מידע על הצפנה שעברה אימות FIPS ב-GKE

בדף הזה מוסבר איך Google Cloud ו-Google Kubernetes Engine ‏ (GKE) שומרים על תאימות ל-Federal Information Processing Standards (FIPS) כשמעבדים ומעבירים נתונים דרך אשכולות GKE שפועלים ב- Google Cloud.

הדף הזה מיועד למנהלי אבטחה, למהנדסי אבטחה ולמנהלי תאימות שרוצים לעמוד בדרישות מחמירות בנוגע לאבטחת נתונים ולפרטיות שקשורות ל-FIPS. בדף הזה אפשר גם להראות לרואה חשבון ש-GKE ב- Google Cloud מטמיע הגנות מאומתות על ידי FIPS לאבטחת נתונים כברירת מחדל.

מה חשוב לזכור לגבי הצפנה שעברה אימות FIPS ב-GKE

  • אמצעי האבטחה של FedRAMP® להצפנת נתונים בזמן ההעברה (SC-28) ובמנוחה (SC-8(1)) מחייבים שהנתונים יוצפנו באמצעות מודולים קריפטוגרפיים באימות FIPS 140-2 או חדשים יותר. אמצעי הבקרה האלה לא מחייבים הפעלה של 'מצב FIPS' ברמת מערכת ההפעלה (OS). בנוסף, מצב FIPS ברמת מערכת ההפעלה לא מבטיח תאימות.
  • נתונים שמאוחסנים במערכות עם הרשאת FedRAMP Google Cloud מוצפנים במנוחה כברירת מחדל באמצעות מודולים קריפטוגרפיים באימות FIPS 140-2 או חדשים יותר. כל עוד הנתונים מאוחסנים במערכות המורשות האלה, הם עומדים בדרישות של FedRAMP להגנה על נתונים במנוחה (אמצעי בקרת האבטחה SC-28). רשימת המערכות המורשות מופיעה במאמר שירותים בתחום FedRAMP High.
  • הנתונים שאתם מעבירים בתוך רשת הענן הווירטואלי הפרטי (VPC) של Google Cloudמוצפנים באופן אוטומטי ומוגנים על ידי מנגנוני אימות והרשאה. ‫VPC מאושר ברמת FedRAMP High. כל עוד הנתונים מועברים בתוך רשת ה-VPC של Google Cloud , הם עומדים בדרישות של FedRAMP להגנה על נתונים במעבר (בקרת אבטחה SC-8(1)).
  • אתם לא צריכים לבנות את האפליקציות שלכם באמצעות תהליכי בנייה שתואמים ל-FIPS כדי לעמוד בדרישות FedRAMP להגנה על נתונים במנוחה ובמעבר. הסיבה לכך היא שנתונים שמועברים בתוךGoogle Cloud רשת ה-VPC ומאוחסנים במערכות אחסון שאושרו על ידי FedRAMP Google Cloud מוגנים כברירת מחדל בהתאם לדרישות של FedRAMP להגנה על נתונים.

מידע על FIPS ו-FedRAMP

התוכנית הפדרלית לניהול סיכונים והרשאות (FedRAMP) היא תוכנית של ממשלת ארה"ב שמגדירה גישה סטנדרטית לאבטחה ולהערכת סיכונים בטכנולוגיות ענן. ‫GKE נכלל ברשימתGoogle Cloud השירותים שיש להם אישור זמני לפעול (P-ATO) ברמת FedRAMP High. מידע נוסף על Google Cloud FedRAMP P-ATO מופיע בGoogle Cloud סקירה הכללית על FedRAMP.

‫FIPS הוא קבוצה של תקנים שפורסמו על ידי המכון הלאומי לתקנים וטכנולוגיה (NIST). בפרסום FIPS 140-2 מוגדרות הדרישות לאישור מודולים קריפטוגרפיים. לפרטים נוספים, ראו FIPS 140-2 ב-NIST.

האישור P-ATO ברמה גבוהה של FedRAMP כולל אמצעי בקרה להגנה על נתונים במעבר (SC-8(1)) ולהגנה על נתונים באחסון (SC-28(1)) באמצעות מודולים קריפטוגרפיים שאומתו על ידי FIPS.

