FIPS-validierte Verschlüsselung in GKE

Auf dieser Seite wird beschrieben, wie Google Cloud und die Google Kubernetes Engine (GKE) die Federal Information Processing Standards (FIPS) einhalten, wenn Sie Daten über Ihre GKE-Cluster verarbeiten und übertragen, die auf Google Cloudausgeführt werden.

Diese Seite richtet sich an Sicherheitsmanager, Sicherheitstechniker und Compliancebeauftragte, die strenge Anforderungen an Datensicherheit und Datenschutz im Zusammenhang mit FIPS erfüllen möchten. Sie können diese Seite auch verwenden, um einem Prüfer zu zeigen, dass GKE on Google Cloud standardmäßig FIPS-validierte Schutzmaßnahmen für die Datensicherheit implementiert.

Wichtige Informationen zur FIPS-validierten Verschlüsselung in GKE

  • Die FedRAMP®-Sicherheitskontrollen für die Verschlüsselung von Daten bei der Übertragung (SC-28) und im Ruhezustand (SC-8(1)) erfordern, dass Ihre Daten mit FIPS 140‑2-validierten kryptografischen Modulen oder neueren Modulen verschlüsselt werden. Diese Sicherheitskontrollen schreiben nicht explizit vor, dass der „FIPS-Modus“ auf Betriebssystemebene aktiviert werden muss. Außerdem ist der FIPS-Modus auf Betriebssystemebene keine Garantie für die Einhaltung.
  • Daten, die in FedRAMP-autorisierten Google Cloud Systemen gespeichert sind, werden standardmäßig mit FIPS 140-2-validierten oder neueren kryptografischen Modulen mit Verschlüsselung ruhender Daten verschlüsselt. Solange Ihre Daten in diesen autorisierten Systemen gespeichert sind, entsprechen sie den FedRAMP-Anforderungen für den Schutz ruhender Daten (Sicherheitskontrolle SC-28). Eine Liste der autorisierten Systeme finden Sie unter FedRAMP High-Dienste im Umfang.
  • Daten, die Sie innerhalb des Google CloudVPC-Netzwerks (Virtual Private Cloud) übertragen, werden automatisch verschlüsselt und durch Authentifizierungs- und Autorisierungsmechanismen geschützt. VPC ist für FedRAMP High autorisiert. Solange Ihre Daten innerhalb des Google Cloud VPC-Netzwerks übertragen werden, erfüllen sie die FedRAMP-Anforderungen für den Schutz von Daten bei der Übertragung (Sicherheitskontrolle SC-8(1)).
  • Sie müssen Ihre Anwendungen nicht mit FIPS-konformen Build-Prozessen erstellen, um die FedRAMP-Anforderungen für den Datenschutz im Ruhezustand und bei der Übertragung zu erfüllen. Das liegt daran, dass Daten, die innerhalb desGoogle Cloud VPC-Netzwerks übertragen und in FedRAMP-autorisierten Google Cloud Speichersystemen gespeichert werden, standardmäßig gemäß diesen FedRAMP-Anforderungen für den Datenschutz geschützt sind.

FIPS und FedRAMP

Das Federal Risk and Authorization Management Program (FedRAMP) ist ein Programm der US-Regierung, das einen standardisierten Ansatz für die Sicherheits- und Risikobewertung von Cloud-Technologien definiert. GKE ist in der Liste derGoogle Cloud -Dienste enthalten, die eine vorläufige FedRAMP High-Betriebsberechtigung (P-ATO) haben. Weitere Informationen zur Google Cloud FedRAMP P-ATO finden Sie in der Google Cloud FedRAMP-Übersicht.

FIPS ist eine öffentlich bekannt gegebene Reihe von Standards, die vom National Institute of Standards and Technology (NIST) herausgegeben werden. In FIPS 140-2 werden die Anforderungen für die Genehmigung von Verschlüsselungsmodulen definiert. Weitere Informationen finden Sie unter FIPS 140-2 auf der NIST-Website.

Das FedRAMP High P-ATO umfasst Kontrollen zum Schutz von Daten bei der Übertragung (SC-8(1)) und zum Schutz von ruhenden Daten (SC-28(1)) mithilfe von FIPS-validierten kryptografischen Modulen.

