Enkripsi saat dalam pengiriman untuk Google Cloud

Konten ini terakhir diperbarui pada April 2025, dan menampilkan status quo pada saat konten tersebut ditulis. Kebijakan dan sistem keamanan Google dapat berubah di masa mendatang, seiring upaya kami untuk terus meningkatkan perlindungan bagi pelanggan.

Di Google, kontrol keamanan kami membantu melindungi data Anda, baik saat data tersebut dipindahkan melalui internet, berpindah di dalam infrastruktur Google, atau disimpan di server kami. Pusat strategi keamanan Google adalah autentikasi, integritas, dan enkripsi, baik untuk data dalam penyimpanan maupun data dalam pengiriman. Dokumen ini menjelaskan cara kami mendesainGoogle Cloud untuk mengenkripsi data dalam pengiriman dari internet dan data dalam pengiriman di dalam jaringan Google. Dokumen ini tidak berlaku untuk data dalam pengiriman melalui interkoneksi antara jaringan pusat data pelanggan dan jaringan pusat data Google.

Enkripsi dalam pengiriman menggunakan berbagai teknologi untuk membantu melindungi data, termasuk Transport Layer Security (TLS), BoringSSL, Application Layer Transport Security (ALTS), dan protokol keamanan PSP. Selain perlindungan default yang disediakan Google, Anda dapat lebih melindungi data dengan menambahkan opsi enkripsi seperti IPsec, sertifikat TLS terkelola, dan Cloud Service Mesh.

Dokumen ini ditujukan untuk CISO dan tim operasi keamanan yang menggunakan atau mempertimbangkan Google Cloud. Dokumen ini mengasumsikan sudah ada pemahaman dasar tentang enkripsi dan primitif kriptografi.

Autentikasi, integritas, dan enkripsi

Google menggunakan langkah-langkah keamanan berikut untuk membantu memastikan keaslian, integritas, dan privasi data dalam pengiriman:

  • Autentikasi memverifikasi identitas peer (baik manusia maupun proses) dalam koneksi.
  • Integritas mencegah data yang Anda kirim diubah saat dalam perjalanan antara sumber dan tujuan.
  • Enkripsi menggunakan kriptografi untuk membuat data Anda tidak dapat dibaca saat dalam pengiriman dan menjaganya tetap rahasia.

Enkripsi dalam pengiriman membantu melindungi data Anda jika komunikasi disadap saat data berpindah antara pengguna akhir dan Google Cloud atau antara dua layanan. Enkripsi saat dalam pengiriman mengautentikasi endpoint dan mengenkripsi data sebelum transmisi. Saat tiba, penerima akan mendekripsi data dan memverifikasi bahwa data tidak dimodifikasi selama transit.

Enkripsi adalah satu komponen dari strategi keamanan yang lebih luas. Enkripsi dalam pengiriman melindungi data Anda dari calon penyerang dan menghilangkan kebutuhan bagi Google, Google Cloud pelanggan, atau pengguna akhir untuk memercayai lapisan bawah jaringan.

Cara perutean lalu lintas

Bagian ini menjelaskan cara pengiriman permintaan dari pengguna akhir keGoogle Cloud layanan atau aplikasi pelanggan yang sesuai, dan cara perutean traffic antarlayanan.

Google Cloud Layanan adalah layanan cloud modular yang kami tawarkan kepada pelanggan. Layanan ini mencakup komputasi, penyimpanan data, analisis data, dan machine learning. Misalnya, Cloud Storage adalah Google Cloud layanan.

Aplikasi pelanggan adalah aplikasi yang dihosting di Google Cloud yang dapat Anda, sebagai pelanggan Google, buat dan deploy menggunakan layanan Google Cloud. Aplikasi pelanggan atau solusi partner yang dihosting di Google Cloud tidak dianggap sebagai layanan Google Cloud . Misalnya, aplikasi yang Anda buat menggunakan Cloud Run, Google Kubernetes Engine, atau VM di Compute Engine adalah aplikasi pelanggan.

