Architettura di Cloud HSM

Questi contenuti sono stati aggiornati l'ultima volta a novembre 2023 e rappresentano lo status quo del tempo in cui è stato scritto. Le norme e i sistemi di sicurezza di Google potrebbero cambiare in futuro, grazie al costante miglioramento della protezione per i nostri clienti.

Per aiutarti a rispettare le normative aziendali e di conformità, Cloud HSM ti consente si generano le chiavi di crittografia ed esegui operazioni crittografiche in FIPS 140-2 Moduli di sicurezza hardware (HSM) certificati di livello 3.

Questo documento descrive l'architettura di Cloud HSM, incluso il modo in cui viene gestito e le chiavi vengono attestate e create.

Panoramica

Le operazioni di crittografia includono la crittografia dei dati at-rest, la protezione e private di chiavi private Certificate Authority Service, e alla protezione delle chiavi di crittografia dei dati, ai dati criptati. Cloud HSM utilizza i modelli Marvell LiquidSecurity HSM (modelli). CNL3560-NFBE-2.0-G e CNL3560-NFBE-3.0-G) con le versioni firmware 3.4 build 09. Per ulteriori informazioni sulla nostra certificazione, vedi Certificato n. 4399.

Cloud HSM è completamente gestito per consentirti di proteggere i tuoi carichi di lavoro senza l'overhead operativo associato alla gestione di un cluster HSM. Il servizio offre i seguenti vantaggi:

  • Disponibilità a livello globale
  • Un'API coerente e unificata
  • Scalabilità automatica in base all'utilizzo
  • Gestione centralizzata e conformità normativa

Cloud HSM è disponibile in ogni regione Google Cloud del mondo, incluse regioni multiple che coprono aree geografiche più ampie. Quando attivi Cloud HSM, puoi creare e utilizzare chiavi supportate da HSM per proteggere i tuoi dati, inclusi i dati archiviati in altri servizi Google Cloud, come BigQuery, Cloud Storage e Persistent Disk.

Poiché Cloud HSM e l'hardware HSM sono gestiti da Google, gestire le chiavi supportate da HSM in produzione. Quando utilizzi Cloud HSM, i tuoi dati sono rigorosamente isolati dagli altri tenant e in Google Cloud. L'API del piano dati Cloud HSM, che fa parte del L'API Cloud Key Management Service consente di gestire le chiavi supportate da HSM in modo programmatico.

Cloud HSM supporta il supporto di HSM chiavi di crittografia gestite dal cliente (CMEK) ovunque siano supportate le chiavi CMEK in Google Cloud. Ad esempio, puoi per criptare i dati nei bucket Cloud Storage o nelle tabelle Cloud SQL utilizzando Chiave Cloud HSM che gestisci.

Gestione di Cloud HSM

All'interno di Cloud HSM, i cluster di HSM sono gestiti da Google. tecnici della Site Reliability Engineering (SRE) e tecnici che lavorano in ogni progetto Google Cloud della località del data center. Google gestisce la sicurezza fisica, la sicurezza logica infrastruttura, pianificazione della capacità, espansione geografica e data center la pianificazione del ripristino di emergenza.

Astrazione dell'hardware HSM

In genere, le applicazioni comunicano direttamente con gli HSM utilizzando sia PKCS#11 che un l'API di gestione dei cluster. Questa comunicazione richiede che tu mantenga per carichi di lavoro che utilizzano o gestiscono chiavi supportate da HSM.

Cloud HSM astrae la comunicazione da HSM tramite proxying di chiavi supportate da HSM tramite l'API Cloud Key Management Service. L'astrazione riduce la necessità di un codice specifico per HSM. Cloud HSM eredita una stretta integrazione con Cloud KMS.

La stretta integrazione con Cloud KMS garantisce una sicurezza sostanziale vantaggi dell'IA. L'API Cloud Key Management Service riduce significativamente la portata dell'interfaccia HSM disponibili, riducendo i rischi nel caso di una violazione della sicurezza del cliente. Ad esempio: un aggressore non sarebbe in grado di cancellare tutti i moduli HSM. Per impostazione predefinita, i tentativi di eliminazione le singole chiavi vengono ridotte attraverso un periodo di sicurezza predefinito di 24 ore. Puoi impostare constraints/cloudkms.minimumDestroyScheduledDuration criterio dell'organizzazione per applica una durata minima per la durata dell'eliminazione pianificata dei nuovi e il criterio dell'organizzazione constraints/cloudkms.disableBeforeDestroy per ed eliminare le versioni delle chiavi solo quando sono disabilitate. Per ulteriori informazioni, vedi Eliminazione della versione della chiave di controllo.

Puoi controllare l'accesso alle risorse HSM utilizzando Identity and Access Management (IAM). della configurazione IAM ha meno probabilità errori di configurazione e bug rispetto a una soluzione HSM personalizzata.

Diagramma dell'architettura di Cloud HSM.

Rigorosa separazione geografica, per progettazione

In Cloud HSM puoi scegliere di rendere disponibili le chiavi a livello globale oppure applicare rigide restrizioni geografiche sulle chiavi che richiedono restrizioni.