הגנה על נתונים ב-GKE עם אימות FIPS כברירת מחדל

בקטעים הבאים מוסבר איך Google Cloud ו-GKE מיישמים הצפנה מאומתת-FIPS כדי להגן על נתונים במנוחה ובמעבר. מידע מפורט יותר בנושא הזה מופיע ב Google Cloud תוכנית אבטחת המערכת (SSP), שאפשר לבקש מצוות המכירות, Google Cloud מהנציג או ממשרד ניהול התוכנית של Google Cloud FedRAMP אם אתם לקוחות ממשלתיים.Google Cloud פרטים נוספים זמינים במאמר בנושא Google Cloud תאימות ל-FedRAMP.

הגנה על נתונים במנוחה שעברה אימות FIPS

הנתונים ב-GKE מוצפנים במנוחה באמצעות מודול הצפנה שלGoogle Cloud עם אימות FIPS 140-2 שנקרא BoringCrypto. למידע נוסף, קראו את המאמר אימות FIPS 140-2 ב- Google Cloud.

למידע נוסף על הצפנה במנוחה, אפשר לעיין במקורות המידע הבאים:

הגנה על נתונים במעבר שאומתה על ידי FIPS

ל-VPC של Google Cloud יש P-ATO של FedRAMP High. כל הנתונים שאתם מעבירים ברשת ה-VPC מוצפנים באופן אוטומטי. ב-GKE, המשמעות היא שכל התנועה אל קונטיינרים, Pods, תהליך kubelet בכל צומת, כל הצמתים, מכונות של מישור הבקרה ושירותי Google Cloud אחרים ב-VPC, ומהם, מוגנת במעבר. כל החיבורים ל-Google APIs משתמשים ב-Transport Layer Security ‏ (TLS) בגרסה 1.2 ואילך כדי להצפין את התנועה ברשת. לא נדרשת פעולה נוספת כדי לעמוד בתקן FIPS להגנה על נתונים במעבר בתוך רשת ה-VPC שלGoogle Cloud .

מידע נוסף על הצפנת הנתונים בזמן ההעברה זמין במאמר בנושא הצפנה בזמן ההעברה.

המלצות להגנה על נתונים מחוץ ל- Google Cloud

הצפנת ברירת המחדל של נתונים במעבר ב-GKE ו-Google Cloud חלה רק בתוך Google Cloud רשת ה-VPC. אתם צריכים להשתמש בקריפטוגרפיה שתואמת לתקן FIPS כדי להגן על נתונים שנמצאים מחוץ לגבולות של רשת ה-VPC. ההמלצות הבאות יעזרו לכם לוודא שכל הנתונים הנכנסים והיוצאים מחוץ לסביבתGoogle Cloud FIPS בזמן המעבר מוצפנים באמצעות קריפטוגרפיה שתואמת ל-FIPS.

יירוט והצפנה של תנועה נכנסת מהאינטרנט

כדי להגן על תנועה נכנסת לסביבת Google Cloud מאינטרנט, צריך להשתמש במדיניות SSL במאזני עומסים של Google Cloud כדי להגדיר קבוצה מותרת של צפנים או מנגנונים קריפטוגרפיים שעברו אימות FIPS, שבאמצעותם הנתונים צריכים להיות מוגנים כשהם נכנסים לסביבת Google Cloud . לפרטים נוספים, אפשר לעיין במקורות המידע הבאים:

יירוט והצפנה של תנועה יוצאת לאינטרנט

להגדיר היקף שמאפשר חיבורי נתונים יוצאים רק לקבוצה של צדדים שלישיים מוכרים שאתם בוטחים בהם, באמצעות הגדרת חומות אש. צרו תרשים ותעדו את כל הדרישות של הרשת החיצונית, כמו שליפת נתונים ממקורות כמו GitHub, ואיפה החיבורים החיצוניים האלה יתרחשו בסביבה שלכם. כדאי להשתמש בשרת proxy הפוך כדי ליירט תנועה יוצאת מה-VPC.