Diagram berikut menunjukkan jalur traffic dari pengguna akhir ke Google, jalur dalam jaringan Google, dan keamanan untuk setiap koneksi. Jalur traffic berikut ditampilkan:

  • Pengguna akhir di internet ke layanan Google Cloud (berlabel A dalam diagram)
  • Pengguna akhir di internet ke aplikasi pelanggan yang dihosting di Google Cloud (berlabel B dalam diagram)
  • Virtual machine ke virtual machine (berlabel C dalam diagram)
  • Virtual machine ke Google Front End (GFE) (berlabel D dalam diagram)
  • GFE ke Google API dan layanan Google (berlabel E dalam diagram)
  • layananGoogle Cloud ke layanan Google Cloud (berlabel F dalam diagram)

Jalur traffic untuk Google.

Enkripsi dalam pengiriman antara pengguna akhir dan Google

Bagian berikut memberikan detail selengkapnya tentang permintaan perutean pengguna akhir yang ditampilkan dalam diagram sebelumnya.

Pengguna akhir ke Google Cloud layanan

LayananGoogle Cloud seperti Cloud Storage atau Compute Engine adalah layanan cloud yang kami tawarkan kepada pelanggan dan dijalankan di lingkungan produksi kami. LayananGoogle Cloud menerima permintaan dari seluruh dunia menggunakan sistem yang didistribusikan secara global yang disebut Google Front End (GFE). GFE menghentikan traffic untuk koneksi HTTP(S), TCP, dan TLS yang masuk; memberikan penanggulangan serangan DDoS; serta merutekan dan melakukan load balancing traffic keGoogle Cloud layanan itu sendiri. Titik kehadiran GFE ada di seluruh dunia dengan jalur yang diiklankan menggunakan unicast atau Anycast.

GFE merutekan traffic dari pengguna akhir melalui jaringan Google ke Google Cloud layanan, dan dari pengguna akhir ke aplikasi pelanggan yang dihosting di Google Cloud dan menggunakan Cloud Load Balancing.

Permintaan yang dikirim klien ke layanan Google Cloud melalui HTTPS, HTTP/2, atau HTTP/3 diamankan dengan TLS. TLS di GFE diimplementasikan dengan BoringSSL, implementasi protokol TLS open source yang dikelola Google. BoringCrypto, inti dari BoringSSL, divalidasi dengan FIPS 140-3 level 1.

GFE menegosiasikan parameter kriptografi standar industri dengan klien, termasuk negosiasi kunci yang aman ke depan. Untuk klien lama yang kurang mumpuni, GFE memilih primitif kriptografi lama terkuat yang ditawarkan klien.

Pengguna akhir ke aplikasi pelanggan yang dihosting di Google Cloud

Anda dapat merutekan traffic pengguna akhir dari internet ke aplikasi pelanggan yang dihosting di Google Cloud menggunakan koneksi langsung atau melalui load balancer. Jika traffic dirutekan secara langsung, traffic akan dirutekan ke alamat IP eksternal server VM yang menghosting aplikasi.

Anda dapat menggunakan TLS dengan Load Balancer Aplikasi eksternal atau Load Balancer Jaringan proxy eksternal untuk terhubung ke aplikasi Anda yang berjalan di Google Cloud. Saat Anda menggunakan load balancer Layer 7, koneksi antara pengguna akhir dan load balancer dienkripsi menggunakan TLS secara default (asalkan aplikasi klien pengguna akhir mendukung TLS). GFE menghentikan koneksi TLS dari pengguna akhir Anda menggunakan sertifikat TLS yang dikelola sendiri atau dikelola Google. Untuk mengetahui informasi selengkapnya tentang cara menyesuaikan sertifikat, lihat Ringkasan sertifikat SSL. Untuk mengaktifkan enkripsi antara load balancer dan VM yang menghosting aplikasi pelanggan, lihat Enkripsi dari load balancer ke backend.

Untuk mengonfigurasi TLS bersama (mTLS), lihat Ringkasan TLS bersama. Untuk workload di GKE dan Compute Engine, pertimbangkan Cloud Service Mesh agar Anda dapat menggunakan mTLS untuk autentikasi bersama (klien dan server) serta mengenkripsi komunikasi dalam pengiriman menggunakan sertifikat yang Anda kelola.

Untuk Firebase Hosting dan domain kustom Cloud Run, pertimbangkan sertifikat TLS gratis dan otomatis kami. Dengan domain kustom Cloud Run, Anda juga dapat menyediakan sertifikat SSL sendiri dan menggunakan header HTTP strict transport security (HSTS).

