Google Distributed Cloud (GDC) 에어갭은 저장 데이터 암호화를 포함하는 포괄적인 보안 전략을 제공하여 공격자로부터 콘텐츠를 보호할 수 있도록 지원합니다. GDC는 사용자가 조치를 취하지 않아도 하나 이상의 암호화 메커니즘을 사용하여 저장된 콘텐츠를 암호화합니다. 이 문서에서는 GDC의 기본 저장 데이터 암호화에 대한 접근 방식과 이를 사용하여 정보를 더욱 안전하게 유지하는 방법을 설명합니다.
이 문서는 GDC를 사용하거나 고려하는 보안 설계자 및 보안팀을 대상으로 합니다. 이 문서에서는 대상 독자가 암호화 및 암호화 기본 요소에 대한 기본적인 지식이 있다고 가정합니다.
저장 데이터 암호화
GDC는 사용자가 조치를 취하지 않아도 하나 이상의 암호화 메커니즘을 사용하여 저장된 모든 고객 콘텐츠를 암호화합니다. 저장 데이터 암호화는 디스크(솔리드 스테이트 드라이브 포함) 또는 백업 미디어에 저장된 데이터를 보호하는 암호화입니다.
다음 섹션에서는 저장된 고객 데이터를 암호화하는 메커니즘을 설명합니다.
GDC 블록 스토리지 데이터는 FIPS 규격 140-2 자체 암호화 드라이브를 활용하여 하드웨어 수준에서 암호화됩니다. 자체 암호화 드라이브의 암호화 키는 외부 HSM에 저장되어 FIPS 140-3 규격의 저장 데이터 암호화를 제공합니다. 또한 블록 스토리지는 각 기본 블록 스토리지 데이터 볼륨을 고유한 XTS-AES-256 키로 암호화하는 추가 소프트웨어 수준 암호화 솔루션인 볼륨 암호화 (VE)를 구현합니다. 각 볼륨별 키는 외부 HSM에 저장됩니다.
키 관리 시스템
키 관리 시스템 (KMS)을 사용하면 자체 암호화 및 서명 키를 만들 수 있습니다. KMS를 사용하면 키를 생성하고 삭제할 수 있습니다. KMS는 이 페이지에 설명된 대로 저장 데이터 암호화와 관련이 없습니다.
루트 키는 저장 상태에서 암호화된 키를 래핑합니다. 키를 사용하여 워크로드를 암호화하거나 서명합니다.
고객 관리 암호화 키
저장 데이터를 보호하려면 고객 관리 암호화 키 (CMEK)를 사용하세요. CMEK를 사용하면 GDC에서 저장 데이터를 보호하는 키를 제어할 수 있습니다.
GDC 내에 저장된 모든 데이터는 GDC 배포에서 하드웨어 보안 모듈(HSM)이 보호하는 키를 사용하여 FIPS 140-2 검증 암호화 모듈로 저장 상태에서 암호화됩니다. 설정이나 구성이 필요하지 않습니다.
CMEK는 다음과 같은 이점을 제공합니다.
- 제어: 키 삭제 기능을 비롯하여 CMEK를 제어할 수 있습니다.
- 투명성: 암호화 프로세스를 감사하여 데이터가 잘 보호되는지 확인할 수 있습니다.
- 규정 준수: CMEK는 규정 준수 요구사항을 충족하는 데 도움이 될 수 있습니다.
CMEK 채택의 또 다른 이점은 데이터 유출 수정 및 온보딩 해제를 위한 고보증 데이터 삭제 방법인 암호화 삭제입니다. 보호하는 데이터의 대역 외에서 키를 삭제할 수 있습니다. 일련의 CMEK는 플랫폼 관리자가 필요에 따라 모니터링, 감사, 삭제할 수 있는 조직의 모든 데이터를 보호합니다. CMEK 키는 HSM API를 사용하여 관리할 수 있는 암호화 키입니다.
CMEK 지원 서비스
사용자가 GDC에서 블록 스토리지와 같은 CMEK 지원 데이터 저장소를 만들 때마다 사용자를 대신하여 CMEK가 자동으로 생성되며 플랫폼 관리자가 관리할 수 있게 됩니다. CMEK 순환을 지원하는 서비스는 CMEK 키 순환에 관한 서비스별 안내를 제공합니다. 이 프로세스에서는 데이터를 새 인스턴스에 복사해야 할 수 있습니다.
다음 GDC 서비스는 CMEK를 지원합니다.
- 블록 스토리지: 플랫폼 관리자가 관리하는 키로 각 블록 스토리지 기기를 암호화합니다.
- 가상 머신 (VM) 디스크
- 데이터베이스 서비스: 데이터베이스 인스턴스는 플랫폼 관리자가 관리하는 키를 사용하여 데이터를 주로 저장합니다. 데이터베이스 백업은 CMEK 범위에 포함되지 않으며 백업의 스토리지 시스템의 암호화 설정으로 암호화됩니다.
- 사용자 컨테이너 워크로드: 플랫폼 관리자가 관리하는 키로 Kubernetes 메타데이터인
ETCD클러스터를 암호화합니다. - 스토리지: 버킷 수준 KMS AEAD 키로 래핑된 고유한 AES-256-GCM 데이터 암호화 키로 각 객체를 암호화합니다.
저장 데이터 암호화를 통한 데이터 보안
암호화에는 다음과 같은 이점이 있습니다.
- 데이터가 공격자의 손에 들어가더라도 공격자가 암호화 키에 액세스하지 못하면 데이터를 읽을 수 없게 됩니다. 공격자가 고객 데이터가 포함된 스토리지 기기를 입수하더라도 데이터를 이해하거나 복호화할 수 없습니다.
- 하드웨어 및 소프트웨어 스택의 하위 레이어를 잘라내어 공격 영역을 줄입니다.
- 중앙에서 관리되는 암호화 키가 데이터 액세스를 시행하고 감사를 방지하는 단일 지점을 만들기 때문에 정체 현상을 만드는 역할을 합니다.
- 공격 표면을 줄입니다. 예를 들어 기업에서 모든 데이터를 보호할 필요 없이 암호화 키에 집중할 수 있습니다.
- 사용자에게 중요한 개인 정보 보호 메커니즘을 제공합니다. GDC가 저장 데이터를 암호화하면 시스템 및 엔지니어가 데이터에 액세스할 수 있는 권한이 제한됩니다.
고객 데이터
고객 데이터는 고객 또는 최종 사용자가 자신의 계정으로 서비스를 통해 GDC에 제공하는 데이터입니다. 고객 데이터에는 고객 콘텐츠 및 메타데이터가 포함됩니다.
고객 콘텐츠는 사용자가 직접 생성하거나 Google에 제공하는 데이터(예: 저장된 데이터, 디스크 스냅샷, ID 및 액세스 관리(IAM) 정책)입니다. 이 문서에서는 콘텐츠의 기본 저장 데이터 암호화에 대해 설명합니다.
고객 메타데이터는 나머지 데이터를 구성합니다. 고객 메타데이터에는 자동 생성된 프로젝트 번호, 타임스탬프, IP 주소, 객체의 바이트 크기 또는 가상 머신 유형이 포함될 수 있습니다. GDC는 지속적인 성능 및 운영을 위해 합리적인 수준으로 메타데이터를 보호합니다.