FIPS-validierte Verschlüsselung in GKE

Auf dieser Seite wird beschrieben, wie Google Cloud und Google Kubernetes Engine (GKE) die Federal Information Processing Standards (FIPS) einhalten, wenn Sie Daten über Ihre GKE-Cluster verarbeiten und übertragen, die auf Google Cloudausgeführt werden.

Diese Seite richtet sich an Sicherheitsmanager, Sicherheitsingenieure und Compliancebeauftragte, die strenge Anforderungen an Datensicherheit und Datenschutz im Zusammenhang mit FIPS erfüllen möchten. Sie können diese Seite auch verwenden, um einem Prüfer zu zeigen, dass GKE On Google Cloud standardmäßig FIPS-validierte Schutzmaßnahmen für die Datensicherheit implementiert.

Wichtige Informationen zur FIPS-validierten Verschlüsselung in GKE

  • Die FedRAMP®-Sicherheitskontrollen für die Verschlüsselung von Daten bei der Übertragung (SC-28) und im Ruhezustand (SC-8(1)) erfordern, dass Ihre Daten mit gemäß FIPS 140-2 oder neuer validierten kryptografischen Modulen verschlüsselt werden. Diese Sicherheitskontrollen schreiben nicht explizit vor, dass der „FIPS-Modus“ auf Betriebssystemebene aktiviert werden muss. Außerdem ist der FIPS-Modus auf Betriebssystemebene keine Garantie für die Einhaltung der Vorschriften.
  • Daten, die in FedRAMP-autorisierten Google Cloud Systemen gespeichert werden, werden standardmäßig im Ruhezustand mit FIPS 140‑2-validierten oder neueren kryptografischen Modulen verschlüsselt. Solange Ihre Daten in diesen autorisierten Systemen gespeichert werden, erfüllen sie die FedRAMP-Anforderungen für den Schutz ruhender Daten (Sicherheitskontrolle SC‑28). Eine Liste der autorisierten Systeme finden Sie unter FedRAMP High-Dienste im Geltungsbereich.
  • Daten, die Sie innerhalb des Google CloudVPC-Netzwerks (Virtual Private Cloud) übertragen, werden automatisch verschlüsselt und durch Authentifizierungs- und Autorisierungsmechanismen geschützt. VPC ist für FedRAMP High autorisiert. Solange Ihre Daten innerhalb des Google Cloud VPC-Netzwerks übertragen werden, entsprechen sie den FedRAMP-Anforderungen für den Schutz von Daten bei der Übertragung (Sicherheitskontrolle SC-8(1)).
  • Sie müssen Ihre Anwendungen nicht mit FIPS-konformen Build-Prozessen erstellen, um die FedRAMP-Anforderungen für den Schutz von ruhenden und übertragenen Daten zu erfüllen. Das liegt daran, dass Daten, die imGoogle Cloud VPC-Netzwerk übertragen und in FedRAMP-autorisierten Google Cloud Speichersystemen gespeichert werden, standardmäßig gemäß diesen FedRAMP-Anforderungen für den Datenschutz geschützt sind.

FIPS und FedRAMP

Das Federal Risk and Authorization Management Program (FedRAMP) ist ein Programm der US-Regierung, das einen standardisierten Ansatz für die Sicherheits- und Risikobewertung von Cloudtechnologien definiert. GKE ist in der Liste derGoogle Cloud Dienste enthalten, die eine vorläufige FedRAMP High-Betriebsberechtigung (P-ATO) haben. Weitere Informationen zum Google Cloud FedRAMP P-ATO finden Sie in der Google Cloud FedRAMP-Übersicht.

FIPS ist eine öffentlich bekannt gegebene Reihe von Standards, die vom National Institute of Standards and Technology (NIST) herausgegeben werden. In FIPS 140-2 werden die Anforderungen für die Genehmigung von Verschlüsselungsmodulen definiert. Weitere Informationen finden Sie unter FIPS 140-2 auf NIST.

Das FedRAMP High P-ATO umfasst Kontrollen zum Schutz von Daten bei der Übertragung (SC-8(1)) und zum Schutz von ruhenden Daten (SC-28(1)) mithilfe von FIPS-validierten kryptografischen Modulen.

