Google Distributed Cloud (GDC) dengan air gap menyediakan strategi keamanan komprehensif yang mencakup enkripsi dalam penyimpanan, yang membantu melindungi konten Anda dari penyerang. GDC mengenkripsi konten Anda dalam penyimpanan, tanpa perlu tindakan apa pun dari Anda, menggunakan satu atau beberapa mekanisme enkripsi. Dokumen ini menjelaskan pendekatan terhadap enkripsi dalam penyimpanan default untuk GDC, dan cara menggunakannya untuk menjaga informasi Anda lebih aman.
Dokumen ini ditujukan untuk arsitek keamanan dan tim keamanan yang menggunakan atau mempertimbangkan GDC. Dokumen ini mengasumsikan pemahaman dasar tentang enkripsi dan primitif kriptografi.
Enkripsi dalam penyimpanan
GDC mengenkripsi semua konten pelanggan yang tersimpan dalam status nonaktif, tanpa perlu tindakan apa pun dari Anda, menggunakan satu atau beberapa mekanisme enkripsi. Enkripsi dalam penyimpanan adalah enkripsi yang melindungi data yang disimpan di disk, termasuk solid-state drive, atau media cadangan.
Bagian berikut menjelaskan mekanisme untuk mengenkripsi data pelanggan dalam penyimpanan.
Data GDC Block Storage Dienkripsi di level hardware dengan memanfaatkan Self-Encrypting Drive yang Sesuai dengan FIPS 140-2. Kunci Enkripsi untuk Self-Encrypting Drive disimpan di HSM eksternal, sehingga memberikan penyimpanan dalam penyimpanan yang sesuai dengan FIPS 140-3. Selain itu, Block Storage juga menerapkan solusi enkripsi tingkat software tambahan, Enkripsi Volume (VE), yang mengenkripsi setiap volume data block storage yang mendasarinya dengan kunci XTS-AES-256 yang unik, dengan setiap kunci khusus volume disimpan di HSM eksternal.
Sistem pengelolaan kunci
Sistem pengelolaan kunci (KMS) memungkinkan Anda membuat kunci penandatanganan dan enkripsi Anda sendiri. Dengan KMS, Anda dapat membuat, dan menghapus kunci. KMS tidak terlibat dalam enkripsi saat istirahat seperti yang dijelaskan di halaman ini.
Kunci root menggabungkan kunci, yang dienkripsi dalam penyimpanan. Anda menggunakan kunci untuk mengenkripsi atau menandatangani workload Anda.
Kunci enkripsi yang dikelola pelanggan
Untuk melindungi data Anda dalam penyimpanan, gunakan kunci enkripsi yang dikelola pelanggan (CMEK). CMEK memberi Anda kontrol atas kunci yang melindungi data Anda dalam penyimpanan di GDC.
Semua data yang disimpan dalam GDC dienkripsi dalam penyimpanan dengan modul kriptografi yang divalidasi FIPS 140-2 oleh kunci yang dilindungi Modul Keamanan Hardware (HSM) dalam deployment GDC Anda. Tidak diperlukan penyiapan atau konfigurasi.
CMEK menawarkan keuntungan berikut:
- Kontrol: Anda memiliki kontrol atas CMEK, termasuk kemampuan untuk menghapus kunci.
- Transparansi: Anda dapat mengaudit proses enkripsi untuk memastikan data Anda terlindungi dengan baik.
- Kepatuhan: CMEK dapat membantu Anda memenuhi persyaratan kepatuhan.
Keuntungan lain dari penggunaan CMEK adalah penghapusan kriptografi, yaitu metode penghancuran data dengan jaminan tinggi untuk remediasi dan penghentian penggunaan data yang bocor. Anda dapat menghapus kunci di luar band data yang dilindunginya. Serangkaian CMEK melindungi semua data di organisasi Anda yang dapat dipantau, diaudit, dan dihapus oleh Administrator Platform Anda sesuai kebutuhan. Kunci CMEK adalah kunci enkripsi yang dapat Anda kelola menggunakan HSM API.
Layanan yang didukung CMEK
Setiap kali pengguna membuat datastore yang didukung CMEK di GDC, seperti penyimpanan blok, CMEK akan otomatis dibuat atas nama pengguna dan tersedia bagi Administrator Platform untuk dikelola. Layanan yang mendukung rotasi CMEK memberikan petunjuk khusus layanan untuk merotasi kunci CMEK. Proses ini mungkin memerlukan penyalinan data ke instance baru.
Layanan GDC berikut mendukung CMEK:
- Penyimpanan blok: Mengenkripsi setiap perangkat penyimpanan blok dengan kunci yang dikelola oleh Administrator Platform.
- Disk mesin virtual (VM).
- Layanan Database: Instance database Anda terutama menyimpan datanya dengan kunci yang dikelola oleh Administrator Platform. Cadangan untuk database Anda tidak termasuk dalam cakupan CMEK dan dienkripsi dengan setelan enkripsi sistem penyimpanan cadangan Anda.
- Workload container pengguna: Mengenkripsi metadata Kubernetes, cluster
ETCDdengan kunci yang dikelola oleh Administrator Platform. - Penyimpanan: Mengenkripsi setiap objek dengan kunci enkripsi data AES-256-GCM unik yang dienkripsi oleh kunci AEAD KMS tingkat bucket.
Enkripsi dalam penyimpanan untuk mengamankan data
Enkripsi memiliki manfaat berikut:
- Memastikan bahwa jika data jatuh ke tangan penyerang, penyerang tidak dapat membaca data tanpa memiliki akses ke kunci enkripsi juga. Meskipun penyerang mendapatkan perangkat penyimpanan yang berisi data pelanggan, mereka tidak akan dapat memahami atau mendekripsi data tersebut.
- Mengurangi permukaan serangan dengan memotong lapisan bawah stack hardware dan software.
- Berfungsi sebagai chokepoint karena kunci enkripsi yang dikelola secara terpusat membuat satu tempat untuk menerapkan akses ke data dan mencegah pengauditan.
- Mengurangi permukaan serangan. Misalnya: alih-alih melindungi semua data, bisnis dapat memfokuskan strategi perlindungan mereka pada kunci enkripsi.
- Menyediakan mekanisme privasi yang penting bagi Anda. Saat GDC mengenkripsi data dalam penyimpanan, akses yang dimiliki sistem dan engineer ke data akan dibatasi.
Data pelanggan
Data pelanggan adalah data yang diberikan pelanggan atau pengguna akhir kepada GDC melalui layanan yang terkait dengan akun pelanggan. Data pelanggan mencakup konten dan metadata pelanggan.
Konten pelanggan adalah data yang Anda buat sendiri atau Anda berikan kepada kami, seperti data tersimpan, snapshot disk, dan kebijakan Identity and Access Management (IAM). Dokumen ini berfokus pada enkripsi default dalam penyimpanan untuk konten Anda.
Metadata pelanggan merupakan seluruh data Anda. Metadata pelanggan dapat mencakup nomor project yang dihasilkan secara otomatis, stempel waktu, alamat IP, ukuran byte objek, atau jenis mesin virtual. GDC melindungi metadata hingga suatu tingkat yang wajar untuk mendukung performa dan operasi yang berkelanjutan.