À propos du chiffrement validé FIPS dans GKE

Cette page explique comment Google Cloud et Google Kubernetes Engine (GKE) assurent la conformité avec les Federal Information Processing Standards (FIPS) lorsque vous traitez et transmettez des données via vos clusters GKE qui s'exécutent sur Google Cloud.

Cette page s'adresse aux responsables de la sécurité, aux ingénieurs en sécurité et aux responsables de la conformité qui souhaitent répondre aux exigences strictes en matière de sécurité des données et de confidentialité liées à la norme FIPS. Vous pouvez également utiliser cette page pour montrer à un auditeur que GKE sur Google Cloud implémente par défaut des protections validées par la norme FIPS pour la sécurité des données.

Points clés à retenir sur le chiffrement validé par la norme FIPS dans GKE

  • Les contrôles de sécurité FedRAMP® pour le chiffrement des données en transit (SC-28) et au repos (SC-8(1)) exigent que vos données soient chiffrées à l'aide de modules cryptographiques validés FIPS 140-2 ou version ultérieure. Ces contrôles de sécurité n'imposent pas explicitement l'activation du "mode FIPS" au niveau du système d'exploitation (OS). De plus, le mode FIPS au niveau de l'OS ne garantit pas la conformité.
  • Les données stockées dans des systèmes autorisés FedRAMP Google Cloud sont chiffrées au repos par défaut à l'aide de modules cryptographiques validés FIPS 140-2 ou version ultérieure. Tant que vos données sont stockées dans ces systèmes autorisés, elles répondent aux exigences FedRAMP concernant la protection des données au repos (contrôle de sécurité SC-28). Pour obtenir la liste des systèmes autorisés, consultez les services FedRAMP au niveau d'impact élevé concernés.
  • Les données que vous transmettez dans le réseau Google Cloud Virtual Private Cloud (VPC) sont automatiquement chiffrées et protégées par des mécanismes d'authentification et d'autorisation. VPC est autorisé au niveau d'impact élevé du FedRAMP. Tant que vos données sont transmises au sein du réseau VPC Google Cloud , elles répondent aux exigences FedRAMP de protection des données en transit (contrôle de sécurité SC-8(1)).
  • Vous n'avez pas besoin de créer vos applications à l'aide de processus de compilation conformes à la norme FIPS pour répondre aux exigences FedRAMP concernant la protection des données au repos et en transit. En effet, les données transmises au sein du réseau VPCGoogle Cloud et stockées dans des systèmes de stockage autorisés par FedRAMP Google Cloud sont protégées par défaut conformément à ces exigences FedRAMP de protection des données.

À propos de FIPS et de FedRAMP

Le Federal Risk and Authorization Management Program (FedRAMP) est un programme du gouvernement américain qui définit une approche standardisée de l'évaluation de la sécurité et des risques pour les technologies cloud. GKE figure dans la liste des servicesGoogle Cloud qui disposent d'une autorisation provisoire d'exploitation (P-ATO) FedRAMP au niveau d'impact élevé. Pour en savoir plus sur la Google Cloud P-ATO FedRAMP, consultez la présentation deGoogle Cloud FedRAMP.

FIPS est un ensemble de normes annoncées publiquement et émises par le National Institute of Standards and Technology (NIST). La publication FIPS 140-2 définit les exigences pour l'approbation des modules cryptographiques. Pour en savoir plus, consultez FIPS 140-2 sur le site du NIST.

Le P-ATO FedRAMP à niveau d'impact élevé inclut des contrôles pour protéger les données en transit (SC-8(1)) et les données au repos (SC-28(1)) à l'aide de modules cryptographiques validés par la norme FIPS.

Protection des données validée par FIPS par défaut dans GKE

Les sections suivantes expliquent comment Google Cloud et GKE implémentent le chiffrement validé par la norme FIPS pour protéger les données au repos et en transit. Ces informations sont détaillées dans le plan de sécurité du système Google Cloud (SSP, System Security Plan), que vous pouvez demander à votre équipe commerciale Google Cloud , à votre représentantGoogle Cloud ou au bureau de gestion du programme Google Cloud FedRAMP si vous êtes un client du secteur public. Pour en savoir plus, consultez Google Cloud Conformité FedRAMP.

Protection des données au repos validée par la norme FIPS

Les données GKE sont chiffrées au repos à l'aide d'un module de chiffrementGoogle Cloud certifié FIPS 140-2 appelé BoringCrypto. Pour en savoir plus, consultez Validation FIPS 140-2 dans Google Cloud.

Pour en savoir plus sur le chiffrement au repos, consultez les ressources suivantes :

Protection des données en transit validée par la norme FIPS

Le VPC Google Cloud dispose d'un agrément provisoire d'exploitation (P-ATO) au niveau d'impact élevé du FedRAMP. Toutes les données que vous transmettez dans votre réseau VPC sont automatiquement chiffrées. Dans GKE, cela signifie que tout le trafic vers et depuis les conteneurs, les pods, le processus kubelet sur chaque nœud, tous les nœuds, les instances du plan de contrôle et les autres services Google Cloud au sein du VPC est protégé en transit. Toutes les connexions aux API Google utilisent le protocole TLS (Transport Layer Security) 1.2 ou une version ultérieure pour chiffrer le trafic réseau. Aucune action supplémentaire n'est requise pour assurer la conformité FIPS pour la protection des données en transit au sein du réseau VPCGoogle Cloud .