Enkripsi dalam pengiriman di dalam jaringan Google

Google Cloud mengenkripsi data pelanggan saat dalam proses pengiriman di dalam jaringan Google, kecuali jika dijelaskan lain dalam bagian ini.

Interkoneksi berperforma sangat tinggi khusus yang menghubungkan TPU atau GPU dalam superkomputer AI Google terpisah dari jaringan yang dijelaskan dalam dokumen ini. Di Google Cloud, interkoneksi berperforma sangat tinggi ini adalah ICI untuk TPU dan NVLink untuk GPU. Untuk mengetahui informasi selengkapnya, lihat Arsitektur TPU dan jenis mesin GPU.

Traffic melalui koneksi ke VM menggunakan alamat IP eksternal akan keluar dari jaringan Google. Anda bertanggung jawab untuk mengonfigurasi enkripsi Anda sendiri untuk koneksi tersebut.

Google Cloud autentikasi dan enkripsi jaringan virtual

Jaringan virtualGoogle Cloudmengenkripsi, melindungi integritas, dan mengautentikasi traffic antar-VM.

Enkripsi traffic IP pribadi dalam VPC yang sama atau di seluruh jaringan VPC yang di-peering dalam jaringan virtual Google Clouddilakukan pada lapisan jaringan.

Setiap pasangan host yang berkomunikasi membuat kunci sesi menggunakan saluran kontrol yang dilindungi oleh ALTS untuk komunikasi yang diautentikasi, dilindungi integritasnya, dan dienkripsi. Kunci sesi digunakan untuk mengenkripsi komunikasi VM-ke-VM antara host tersebut, dan kunci sesi dirotasi secara berkala.

Koneksi VM-ke-VM dalam jaringan VPC dan jaringan VPC yang di-peering di dalam jaringan produksi Google dilindungi integritasnya dan dienkripsi. Koneksi ini mencakup koneksi antara VM pelanggan dan antara VM pelanggan dan VM yang dikelola Google seperti Cloud SQL. Diagram di Cara traffic dirutekan menunjukkan interaksi ini (koneksi berlabel C). Perhatikan bahwa karena Google mengaktifkan enkripsi otomatis berdasarkan penggunaan alamat IP internal, koneksi antar-VM yang menggunakan alamat IP eksternal tidak dienkripsi secara otomatis.

Jaringan virtualGoogle Cloudmengautentikasi semua traffic antar-VM. Autentikasi yang dilakukan menggunakan token keamanan ini mencegah host yang disusupi dari paket spoofing di jaringan.

Token keamanan dienkapsulasi dalam header tunnel yang berisi informasi autentikasi tentang pengirim dan penerima. Bidang kontrol di host pengirim menetapkan token, dan host penerima memvalidasi token. Token keamanan telah dibuat sebelumnya untuk setiap alur, dan terdiri dari token (berisi informasi pengirim) dan secret host.

Konektivitas ke Google API dan layanan Google

Penanganan traffic berbeda-beda bergantung pada tempat layanan dihosting. Google Cloud

Sebagian besar Google API dan layanan Google dihosting di GFE. Traffic VM ke GFE menggunakan alamat IP eksternal untuk menjangkau Google Cloud layanan, tetapi Anda dapat mengonfigurasi akses pribadi agar tidak menggunakan alamat IP eksternal. Koneksi dari GFE ke layanan diautentikasi dan dienkripsi.

Beberapa layanan, seperti Cloud SQL, dihosting di instance VM yang dikelola Google. Jika VM pelanggan mengakses layanan yang dihosting di instance VM yang dikelola Google menggunakan alamat IP eksternal, traffic akan tetap berada di jaringan produksi Google, tetapi tidak dienkripsi secara otomatis karena penggunaan alamat IP eksternal. Untuk mengetahui informasi selengkapnya, lihat Google Cloud autentikasi dan enkripsi jaringan virtual.