Standardmäßiger FIPS-validierter Datenschutz in GKE

In den folgenden Abschnitten wird erläutert, wie Google Cloud und GKE die FIPS-validierte Verschlüsselung implementieren, um inaktive Daten und Daten bei der Übertragung zu schützen. Diese Informationen werden im Google Cloud System Security Plan (SSP) ausführlicher behandelt. Sie können den SSP bei Ihrem Google Cloud -Vertriebsteam, IhremGoogle Cloud -Ansprechpartner oder beim Google Cloud FedRAMP Program Management Office anfordern, wenn Sie ein Behördenkunde sind. Weitere Informationen finden Sie unter Google Cloud FedRAMP-Compliance.

FIPS-validierter Datenschutz für ruhende Daten

GKE-Daten werden im inaktiven Zustand mit einem gemäß FIPS 140-2 validiertenGoogle Cloud -Verschlüsselungsmodul namens BoringCrypto verschlüsselt. Weitere Informationen finden Sie unter FIPS 140-2-Validierung in Google Cloud.

Weitere Informationen zur Verschlüsselung ruhender Daten finden Sie in den folgenden Ressourcen:

FIPS-validierter Datenschutz bei der Übertragung

Die Google Cloud VPC hat ein FedRAMP High P-ATO. Alle Daten, die Sie in Ihrem VPC-Netzwerk übertragen, werden automatisch verschlüsselt. In GKE bedeutet das, dass der gesamte Traffic zu und von Containern, Pods, dem kubelet-Prozess auf jedem Knoten, allen Knoten, Steuerungsebeneninstanzen und anderen Google Cloud -Diensten innerhalb der VPC bei der Übertragung geschützt ist. Bei allen Verbindungen zu Google APIs wird Transport Layer Security (TLS) 1.2 oder höher verwendet, um den Netzwerkverkehr zu verschlüsseln. Es sind keine weiteren Maßnahmen erforderlich, um die FIPS-Konformität für den Datenschutz bei der Übertragung innerhalb des VPC-Netzwerks vonGoogle Cloud zu gewährleisten.

Weitere Informationen zur Verschlüsselung Ihrer Daten während der Übertragung finden Sie im Whitepaper zur Verschlüsselung während der Übertragung.

Empfehlungen zum Schutz von Daten außerhalb von Google Cloud

Die Standardverschlüsselung von Daten bei der Übertragung für GKE undGoogle Cloud gilt nur innerhalb des VPC-Netzwerks von Google Cloud . Sie müssen FIPS-konforme Kryptografie verwenden, um Daten zu schützen, die sich außerhalb der VPC-Netzwerkgrenze befinden. Die folgenden Empfehlungen helfen Ihnen, dafür zu sorgen, dass alle eingehenden und ausgehenden Daten außerhalb IhrerGoogle Cloud FIPS-Umgebung während der Übertragung mit FIPS-konformer Kryptografie verschlüsselt werden.

Eingehenden Traffic aus dem Internet abfangen und verschlüsseln

Verwenden Sie für eingehenden Traffic aus dem Internet an Ihre Google Cloud Umgebung SSL-Richtlinien in Google Cloud Load Balancern, um eine zulässige Gruppe von FIPS-validierten kryptografischen Chiffren oder Mechanismen zu definieren, mit denen die Daten geschützt werden müssen, wenn sie in die Google Cloud Umgebung gelangen. Weitere Informationen finden Sie in den folgenden Ressourcen:

Ausgehenden Internettraffic abfangen und verschlüsseln

Definieren Sie einen Perimeter, der ausgehende Datenverbindungen auf eine Reihe bekannter Drittanbieter beschränkt, denen Sie vertrauen, indem Sie Firewalls konfigurieren. Stellen Sie alle Anforderungen an externe Netzwerke in einem Diagramm dar und dokumentieren Sie sie, z. B. das Abrufen von Daten aus Quellen wie GitHub, und wo diese externen Verbindungen in Ihrer Umgebung stattfinden. Erwägen Sie, einen Reverse-Proxy zu verwenden, um ausgehenden Traffic aus Ihrer VPC abzufangen.

