Informazioni sulla crittografia con convalida FIPS in GKE

Questa pagina descrive come Google Cloud e Google Kubernetes Engine (GKE) mantengono la conformità agli standard federali di elaborazione delle informazioni (FIPS) durante l'elaborazione e la trasmissione dei dati tramite i cluster GKE in esecuzione su Google Cloud.

Questa pagina è destinata a responsabili della sicurezza, ingegneri della sicurezza e responsabili della conformità che vogliono soddisfare i rigorosi requisiti di sicurezza dei dati e requisiti di privacy relativi a FIPS. Puoi anche utilizzare questa pagina per mostrare a un revisore che GKE on Google Cloud implementa protezioni convalidate da FIPS per la sicurezza dei dati per impostazione predefinita.

Punti chiave sulla crittografia con convalida FIPS in GKE

  • I controlli di sicurezza FedRAMP® per la crittografia dei dati in transito (SC-28) e inattivi (SC-8(1)) richiedono che i dati vengano criptati utilizzando moduli crittografici convalidati FIPS 140-2 o versioni successive. Questi controlli di sicurezza non impongono esplicitamente l'attivazione della "modalità FIPS" a livello di sistema operativo. Inoltre, la modalità FIPS a livello di sistema operativo non è una garanzia di conformità.
  • I dati archiviati nei sistemi Google Cloud autorizzati FedRAMP sono criptati at-rest per impostazione predefinita utilizzando moduli crittografici convalidati FIPS 140-2 o versioni successive. Finché i tuoi dati sono archiviati in questi sistemi autorizzati, soddisfano i requisiti FedRAMP per la protezione dei dati at-rest (controllo di sicurezza SC-28). Per un elenco dei sistemi autorizzati, consulta la sezione Servizi FedRAMP High inclusi nell'ambito.
  • I dati che trasmetti all'interno della rete Virtual Private Cloud (VPC) Google Cloud vengono criptati automaticamente e sono protetti da meccanismi di autenticazione e autorizzazione. VPC è autorizzato a livello FedRAMP High. Finché i dati vengono trasmessi all'interno della rete VPC Google Cloud , soddisfano i requisiti FedRAMP per la protezione dei dati in transito (controllo di sicurezza SC-8(1)).
  • Non è necessario creare le applicazioni utilizzando processi di compilazione conformi a FIPS per soddisfare i requisiti FedRAMP per la protezione dei dati at-rest e in transito. Questo perché i dati trasmessi all'interno della rete VPCGoogle Cloud e archiviati in sistemi di archiviazione autorizzati Google Cloud FedRAMP sono protetti per impostazione predefinita in conformità con questi requisiti FedRAMP per la protezione dei dati.

Informazioni su FIPS e FedRAMP

Il Federal Risk and Authorization Management Program (FedRAMP) è un programma del governo degli Stati Uniti che definisce un approccio standardizzato alla valutazione della sicurezza e del rischio per le tecnologie cloud. GKE è incluso nell'elenco dei serviziGoogle Cloud che dispongono dell'autorizzazione provvisoria a operare (P-ATO) FedRAMP High. Per saperne di più sull'autorizzazione provvisoria a operare (P-ATO) FedRAMP Google Cloud , consulta la Google Cloud panoramica di FedRAMP.

FIPS è un insieme di standard annunciati pubblicamente ed emessi dal National Institute of Standards and Technology (NIST). La pubblicazione FIPS 140-2 definisce i requisiti per l'approvazione dei moduli di crittografia. Per maggiori dettagli, consulta FIPS 140-2 sul NIST.

L'autorizzazione provvisoria a operare (P-ATO) FedRAMP High include controlli per la protezione dei dati in transito (SC-8(1)) e la protezione dei dati at-rest (SC-28(1)) utilizzando moduli crittografici con convalida FIPS.

Protezione dei dati con convalida FIPS predefinita in GKE

Le sezioni seguenti spiegano come Google Cloud e GKE implementano la crittografia con convalida FIPS per proteggere i dati at-rest e in transito. Queste informazioni sono trattate in modo più dettagliato nel piano di sicurezza del sistema (SSP) di Google Cloud , che puoi richiedere al tuo team di vendita Google Cloud , al tuo rappresentanteGoogle Cloud o al FedRAMP Program Management Office Google Cloud se sei un cliente governativo. Per maggiori dettagli, vedi Conformità a FedRAMP diGoogle Cloud .

Protezione dei dati at-rest convalidata da FIPS

I dati GKE vengono criptati a riposo utilizzando un modulo di crittografia Google Cloud convalidato FIPS 140-2 denominato BoringCrypto. Per maggiori dettagli, consulta Convalida FIPS 140-2 in Google Cloud.

Per saperne di più sulla crittografia at-rest, consulta le seguenti risorse:

Protezione dei dati in transito con convalida FIPS

Il Google Cloud VPC ha un'autorizzazione provvisoria a operare (P-ATO) FedRAMP High. Tutti i dati che trasmetti all'interno della tua rete VPC vengono criptati automaticamente. In GKE, ciò significa che tutto il traffico da e verso container, pod, il processo kubelet su ogni nodo, tutti i nodi, le istanze del control plane e altri servizi Google Cloud all'interno del VPC è protetto durante il transito. Tutte le connessioni alle API di Google utilizzano Transport Layer Security (TLS) 1.2 o versioni successive per criptare il traffico di rete. Non sono necessarie ulteriori azioni per la conformità FIPS per la protezione dei dati in transito all'interno della rete VPCGoogle Cloud .

