このページでは、Transfer Appliance でデータを保護し、暗号化する方法について説明します。
Google のインフラストラクチャのデータ セキュリティ
アプライアンスを返却と、Google のデータセンターのいずれかで受領されます。 データ エクスポート用のアプライアンスを注文すると、Google のデータセンターのいずれかで準備されます。お客様のデータの保護は Google の最優先事項であり、責任を負っています。インフラストラクチャ セキュリティの詳細については、Google インフラストラクチャのセキュリティ設計の概要、Google のデータセンターにおけるセキュリティ対策の詳細についてはデータとセキュリティをご覧ください。
転送中のアプライアンスの保護
アプライアンスを受け取ったら、Transfer Appliance 認証アプリケーションを実行します。このアプリケーションは、アプライアンスの ID と状態を検証して、アプライアンスがお客様に発送されたときと同じ状態であることを確認します。アプリケーションは、Google と共有する証明書パスコードを生成します。証明パスコードが想定どおりであれば、アプライアンスのログイン認証情報が提供されます。
アプライアンスの使用が終了し、Google がアプライアンスを受け取ると、Google はアプライアンスを再度検証して、配送中に改ざんされていないことを確認します。アプライアンスの確認が完了すると、データが Cloud Storage にアップロードされます。
アプライアンスの検証で、アプライアンスが改ざんされたことが示された場合、Google は転送セッション全体を無効にし、お客様と協力して交換用アプライアンスを発送します。
データ暗号化
データは、アップロード中、データセンターへの転送中、Cloud Storage へのアップロード後、データ エクスポート機能を使用してアプライアンスにダウンロードする際に暗号化されます。データの暗号化方法の詳細は次のとおりです。
Cloud Storage への転送中: データは、AES-256 暗号化アルゴリズム（
dm-cryptの場合は AES-256-XTS、ZFS の場合は AES-256-GCM）を使用して、dm-crypt（LUKS2）または組み込みの ZFS 暗号化により Transfer Appliance で暗号化されます。Cloud Storage へのアップロード中: データは安全な TLS 接続を使用して暗号化されます。アプライアンス上の暗号化されたデータが Cloud Storage に転送されます。VPC Service Controls を使用しているお客様の場合、このプロセスは VPC Service Controls の境界内で行われます。
Cloud Storage: デフォルトでは、データは Cloud Storage で暗号化されます。詳細については、データ暗号化オプションをご覧ください。
Transfer Appliance へのダウンロード中: データ エクスポート機能を使用すると、データはクラウドで暗号化されてからアプライアンスにダウンロードされます。
アプライアンスへの転送中のデータの暗号化
ストレージまたはネットワーク デバイスとアプライアンスの間では暗号化が適用されません。ネットワークとネットワークへの物理的アクセスの保護は、お客様の責任です。Google がネットワークに接続しているアプライアンスにアクセスしたり、モニタリングしたりすることはありません。
アプライアンス上のデータの暗号化
アプライアンス上のデータを暗号化するために、次の 2 つの鍵を使用します。
鍵暗号鍵
鍵暗号鍵（KEK）には、次の 2 つの選択肢があります。
顧客管理の鍵を作成できます。この鍵は、ユーザーが自分で生成して管理します。
Google-owned and managed keyを選択すると、Google が鍵を生成して管理します。
Google-owned and managed keys はセッションごとに一意であり、他の Google Cloud サービスと共有されません。セッションが完了またはキャンセルされた場合、またはアプライアンスが紛失した場合は、データ セキュリティを確保するために鍵が破棄されます。
Google-owned and managed keysの作成に使用される設定は次のとおりです。
- Region: Global
- 保護レベル: ソフトウェア
- 目的: 非対称的な復号
- アルゴリズム: 4096 ビット RSA - OAEP パディング - SHA256 ダイジェスト
セッションが完了する前に KEK を破棄すると、アプライアンスのデータが完全に失われます。
KEK は、Google Cloudで Cloud Key Management Service（Cloud KMS）の非対称鍵として生成されます。KEK の公開鍵は、アプライアンスをお客様に発送する前にアプライアンスにダウンロードされます。
データ暗号鍵（DEK）
DEK はアプライアンスで生成されます。DEK はメモリに保持され、DEK のコピーはアプライアンスのトラステッド プラットフォーム モジュール（TPM）によってシールされ、再起動後も鍵を保持するためにディスクに保存されます。DEK が暗号化されずにローカル ディスクに保存されることはありません。
データをディスクに書き込む前に、アプライアンスで生成された DEK をデータに適用します。アプライアンスでデータをファイナライズすると、KEK 公開鍵が DEK に適用され、その後 DEK がアプライアンスから削除されます。
データが暗号化されずにアプライアンスに保存されることはありません。
Cloud Storage からのデータ エクスポート用にデータを暗号化する
データ エクスポート用のアプライアンスを注文すると、アプライアンスは安全な Google データセンターで準備され、データは最初に暗号化されます。暗号化されたデータはアプライアンスに安全に移動され、ディスクレベルの暗号化でさらに保護されます。データは、データセンター内でも転送中でもアプライアンス上で暗号化されたままになり、アプライアンスを有効にした後にのみアクセスできます。
アプライアンス上のデータへのアクセスを制限する
アプライアンスの NFS 共有に保存されているデータへのアクセスを制限するには、ネットワーク上の特定のホストがアプライアンスにアクセスできるように IP フィルタを適用します。サポートが必要な場合は、ネットワーク管理者にお問い合わせください。
Transfer Appliance で使用する IP ネットワーク ポートの詳細については、IP ネットワーク ポートの構成をご覧ください。
Cloud Storage へのデータ アップロード
Google の安全なデータセンターのいずれかでアプライアンスを受け取ると、Google は暗号化されたデータを VPC Service Controls の境界にアップロードしてから、KEK を適用して DEK とデータを復号します。DEK は、転送ライフサイクルのどの時点でも永続化されません。その後、安全な TLS 接続を使用して、プライベート データセンター ネットワーク上の Cloud Storage にデータを安全に移動します。データは Cloud Storage でデフォルトで暗号化され、アクセスできるのはユーザーのみです。
アプライアンス メディアのサニタイズ
データのアップロード後、またはデータ エクスポート用のアプライアンスの受領後、Google は、情報消去に関する NIST 800-88 標準を適用して、返却されたアプライアンスのドライブ メディアをサニタイズします。具体的には、暗号化消去を使用して、アプライアンスのドライブに以前保存されたすべての暗号化データをサニタイズします。使用中にドライブに障害が発生し、動作不能になり、消去できなくなった場合、影響を受けた物理メディアを物理的に破壊します。メディアのサニタイズ プロセスの詳細については、安全で確実なメディアのサニタイズを保証するをご覧ください。
データが Cloud Storage で利用可能になってから 4 週間以内、またはデータのエクスポート後にアプライアンスを返却してから 4 週間以内に、アプライアンス メディアが安全にサニタイズされたことを証明するワイプ証明書をリクエストできます。
Transfer Appliance の再生
返却されたアプライアンス上のデータを破棄した後、次のお客様にアプライアンスを発送するための準備を行いします。以下に、メディア サニタイズ後の各アプライアンスの再生方法の概要を示します。
アプライアンスでドライブをパーティション化します。メディアのサニタイズによってデータ パーティションも破棄されるため、毎回白紙の状態から開始します。
その後、ドライブを再フォーマットし、データとアプライアンスのソフトウェアを準備します。
次に、アプライアンスのソフトウェアをインストールし、必要なアップデートを適用します。
最後に、アプライアンスを梱包して次のお客様に発送する準備を行います。