידע נוסף זמין במאמר בנושא הצפנה של תקשורת בין עומסי עבודה.
חומר המפתח נמצא בזיכרון של מערכות שונות, כולל זיכרון של מנהל האשכולות וזיכרון של VMM. הגישה לזיכרון של המערכות האלה היא חריגה (לדוגמה, כחלק מאירוע) ומנוהלת על ידי רשימות של בקרת גישה. במערכות האלה השבתנו את קובצי תמונות מצב הזיכרון או שהן סורקות אוטומטית את קובצי תמונות מצב הזיכרון כדי למצוא חומר מפתח. מידע על אמצעי ההגנה על המשרות האלה זמין במאמר איך Google מגנה על שירותי הייצור שלה.