Standardmäßiger FIPS-validierter Datenschutz in GKE

In den folgenden Abschnitten wird erläutert, wie Google Cloud und GKE FIPS-validierte Verschlüsselung zum Schutz von ruhenden Daten und Daten bei der Übertragung implementieren. Diese Informationen werden im Google Cloud System Security Plan (SSP) Google Cloud ausführlicher beschrieben. Sie können ihn bei Ihrem Vertriebsteam,Google Cloud Vertreter oder beim Google Cloud FedRAMP Program Management Office anfordern, wenn Sie ein Regierungskunde sind. Weitere Informationen finden Sie unter Google Cloud FedRAMP-Compliance.

FIPS-validierter Schutz ruhender Daten

GKE-Daten werden im Ruhezustand mit einem gemäß FIPS 140-2 validiertenGoogle Cloud -Verschlüsselungsmodul namens BoringCrypto verschlüsselt. Weitere Informationen finden Sie unter FIPS 140‑2-Validierung in Google Cloud.

Weitere Informationen zur Verschlüsselung ruhender Daten finden Sie in den folgenden Ressourcen:

FIPS-validierter Datenschutz bei der Übertragung

Die Google Cloud VPC hat eine FedRAMP High P-ATO. Alle Daten, die Sie in Ihrem VPC-Netzwerk übertragen, werden automatisch verschlüsselt. In GKE bedeutet dies, dass der gesamte Traffic zu und von Containern, Pods, dem kubelet-Prozess auf jedem Knoten, allen Knoten, Steuerungsebeneninstanzen und anderen Google Cloud -Diensten innerhalb der VPC bei der Übertragung geschützt ist. Bei allen Verbindungen zu Google APIs wird Transport Layer Security (TLS) 1.2 oder höher verwendet, um den Netzwerkverkehr zu verschlüsseln. Es sind keine zusätzlichen Maßnahmen erforderlich, um die FIPS-Konformität für den Schutz von Daten bei der Übertragung innerhalb desGoogle Cloud VPC-Netzwerks zu erreichen.

Weitere Informationen zur Verschlüsselung Ihrer Daten bei der Übertragung finden Sie im Whitepaper zur Verschlüsselung während der Übertragung.

Empfehlungen zum Schutz von Daten außerhalb von Google Cloud

Die Standardverschlüsselung von Daten während der Übertragung für GKE undGoogle Cloud gilt nur innerhalb des Google Cloud VPC-Netzwerks. Sie müssen FIPS-konforme Kryptografie verwenden, um Daten zu schützen, die sich außerhalb der VPC-Netzwerkgrenze befinden. Die folgenden Empfehlungen helfen Ihnen, dafür zu sorgen, dass alle ein- und ausgehenden Daten außerhalb IhrerGoogle Cloud FIPS-Umgebung während der Übertragung mit FIPS-konformer Kryptografie verschlüsselt werden.

Eingehenden Traffic aus dem Internet abfangen und verschlüsseln

Verwenden Sie für eingehenden Traffic aus dem Internet zu Ihrer Google Cloud -Umgebung SSL-Richtlinien in Google Cloud Load Balancern, um eine zulässige Gruppe von FIPS-validierten kryptografischen Chiffren oder Mechanismen zu definieren, mit denen die Daten geschützt werden müssen, wenn sie in die Google Cloud -Umgebung gelangen. Weitere Informationen finden Sie in den folgenden Ressourcen:

Ausgehenden Traffic ins Internet abfangen und verschlüsseln

Definieren Sie einen Perimeter, der ausgehende Datenverbindungen auf eine Reihe bekannter Drittanbieter beschränkt, denen Sie vertrauen, indem Sie Firewalls konfigurieren. Stellen Sie alle externen Netzwerkanforderungen in einem Diagramm dar und dokumentieren Sie sie, z. B. das Abrufen von Daten aus Quellen wie GitHub, und wo diese externen Verbindungen in Ihrer Umgebung stattfinden. Erwägen Sie, einen Reverse-Proxy zu verwenden, um ausgehenden Traffic aus Ihrer VPC abzufangen.