Saat pengguna mengirim permintaan ke layanan Google Cloud , kami mengamankan data dalam pengiriman (memberikan autentikasi, integritas, dan enkripsi) menggunakan HTTPS dengan sertifikat dari certificate authority web (publik). Semua data yang dikirim pengguna ke GFE dienkripsi saat dalam pengiriman dengan TLS atau QUIC. GFE menegosiasikan protokol enkripsi tertentu dengan klien, bergantung pada apa yang dapat didukung klien. GFE menegosiasikan protokol enkripsi yang lebih modern jika memungkinkan.

Enkripsi, integritas, dan autentikasi layanan-ke-layanan

Infrastruktur Google menggunakan ALTS untuk autentikasi, integritas, dan enkripsi koneksi dari GFE ke Google Cloud layanan, dan dari satu Google Cloud layanan ke layanan Google Cloud lainnya.

ALTS menggunakan identitas berbasis layanan untuk autentikasi. Layanan yang berjalan di lingkungan produksi Google diberi kredensial yang menegaskan identitas berbasis layanannya. Saat membuat atau menerima RPC dari layanan lain, layanan menggunakan kredensialnya untuk melakukan autentikasi. ALTS memverifikasi bahwa kredensial ini dikeluarkan oleh CA internal Google. CA internal Google tidak terkait dan terpisah dari Certificate Authority Service.

ALTS menggunakan enkripsi dan perlindungan integritas kriptografi untuk traffic yang membawa data dari GFE ke layanan dan antar-layanan yang berjalan di lingkungan produksi Google. Google Cloud

ALTS juga digunakan untuk mengenkapsulasi protokol Lapisan 7 lainnya, seperti HTTP, dalam mekanisme RPC untuk traffic antara GFE dan layanan Google Cloud. Perlindungan ini membantu mengisolasi lapisan aplikasi dan menghapus semua dependensi pada keamanan jalur jaringan.

Metode enkripsi dalam pengiriman

Bagian berikut menjelaskan beberapa teknologi yang digunakan Google untuk mengenkripsi data dalam pengiriman.

Enkripsi jaringan menggunakan PSP

PSP adalah protokol yang tidak bergantung pada transport yang memungkinkan keamanan per koneksi dan mendukung pemindahan enkripsi ke hardware kartu antarmuka jaringan smart (SmartNIC). Setiap kali SmartNIC tersedia, ALTS menggunakan PSP untuk mengenkripsi data dalam pengiriman di seluruh jaringan kami.

PSP dirancang untuk memenuhi persyaratan traffic pusat data berskala besar. Infrastruktur Google menggunakan PSP untuk mengenkripsi traffic di dalam dan di antara pusat data kami. PSP juga mendukung protokol non-TCP seperti UDP dan menggunakan kunci enkripsi unik untuk setiap koneksi.

Application layer transport security

ALTS adalah sistem enkripsi dan autentikasi timbal balik yang dikembangkan oleh Google. ALTS menyediakan autentikasi, kerahasiaan, dan integritas untuk data dalam pengiriman antar-layanan yang berjalan di lingkungan produksi Google. ALTS terdiri dari protokol berikut:

  • Protokol handshake: Klien memulai pertukaran kunci gabungan berbasis kurva eliptik dan aman kuantum. Di akhir handshake, layanan yang terlibat mengautentikasi identitas satu sama lain dengan bertukar dan memverifikasi sertifikat yang ditandatangani serta menghitung kunci traffic bersama. Di antara algoritma yang didukung untuk mendapatkan kunci traffic bersama adalah algoritma pasca-kuantum NIST ML-KEM (FIPS 203). Untuk mengetahui informasi selengkapnya, lihat Kriptografi pasca-kuantum.

  • Protokol rekaman: Data layanan-ke-layanan dienkripsi saat dalam pengiriman menggunakan kunci traffic bersama. Secara default, ALTS menggunakan enkripsi AES-128-GCM untuk semua traffic. Data dalam pengiriman di dalam sistem penyimpanan tingkat terendah Google menggunakan enkripsi AES-256, dan ALTS menyediakan autentikasi pesan AES. Enkripsi di ALTS disediakan oleh BoringSSL atau PSP. Enkripsi ini divalidasi di FIPS 140-2 level 1 atau FIPS 140-3 level 1.

Kunci penandatanganan root untuk sertifikat ALTS disimpan di CA internal Google.

Langkah berikutnya