Wenn Sie HTTP-Traffic haben, der den Perimeter Ihrer FedRAMP-konformenGoogle Cloud -Umgebung verlässt, sollten Sie einen HTTP-Weiterleitungsproxy einrichten, um die Daten abzufangen, bevor sie die Umgebung verlassen. Verschlüsseln Sie die Daten mit einem gemäß FIPS 140-2 validierten kryptografischen Modul neu, bevor Sie sie aus Ihrem Perimeter übertragen. Dieser Ansatz ist in großem Maßstab besser zu handhaben, als sicherzustellen, dass jeder interne Client konforme Verschlüsselungsbibliotheken für die externe Kommunikation verwendet.

Private Knoten aktivieren

In GKE können Sie die externe IP-Adresse für neue Knoten in Ihren Clustern deaktivieren, sodass Arbeitslasten, die auf den Knoten ausgeführt werden, standardmäßig nicht mit dem Internet kommunizieren können. Verwenden Sie die Umgebungsvariablen http_proxy oder https_proxy, um den gesamten Traffic an Ihren konfigurierten HTTP-Proxy zu senden.

Sie können die Abfangung dieses Traffics mit Routingregeln transparenter konfigurieren. Da Sie jedoch TLS-Traffic über einen Proxy weiterleiten, kann der Proxy für die Anwendungen, die Sie in GKE ausführen, nicht vollständig transparent sein.

Weitere Informationen finden Sie in den folgenden Ressourcen:

Cloud VPN für Netzwerkschichtverbindungen zu GKE verwenden

Manchmal benötigen Sie eine verschlüsselte Netzwerkschichtverbindung zu Ihren GKE-Clustern. Möglicherweise müssen Sie beispielsweise FIPS-konforme Netzwerke zwischen GKE-Knoten und lokalen Knoten einrichten. Cloud VPN ist ein von FedRAMP High autorisierter Dienst, der Ihre Daten bei der Übertragung zwischen Ihrem VPC-Netzwerk und Ihrem lokalen Netzwerk verschlüsselt. Weitere Informationen finden Sie unter Cloud VPN – Übersicht.

Cloud KMS für kryptografische Vorgänge verwenden

Wenn Sie kryptografische Vorgänge in Ihrer Google Cloud-Umgebung ausführen müssen, verwenden Sie Cloud Key Management Service. Cloud KMS ist ein FedRAMP High-autorisierter Dienst. Mit Cloud KMS können Sie kryptografische Vorgänge ausführen, die entweder FIPS 140-2 Level 1 oder Level 3 entsprechen. Weitere Informationen finden Sie in den folgenden Ressourcen:

FIPS-validierte Bibliotheken in GKE-Arbeitslasten erstellen

Wenn Sie das BoringCrypto-Verschlüsselungsmodul in Ihren GKE-Anwendungen verwenden möchten, installieren Sie BoringSSL. BoringSSL ist ein Open-Source-Fork von OpenSSL, der die BoringCrypto-Bibliothek enthält. Informationen zum Erstellen, Kompilieren und statischen Verknüpfen des BoringCrypto-Moduls mit BoringSSL finden Sie im Abschnitt 12.1 „Installation Instructions“ in der PDF-Datei zur BoringCrypto FIPS 140-2-Sicherheitsrichtlinie.

FIPS-konforme Container-Images von Drittanbietern in Betracht ziehen

Wir empfehlen, Proxys an der Grenze Ihrer FIPS-konformenGoogle Cloud -Umgebung zu verwenden, um die FIPS-Compliance umfassend durchzusetzen. Sie können auch FIPS-konforme Arbeitslasten ausführen, ohne auf Hostcomputer mit FIPS-konformen Kernels beschränkt zu sein. Einige Drittanbieter stellen Container-Images bereit, die eine separate, FIPS-konforme Entropiequelle verwenden.

Prüfen Sie die Implementierung des Drittanbieters, um sicherzustellen, dass sie tatsächlich FIPS-konform ist.

Nächste Schritte