Wenn Sie HTTP-Traffic haben, der den Perimeter Ihrer FedRAMP-konformenGoogle Cloud -Umgebung verlässt, sollten Sie einen HTTP-Weiterleitungsproxy einrichten, um die Daten abzufangen, bevor sie die Umgebung verlassen. Verschlüsseln Sie die Daten noch einmal mit einem gemäß FIPS 140‑2 validierten kryptografischen Modul, bevor Sie sie aus Ihrem Perimeter übertragen. Dieser Ansatz ist in großem Maßstab besser zu handhaben, als zu versuchen, sicherzustellen, dass jeder interne Client konforme Verschlüsselungsbibliotheken für die externe Kommunikation verwendet.

Private Knoten aktivieren

In GKE können Sie die externe IP-Adresse für neue Knoten in Ihren Clustern deaktivieren, sodass Arbeitslasten, die auf den Knoten ausgeführt werden, standardmäßig nicht mit dem Internet kommunizieren können. Verwenden Sie die Umgebungsvariablen http_proxy oder https_proxy, um den gesamten Traffic an Ihren konfigurierten HTTP-Proxy zu senden.

Sie können die Abfangung dieses Traffics mit Routingregeln transparenter konfigurieren. Da Sie jedoch TLS-Traffic über einen Proxy weiterleiten, kann der Proxy für die Anwendungen, die Sie in GKE ausführen, nicht vollständig transparent sein.

Weitere Informationen finden Sie in den folgenden Ressourcen:

Cloud VPN für Verbindungen zur Netzwerkschicht zu GKE verwenden

Manchmal benötigen Sie eine verschlüsselte Netzwerkebenenverbindung zu Ihren GKE-Clustern. Möglicherweise müssen Sie beispielsweise FIPS-konforme Netzwerke zwischen GKE-Knoten und lokalen Knoten einrichten. Cloud VPN ist ein FedRAMP High-autorisierter Dienst, der Ihre Daten bei der Übertragung zwischen Ihrem VPC-Netzwerk und Ihrem lokalen Netzwerk verschlüsselt. Weitere Informationen finden Sie in der Cloud VPN-Übersicht.

Cloud KMS für kryptografische Vorgänge verwenden

Wenn Sie kryptografische Vorgänge in Ihrer Google Cloud-Umgebung ausführen müssen, verwenden Sie den Cloud Key Management Service. Cloud KMS ist ein FedRAMP High-autorisierter Dienst. Mit Cloud KMS können Sie kryptografische Vorgänge ausführen, die entweder FIPS 140-2 Level 1 oder Level 3 entsprechen. Weitere Informationen finden Sie in den folgenden Ressourcen:

FIPS-validierte Bibliotheken in GKE-Arbeitslasten erstellen

Wenn Sie das BoringCrypto-Verschlüsselungsmodul in Ihren GKE-Anwendungen verwenden möchten, installieren Sie BoringSSL. BoringSSL ist ein Open-Source-Fork von OpenSSL, der die BoringCrypto-Bibliothek enthält. Informationen zum Erstellen, Kompilieren und statischen Verknüpfen des BoringCrypto-Moduls mit BoringSSL finden Sie im Abschnitt 12.1 „Installation Instructions“ (Installationsanleitung) im BoringCrypto FIPS 140‑2 Security Policy PDF.

FIPS-konforme Container-Images von Drittanbietern in Betracht ziehen

Wir empfehlen, Proxys an der Grenze Ihrer FIPS-konformenGoogle Cloud -Umgebung zu verwenden, um die FIPS-Konformität umfassend zu erzwingen. Sie können auch FIPS-konforme Arbeitslasten ausführen, ohne auf Knoten-Hostmaschinen mit FIPS-konformen Kernels beschränkt zu sein. Einige Drittanbieter stellen Container-Images bereit, die eine separate, FIPS-konforme Entropiequelle verwenden.

Prüfen Sie die Implementierung des Drittanbieters, um sicherzustellen, dass sie tatsächlich FIPS-konform ist.

Nächste Schritte