Per saperne di più su come i tuoi dati vengono criptati in transito, consulta il white paper sulla crittografia dei dati in transito.

Suggerimenti per proteggere i dati al di fuori di Google Cloud

La crittografia predefinita dei dati in transito per GKE eGoogle Cloud si applica solo all'interno della rete VPC Google Cloud . Devi utilizzare la crittografia conforme a FIPS per proteggere i dati che si trovano al di fuori del perimetro della rete VPC. I seguenti consigli ti aiutano a garantire che tutti i dati in entrata e in uscita al di fuori del tuo ambienteGoogle Cloud FIPS in transito siano criptati con crittografia conforme a FIPS.

Intercetta e cripta il traffico in entrata da internet

Per il traffico in entrata nel tuo ambiente Google Cloud da internet, utilizza le policy SSL nei bilanciatori del carico Google Cloud per definire un insieme consentito di cifrari o meccanismi crittografici convalidati da FIPS con cui i dati devono essere protetti quando entrano nell'ambiente Google Cloud . Per maggiori dettagli, consulta le seguenti risorse:

Intercettare e criptare il traffico in uscita verso internet

Definisci un perimetro che limiti le connessioni di dati in uscita a un insieme di terze parti note di cui ti fidi configurando i firewall. Diagramma e documenta eventuali requisiti di rete esterni, ad esempio l'estrazione di dati da origini come GitHub, e dove si verificheranno queste connessioni esterne all'interno del tuo ambiente. Valuta la possibilità di utilizzare un proxy inverso per intercettare il traffico in uscita dal tuo VPC.

Se hai traffico HTTP che esce dal perimetro del tuo ambienteGoogle Cloud conforme a FedRAMP, valuta la possibilità di configurare un proxy di inoltro HTTP per intercettare i dati prima che escano dall'ambiente. Esegui nuovamente la crittografia dei dati utilizzando un modulo crittografico convalidato FIPS 140-2 prima di consentirne l'uscita dal tuo perimetro. Questo approccio è più gestibile su larga scala rispetto al tentativo di garantire che ogni client interno utilizzi librerie di crittografia conformi per la comunicazione esterna.

Abilita nodi privati

GKE ti consente di disattivare l'indirizzo IP esterno per i nuovi nodi nei cluster, in modo che i workload eseguiti sui nodi non possano comunicare con internet per impostazione predefinita. Utilizza le variabili di ambiente http_proxy o https_proxy per inviare tutto il traffico al proxy HTTP configurato.

Puoi configurare un'intercettazione più trasparente di questo traffico con le regole di instradamento. Tuttavia, poiché stai eseguendo il proxy del traffico TLS, il proxy non può essere completamente trasparente per le applicazioni che esegui su GKE.

Per maggiori dettagli, consulta le seguenti risorse:

Utilizza Cloud VPN per le connessioni a livello di rete a GKE

A volte potrebbe essere necessaria una connessione di livello di rete criptata ai tuoi cluster GKE. Ad esempio, potresti dover configurare una rete conforme a FIPS tra i nodi GKE e i nodi on-premise. Cloud VPN è un servizio autorizzato FedRAMP High che cripta i tuoi dati in transito tra la tua rete VPC e la tua rete on-premise. Per i dettagli, consulta la panoramica di Cloud VPN.

Utilizza Cloud KMS per le operazioni di crittografia

Se devi eseguire operazioni crittografiche nel tuo Google Cloud ambiente, utilizza Cloud Key Management Service. Cloud KMS è un servizio con autorizzazione FedRAMP High. Cloud KMS ti consente di eseguire operazioni crittografiche conformi a FIPS 140-2 livello 1 o livello 3. Per maggiori dettagli, consulta le risorse seguenti:

Crea librerie con convalida FIPS nei workload GKE

Per utilizzare il modulo di crittografia BoringCrypto nelle tue applicazioni GKE, installa BoringSSL. BoringSSL è un fork open source di OpenSSL che include la libreria BoringCrypto. Per creare, compilare e collegare staticamente il modulo BoringCrypto a BoringSSL, consulta la sezione 12.1, "Istruzioni di installazione", nel PDF della policy di sicurezza FIPS 140-2 di BoringCrypto.

Valuta le immagini container conformi a FIPS di terze parti

Ti consigliamo di utilizzare i proxy al confine dell'ambienteGoogle Cloud conforme a FIPS per applicare in modo completo la conformità a FIPS. Puoi anche eseguire workload conformi a FIPS senza limitarti alle macchine host dei nodi con kernel conformi a FIPS. Alcuni fornitori di terze parti forniscono immagini container che utilizzano una fonte di entropia separata e conforme a FIPS.

Valuta l'implementazione del fornitore di terze parti per verificare che sia effettivamente conforme allo standard FIPS.

Passaggi successivi