Pour en savoir plus sur le chiffrement de vos données en transit, consultez le livre blanc sur le chiffrement en transit.

Recommandations pour protéger les données en dehors de Google Cloud

Le chiffrement par défaut des données en transit pour GKE etGoogle Cloud ne s'applique qu'au sein du réseau VPC Google Cloud . Vous devez utiliser une cryptographie conforme à la norme FIPS pour protéger les données qui se trouvent en dehors des limites du réseau VPC. Les recommandations suivantes vous aident à vous assurer que toutes les données entrantes et sortantes en transit en dehors de votre environnementGoogle Cloud FIPS sont chiffrées avec une cryptographie conforme à la norme FIPS.

Intercepter et chiffrer le trafic entrant depuis Internet

Pour le trafic entrant vers votre environnement Google Cloud depuis Internet, utilisez des règles SSL dans les équilibreurs de charge Google Cloud pour définir un ensemble autorisé de chiffrements ou de mécanismes cryptographiques validés par FIPS avec lesquels les données doivent être protégées lorsqu'elles entrent dans l'environnement Google Cloud . Pour en savoir plus, consultez les ressources suivantes :

Intercepter et chiffrer le trafic sortant vers Internet

Définissez un périmètre qui limite les connexions de données sortantes à un ensemble de tiers connus auxquels vous faites confiance en configurant des pare-feu. Créez un diagramme et documentez toutes les exigences de réseau externe, telles que l'extraction de données à partir de sources telles que GitHub, et l'emplacement de ces connexions externes dans votre environnement. Envisagez d'utiliser un proxy inverse pour intercepter le trafic sortant de votre VPC.

Si vous avez du trafic HTTP qui quitte le périmètre de votre environnementGoogle Cloud conforme à FedRAMP, envisagez de configurer un proxy de transfert HTTP pour intercepter les données avant qu'elles ne quittent l'environnement. Rechiffrez les données à l'aide d'un module cryptographique validé FIPS 140-2 avant de les autoriser à quitter votre périmètre. Cette approche est plus facile à gérer à grande échelle que d'essayer de s'assurer que chaque client interne utilise des bibliothèques de chiffrement conformes pour la communication externe.

Activer les nœuds privés

GKE vous permet de désactiver l'adresse IP externe pour les nouveaux nœuds de vos clusters, de sorte que les charges de travail exécutées sur les nœuds ne puissent pas communiquer avec Internet par défaut. Utilisez les variables d'environnement http_proxy ou https_proxy pour envoyer tout le trafic vers le proxy HTTP que vous avez configuré.

Vous pouvez configurer une interception plus transparente de ce trafic avec des règles de routage. Toutefois, étant donné que vous transmettez le trafic TLS via un proxy, celui-ci ne peut pas être complètement transparent pour les applications que vous exécutez sur GKE.

Pour en savoir plus, consultez les ressources suivantes :

Utiliser Cloud VPN pour les connexions de couche réseau à GKE

Vous pouvez parfois avoir besoin d'une connexion de couche réseau chiffrée à vos clusters GKE. Par exemple, vous devrez peut-être configurer une mise en réseau conforme à la norme FIPS entre les nœuds GKE et les nœuds sur site. Cloud VPN est un service autorisé FedRAMP High qui chiffre vos données en transit entre votre réseau VPC et votre réseau sur site. Pour en savoir plus, consultez la présentation de Cloud VPN.

Utiliser Cloud KMS pour les opérations de chiffrement

Si vous devez effectuer des opérations de chiffrement dans votre environnement Google Cloud, utilisez Cloud Key Management Service. Cloud KMS est un service autorisé par FedRAMP à un niveau élevé. Cloud KMS vous permet d'effectuer des opérations de chiffrement conformes aux niveaux 1 ou 3 de la norme FIPS 140-2. Pour en savoir plus, consultez les ressources suivantes :

Créer des bibliothèques validées par FIPS dans les charges de travail GKE

Pour utiliser le module de chiffrement BoringCrypto dans vos applications GKE, installez BoringSSL. BoringSSL est un fork Open Source d'OpenSSL qui inclut la bibliothèque BoringCrypto. Pour compiler et lier statiquement le module BoringCrypto à BoringSSL, consultez la section 12.1, "Instructions d'installation", dans le PDF sur la politique de sécurité BoringCrypto FIPS 140-2.

Envisager d'utiliser des images de conteneurs tierces conformes à la norme FIPS

Nous vous recommandons d'utiliser des proxys à la limite de votre environnementGoogle Cloud conforme à la norme FIPS pour appliquer de manière exhaustive la conformité FIPS. Vous pouvez également exécuter des charges de travail conformes à la norme FIPS sans être limité aux machines hôtes de nœuds dotées de kernels conformes à la norme FIPS. Certains fournisseurs tiers proposent des images de conteneurs qui utilisent une source d'entropie distincte, conforme à la norme FIPS.

Évaluez l'implémentation du fournisseur tiers pour vérifier qu'elle est réellement conforme à la norme FIPS.

Étapes suivantes