אם יש לכם תעבורת HTTP שיוצאת מההיקף של סביבתGoogle Cloud שעומדת בדרישות FedRAMP, כדאי להגדיר פרוקסי קדימה של HTTP כדי ליירט את הנתונים לפני שהם יוצאים מהסביבה. לפני שמאפשרים לנתונים לצאת מההיקף, צריך להצפין אותם מחדש באמצעות מודול קריפטוגרפי מאומת מסוג FIPS 140-2. הגישה הזו קלה יותר לניהול בקנה מידה גדול מאשר ניסיון לוודא שכל לקוח פנימי משתמש בספריות הצפנה תואמות לתקשורת חיצונית.

הפעלת צמתים פרטיים

ב-GKE אפשר להשבית את כתובת ה-IP החיצונית של צמתים חדשים באשכולות, כדי שעומסי עבודה שפועלים בצמתים לא יוכלו לתקשר עם האינטרנט כברירת מחדל. משתמשים במשתני הסביבה http_proxy או https_proxy כדי לשלוח את כל התנועה ל-Proxy ל-HTTP שהגדרתם.

אפשר להגדיר כללי מסלול כדי ליירט את תעבורת הנתונים הזו בצורה שקופה יותר. עם זאת, מכיוון שאתם משתמשים בשרת proxy לתעבורת נתונים ב-TLS, שרת ה-proxy לא יכול להיות שקוף לחלוטין לאפליקציות שאתם מריצים ב-GKE.

פרטים נוספים זמינים במקורות המידע הבאים:

שימוש ב-Cloud VPN לחיבורים בשכבת הרשת ל-GKE

לפעמים תצטרכו חיבור מוצפן של שכבת רשת לאשכולות GKE. לדוגמה, יכול להיות שתצטרכו להגדיר רשת שתואמת לתקן FIPS בין צמתי GKE לבין צמתים מקומיים. ‫Cloud VPN הוא שירות שאושר על ידי FedRAMP ברמה גבוהה, והוא מצפין את הנתונים שלכם במעבר בין רשת ה-VPC לרשת המקומית. פרטים נוספים מופיעים במאמר בנושא סקירה כללית על Cloud VPN.

שימוש ב-Cloud KMS לפעולות קריפטוגרפיות

אם אתם צריכים לבצע פעולות הצפנה בסביבה Google Cloud שלכם, אתם יכולים להשתמש ב-Cloud Key Management Service. ‫Cloud KMS הוא שירות עם אישור FedRAMP High. בעזרת Cloud KMS אפשר לבצע פעולות קריפטוגרפיות שתואמות ל-FIPS 140-2 ברמה 1 או ברמה 3. פרטים נוספים זמינים במקורות המידע הבאים:

פיתוח ספריות שעברו אימות FIPS בעומסי עבודה ב-GKE

כדי להשתמש במודול ההצפנה BoringCrypto באפליקציות GKE, צריך להתקין את BoringSSL. ‫BoringSSL הוא שכפול (fork) של OpenSSL בקוד פתוח, שכולל את הספרייה BoringCrypto. כדי לבנות, להדר ולקשר באופן סטטי את המודול BoringCrypto ל-BoringSSL, אפשר לעיין בסעיף 12.1, 'הוראות התקנה', בקובץ ה-PDF של מדיניות האבטחה של BoringCrypto FIPS 140-2.

כדאי לשקול שימוש בקובצי אימג' של קונטיינרים של צד שלישי שתואמים לתקן FIPS

כדי לאכוף באופן מקיף את התאימות ל-FIPS, מומלץ להשתמש בשרתי proxy בגבולות של סביבתGoogle Cloud שתואמת ל-FIPS. אתם יכולים גם להריץ עומסי עבודה שתואמים ל-FIPS בלי להיות מוגבלים למכונות מארחות של צמתים שיש להן ליבות שתואמות ל-FIPS. יש ספקים חיצוניים שמספקים קובצי אימג' של קונטיינרים שמשתמשות במקור נפרד של אנטרופיה שתואם ל-FIPS.

כדאי לבדוק את ההטמעה של הספק החיצוני כדי לוודא שהיא אכן תואמת לתקן FIPS.

המאמרים הבאים