Tentang enkripsi yang divalidasi FIPS di GKE

Halaman ini menjelaskan cara Google Cloud dan Google Kubernetes Engine (GKE) mempertahankan kepatuhan terhadap Federal Information Processing Standards (FIPS) saat Anda memproses dan mengirimkan data melalui cluster GKE yang berjalan di Google Cloud.

Halaman ini ditujukan untuk pengelola keamanan, engineer keamanan, dan petugas kepatuhan yang ingin memenuhi persyaratan keamanan dan privasi data yang ketat terkait FIPS. Anda juga dapat menggunakan halaman ini untuk menunjukkan kepada auditor bahwa GKE di Google Cloud mengimplementasikan perlindungan yang divalidasi FIPS untuk keamanan data secara default.

Poin-poin penting tentang enkripsi yang divalidasi FIPS di GKE

  • Kontrol keamanan FedRAMP® untuk enkripsi data dalam pengiriman (SC-28) dan dalam penyimpanan (SC-8(1)) mengharuskan data Anda dienkripsi menggunakan modul kriptografis yang divalidasi FIPS 140-2 atau yang lebih baru. Kontrol keamanan ini tidak secara eksplisit mewajibkan pengaktifan "mode FIPS" di tingkat sistem operasi (OS). Selain itu, mode FIPS tingkat OS tidak menjamin kepatuhan.
  • Data yang disimpan di sistem Google Cloud yang diotorisasi FedRAMP dienkripsi dalam penyimpanan secara default menggunakan modul kriptografi yang divalidasi FIPS 140-2 atau yang lebih baru. Selama data Anda disimpan di sistem yang diotorisasi ini, data tersebut memenuhi persyaratan FedRAMP untuk melindungi data yang tersimpan dalam keadaan nonaktif (kontrol keamanan SC-28). Untuk mengetahui daftar sistem yang diotorisasi, lihat layanan FedRAMP High yang termasuk dalam cakupan.
  • Data yang Anda kirimkan di dalam Google Cloud jaringan Virtual Private Cloud (VPC) dienkripsi secara otomatis dan dilindungi oleh mekanisme autentikasi dan otorisasi. VPC diotorisasi di FedRAMP High. Selama data Anda dikirimkan dalam jaringan VPC Google Cloud , data tersebut memenuhi persyaratan FedRAMP untuk melindungi data dalam pengiriman (kontrol keamanan SC-8(1)).
  • Anda tidak perlu membuat aplikasi menggunakan proses build yang mematuhi FIPS untuk memenuhi persyaratan FedRAMP terkait perlindungan data saat disimpan dan dalam transit. Hal ini karena data yang dikirimkan dalam Google Cloud jaringan VPC dan disimpan dalam sistem penyimpanan yang diizinkan FedRAMP Google Cloud dilindungi sesuai dengan persyaratan FedRAMP untuk perlindungan data secara default.

Tentang FIPS dan FedRAMP

Federal Risk and Authorization Management Program (FedRAMP) adalah program pemerintah AS yang menentukan pendekatan standar terhadap penilaian keamanan dan risiko untuk teknologi cloud. GKE disertakan dalam daftar Google Cloud layanan yang memiliki otoritas sementara (P-ATO) FedRAMP High untuk beroperasi. Untuk mempelajari lebih lanjut P-ATO Google Cloud FedRAMP, lihat Google Cloud Ringkasan FedRAMP.

FIPS adalah serangkaian standar yang diumumkan secara publik dan dikeluarkan oleh National Institute of Standards and Technology (NIST). FIPS publication 140-2 mendefinisikan persyaratan untuk menyetujui modul kriptografis. Untuk mengetahui detailnya, lihat FIPS 140-2 di NIST.

P-ATO FedRAMP High mencakup kontrol untuk melindungi data dalam pengiriman (SC-8(1)) dan melindungi data dalam penyimpanan (SC-28(1)) menggunakan modul kriptografis yang divalidasi FIPS.

Perlindungan data yang divalidasi FIPS default di GKE

Bagian berikut menjelaskan cara Google Cloud dan GKE menerapkan enkripsi tervalidasi FIPS untuk melindungi data dalam penyimpanan dan saat transit. Informasi ini dibahas secara lebih mendetail dalam Google Cloud rencana keamanan sistem (SSP), yang dapat Anda minta dari tim penjualan, Google Cloud perwakilan,Google Cloud atau dari Google Cloud Kantor Pengelolaan Program FedRAMP jika Anda adalah pelanggan pemerintah. Untuk mengetahui detailnya, lihat Google Cloud Kepatuhan FedRAMP.

Perlindungan data dalam penyimpanan yang divalidasi FIPS

Data GKE dienkripsi dalam penyimpanan menggunakan Google Cloud modul enkripsi tervalidasi FIPS 140-2 yang bernama BoringCrypto. Untuk mengetahui detailnya, lihat Validasi FIPS 140-2 di Google Cloud.

Untuk mengetahui informasi selengkapnya tentang enkripsi dalam penyimpanan, lihat referensi berikut:

Perlindungan data dalam pengiriman yang divalidasi FIPS

VPC Google Cloud memiliki P-ATO FedRAMP High. Data apa pun yang Anda transmisikan dalam jaringan VPC Anda akan dienkripsi secara otomatis. Di GKE, ini berarti semua traffic ke dan dari kontainer, Pod, proses kubelet di setiap node, semua node, instance bidang kontrol, dan layanan Google Cloud lainnya dalam VPC dilindungi saat transit. Semua koneksi ke Google API menggunakan keamanan lapisan transport (TLS) 1.2 atau yang lebih baru untuk mengenkripsi traffic jaringan. Tidak diperlukan tindakan tambahan agar sesuai dengan FIPS untuk perlindungan data dalam pengiriman dalam jaringan VPCGoogle Cloud .

