Chiffrement au repos

Google Distributed Cloud (GDC) air-gapped fournit une stratégie de sécurité complète qui inclut le chiffrement au repos, ce qui contribue à protéger vos contenus contre les pirates informatiques. GDC chiffre vos contenus au repos, sans aucune action de votre part, à l'aide d'un ou de plusieurs mécanismes de chiffrement. Ce document décrit l'approche du chiffrement au repos par défaut pour GDC, ainsi que la façon dont elle permet d'améliorer la sécurité de vos informations.

Ce document est destiné aux architectes de sécurité et aux équipes de sécurité qui utilisent ou envisagent d'utiliser GDC. Dans ce document, nous partons du principe que vous possédez des connaissances de base en chiffrement et en primitives cryptographiques.

Chiffrement au repos

GDC chiffre tout le contenu client stocké au repos, sans aucune action de votre part, à l'aide d'un ou de plusieurs mécanismes de chiffrement. Le chiffrement au repos est un chiffrement qui protège les données stockées sur un disque, y compris des disques durs SSD ou des supports de sauvegarde.

Les sections suivantes décrivent les mécanismes permettant de chiffrer les données client au repos.

Les données GDC Block Storage sont chiffrées au niveau matériel à l'aide de lecteurs auto-chiffrants conformes à la norme FIPS 140-2. Les clés de chiffrement pour les lecteurs à chiffrement automatique sont stockées dans un HSM externe, ce qui permet de chiffrer les données au repos conformément à la norme FIPS 140-3. En outre, Block Storage implémente également une solution de chiffrement supplémentaire au niveau logiciel, le chiffrement de volume (VE, Volume Encryption), qui chiffre chaque volume de données de stockage de blocs sous-jacent avec une clé XTS-AES-256 unique, chaque clé spécifique au volume étant stockée dans un HSM externe.

Systèmes de gestion des clés

Les systèmes de gestion de clés (KMS) vous permettent de créer vos propres clés de chiffrement et de signature. KMS vous permet de créer et de supprimer des clés. KMS n'est pas impliqué dans le chiffrement au repos décrit sur cette page.

Une clé racine encapsule les clés, qui sont chiffrées au repos. Vous utilisez les clés pour chiffrer ou signer vos charges de travail.

Clés de chiffrement gérées par le client

Pour protéger vos données au repos, utilisez des clés de chiffrement gérées par le client (CMEK). Le chiffrement CMEK vous permet de contrôler les clés qui protègent vos données au repos dans GDC.

Toutes les données stockées dans GDC sont chiffrées au repos à l'aide de modules cryptographiques validés FIPS 140-2 par des clés que les modules de sécurité matérielle (HSM) protègent dans votre déploiement GDC. Aucune configuration n'est requise.

Les CMEK offrent les avantages suivants :

  • Contrôle : vous contrôlez la CMEK, y compris la possibilité de supprimer des clés.
  • Transparence : vous pouvez auditer le processus de chiffrement pour vous assurer que vos données sont bien protégées.
  • Conformité : les clés CMEK peuvent vous aider à répondre aux exigences de conformité.

Un autre avantage de l'adoption de CMEK est l'effacement cryptographique, une méthode de destruction des données à haute fiabilité pour la correction des fuites de données et le désabonnement. Vous pouvez supprimer les clés hors bande des données qu'elles protègent. Un ensemble de CMEK protège toutes les données de votre organisation que votre administrateur de plate-forme peut surveiller, auditer et supprimer si nécessaire. Les clés CMEK sont des clés de chiffrement que vous pouvez gérer à l'aide des API HSM.

Services compatibles avec les CMEK

Chaque fois qu'un utilisateur crée un data store compatible avec CMEK dans GDC, tel que le stockage par blocs, une clé CMEK est automatiquement créée en son nom et devient disponible pour l'administrateur de la plate-forme. Les services compatibles avec la rotation des CMEK fournissent des instructions spécifiques pour faire tourner les clés CMEK. Ce processus peut nécessiter la copie des données vers une nouvelle instance.

Les services GDC suivants sont compatibles avec CMEK :

  • Stockage par blocs : chiffre chaque appareil de stockage par blocs à l'aide d'une clé gérée par l'administrateur de la plate-forme.
  • Disques de machine virtuelle (VM).
  • Service de base de données : votre instance de base de données stocke principalement ses données avec une clé gérée par l'administrateur de la plate-forme. Les sauvegardes de votre base de données ne sont pas concernées par CMEK et sont chiffrées avec les paramètres de chiffrement du système de stockage de votre sauvegarde.
  • Charges de travail des conteneurs utilisateur : chiffrent les métadonnées Kubernetes du cluster ETCD avec une clé gérée par l'administrateur de la plate-forme.
  • Stockage : chiffre chaque objet avec une clé de chiffrement des données AES-256-GCM unique encapsulée par une clé KMS AEAD au niveau du bucket.

Chiffrement au repos pour sécuriser les données

Le chiffrement présente les avantages suivants :

  • Permet de s'assurer que si des données tombent entre les mains d'un pirate informatique, le pirate informatique ne peut pas lire les données sans avoir accès aux clés de chiffrement. Même si des pirates informatiques obtiennent les appareils de stockage contenant des données client, ils ne pourront pas les comprendre ni les déchiffrer.
  • Réduit la surface d'attaque en désactivant les couches inférieures de la pile matérielle et logicielle.
  • Elle sert de goulot d'étranglement, car les clés de chiffrement gérées de manière centralisée créent un point d'accès unique et contrôlé aux données.
  • Réduit la surface d'attaque. Par exemple, au lieu de protéger toutes les données, les entreprises peuvent concentrer leurs stratégies de protection sur les clés de chiffrement.
  • Elle offre un mécanisme de confidentialité important pour vous. Lorsque GDC chiffre les données au repos, il limite l'accès des systèmes et des ingénieurs aux données.

Données client

Les données client sont des données que les clients ou les utilisateurs finaux fournissent à GDC via les services dans le cadre de leur compte. Les données client incluent les contenus et les métadonnées client.

Les contenus client correspondent aux données que vous générez vous-même ou que vous nous fournissez, telles que les données stockées, les instantanés de disque et les stratégies IAM (Identity and Access Management). Ce document se concentre sur le chiffrement au repos par défaut pour vos contenus.

Les métadonnées client constituent le reste de vos données. Les métadonnées client peuvent inclure des numéros de projet générés automatiquement, des horodatages, des adresses IP, la taille en octets d'un objet ou le type de machine virtuelle. GDC protège les métadonnées à un niveau raisonnable pour assurer la continuité des performances et des opérations.