Untuk mengetahui informasi selengkapnya tentang cara data Anda dienkripsi saat dalam pengiriman, lihat Laporan resmi enkripsi saat dalam pengiriman.

Rekomendasi untuk melindungi data di luar Google Cloud

Enkripsi data dalam pengiriman secara default untuk GKE dan Google Cloud hanya berlaku dalam Google Cloud jaringan VPC. Anda harus menggunakan kriptografi yang mematuhi FIPS untuk melindungi data yang berada di luar batas jaringan VPC. Rekomendasi berikut membantu Anda memastikan bahwa semua data masuk dan keluar di luar lingkungan FIPSGoogle Cloud dalam pengiriman dienkripsi dengan kriptografi yang mematuhi FIPS.

Menyadap dan mengenkripsi traffic masuk dari internet

Untuk traffic masuk ke lingkungan Google Cloud Anda dari internet, gunakan kebijakan SSL di load balancer Google Cloud untuk menentukan serangkaian cipher atau mekanisme kriptografi yang divalidasi FIPS yang diizinkan untuk melindungi data saat memasuki lingkungan Google Cloud . Untuk mengetahui detailnya, lihat referensi berikut:

Menyadap dan mengenkripsi traffic keluar ke internet

Tentukan perimeter yang membatasi koneksi data keluar ke sekumpulan pihak ketiga tepercaya yang Anda kenal dengan mengonfigurasi firewall. Buat diagram dan dokumentasikan persyaratan jaringan eksternal, seperti mengambil data dari sumber seperti GitHub, dan tempat koneksi eksternal tersebut akan terjadi dalam lingkungan Anda. Pertimbangkan untuk menggunakan reverse proxy untuk mencegat traffic keluar dari VPC Anda.

Jika Anda memiliki traffic HTTP yang keluar dari perimeter lingkungan Google Cloud yang mematuhi FedRAMP, pertimbangkan untuk menyiapkan proxy penerusan HTTP untuk mencegat data sebelum keluar dari lingkungan. Enkripsi ulang data menggunakan modul kriptografi yang divalidasi FIPS 140-2 sebelum Anda mengizinkannya keluar dari perimeter Anda. Pendekatan ini lebih mudah dikelola dalam skala besar daripada mencoba memastikan bahwa setiap klien internal menggunakan library enkripsi yang sesuai untuk komunikasi eksternal.

Mengaktifkan node pribadi

GKE memungkinkan Anda menonaktifkan alamat IP eksternal untuk node baru di cluster, sehingga workload yang berjalan di node tidak dapat berkomunikasi dengan internet secara default. Gunakan variabel lingkungan http_proxy atau https_proxy untuk mengirim semua traffic ke proxy HTTP yang dikonfigurasi.

Anda dapat mengonfigurasi intersepsi traffic ini yang lebih transparan dengan aturan pemilihan rute. Namun, karena Anda melakukan proxy traffic TLS, proxy tidak dapat sepenuhnya transparan untuk aplikasi yang Anda jalankan di GKE.

Untuk mengetahui detailnya, lihat referensi berikut:

Menggunakan Cloud VPN untuk koneksi lapisan jaringan ke GKE

Terkadang, Anda mungkin memerlukan koneksi lapisan jaringan terenkripsi ke cluster GKE Anda. Misalnya, Anda mungkin perlu menyiapkan jaringan yang mematuhi FIPS antara node GKE dan node lokal. Cloud VPN adalah layanan yang diizinkan FedRAMP High yang mengenkripsi data dalam pengiriman antara jaringan VPC dan jaringan lokal Anda. Untuk mengetahui detailnya, lihat Ringkasan Cloud VPN.

Menggunakan Cloud KMS untuk operasi kriptografi

Jika Anda perlu melakukan operasi kriptografi di lingkungan Google Cloud Anda, gunakan Cloud Key Management Service. Cloud KMS adalah layanan yang memiliki otorisasi FedRAMP High. Cloud KMS memungkinkan Anda melakukan operasi kriptografis yang mematuhi FIPS 140-2 Level 1 atau Level 3. Untuk mengetahui detailnya, lihat referensi berikut:

Membangun library yang divalidasi FIPS di workload GKE

Untuk menggunakan modul enkripsi BoringCrypto di aplikasi GKE Anda, instal BoringSSL. BoringSSL adalah fork open source dari OpenSSL yang menyertakan library BoringCrypto. Untuk membuat, mengompilasi, dan menautkan modul BoringCrypto secara statis ke BoringSSL, lihat bagian 12.1, "Petunjuk Penginstalan", dalam PDF Kebijakan Keamanan FIPS 140-2 BoringCrypto

Mempertimbangkan image container pihak ketiga yang mematuhi FIPS

Sebaiknya gunakan proxy di batas lingkunganGoogle Cloud yang mematuhi FIPS untuk menerapkan kepatuhan FIPS secara komprehensif. Anda juga dapat menjalankan workload yang mematuhi FIPS tanpa dibatasi pada mesin host node yang memiliki kernel yang mematuhi FIPS. Beberapa vendor pihak ketiga menyediakan image container yang menggunakan sumber entropi terpisah yang mematuhi FIPS.

Evaluasi penerapan vendor pihak ketiga untuk memverifikasi bahwa vendor tersebut benar-benar mematuhi FIPS.

Langkah berikutnya