Spesso i moduli HSM sono suddivisi in partizioni, in modo che un singolo dispositivo fisico possa funzionano come più dispositivi logici. Potresti usare le partizioni per ridurre nei casi in cui sia necessario separare l'amministrazione HSM chiave.

Ogni località regionale di Cloud HSM è associata a un wrapping separato chiave. La chiave di wrapping viene clonata su una partizione in ogni HSM nella posizione, ma non lascia mai l'HSM nella posizione. La clonazione consente agli HSM nella stessa regione per gestire lo stesso set di chiavi del cliente e garantisce che i moduli HSM al di fuori della regione non possono gestire quelle chiavi.

Cloud HSM crea anche più regioni utilizzando chiavi di wrapping. Tutti i clienti il wrapping delle chiavi per più regioni viene eseguito utilizzando una chiave di wrapping presente su una partizione in tutte le località che compongono la località multiregionale. Il servizio utilizza il parametro lo stesso hardware per più regioni, ma offre lo stesso forte isolamento tra tra regioni e regioni multiple esistenti tra regioni diverse.

Diagramma dell'area geografica di Cloud HSM.

Lo schema di regionalizzazione richiede che le chiavi di wrapping vengano replicate solo le partizioni appropriate. Ogni modifica alla configurazione deve essere approvata da più del team Cloud HSM prima che diventi attivo. Data center i tecnici non possono accedere a una configurazione, un runtime o uno spazio di archiviazione HSM sul campo.

Gestione centralizzata

In un data center tradizionale che ospita i moduli HSM, la gestione dei moduli HSM e dei loro è completamente separata dalla gestione di altre risorse crittografiche. Cloud HSM è strettamente integrato in Google Cloud, consentendoti di per gestire facilmente le risorse Cloud HSM. Ad esempio, puoi gestire le seguenti:

  • Puoi gestire le risorse supportate da HSM insieme alle altre chiavi in Cloud KMS e chiavi gestite esternamente Cloud External Key Manager (Cloud EKM).
  • Puoi gestire l'accesso alle risorse supportate da HSM all'interno di IAM.
  • Il reporting dei costi per le operazioni di crittografia che utilizzano chiavi supportate da HSM sono riportate in fatturazione Cloud.
  • Puoi utilizzare chiavi supportate da HSM in modo trasparente in tutti i servizi Google Cloud che e la crittografia delle risorse tramite CMEK. Le integrazioni CMEK richiedono la chiave CMEK e i dati criptati in località geografiche compatibili. A causa delle rigide regole geografiche delle chiavi Cloud HSM, tutta la crittografia e la decrittografia anche i dati CMEK sono limitati a livello geografico.
  • Le operazioni amministrative sulle risorse supportate da HSM vengono sempre registrate il livello API in Cloud Audit Logs. Puoi scegliere di abilitare l'accesso ai dati nel logging. Per ulteriori informazioni, vedi Informazioni sugli audit log di Cloud KMS.
  • Google collabora direttamente con il produttore di HSM per mantenere l'hardware e il software aggiornato su ogni HSM aggiornato e di trovare e risolvere i problemi in tempo reale. Nella in caso di exploit zero-day sull'HSM, Google può disattivare in modo selettivo percorsi del codice interessati sui cluster HSM interessati fino a quando l'exploit non viene corretto.

Esperienza di sviluppo e utente

Poiché Google è responsabile della gestione dei moduli HSM, Cloud HSM offre vantaggi significativi per sviluppatori e utenti finali.

HSM su scala Google

Quando fai affidamento su hardware esistente on-premise o nei data center, dell'hardware in grado di creare un collo di bottiglia delle prestazioni errore. Cloud HSM è progettato per essere estremamente resiliente e carichi di lavoro imprevedibili e guasti hardware. Backend di Cloud HSM utilizza un pool di moduli HSM in ogni regione per garantire disponibilità elevata e scalabilità. Questo pool di moduli HSM consente Cloud HSM offre inoltre una velocità effettiva elevata. Per ulteriori informazioni, vedi Monitora e regola le quote di Cloud KMS.

Tutte le chiavi dei clienti vengono archiviate insieme a una chiave di wrapping regionale e il database Cloud KMS può essere decriptato solo da un HSM nella regione in di un'operazione crittografica. Questo wrapping offre i seguenti vantaggi:

  • La durabilità di una chiave non è legata a un HSM specifico o a un sottoinsieme di HSM in un regione.
  • Ogni cliente di Cloud HSM sperimenta la scalabilità completa e la disponibilità dei cluster Cloud HSM che gestiscono le chiavi.
  • Cloud HSM può gestire un set di chiavi molto più ampio che è possibile archiviare su un HSM.
  • L'aggiunta o la sostituzione di un HSM è rapida e sicura.

Progettazione unificata delle API

Cloud HSM e Cloud KMS condividono una gestione e dati comuni l'API plane. I dettagli interni della comunicazione con un HSM sono astratti l'utente.

Di conseguenza, non sono necessarie modifiche al codice per aggiornare un'applicazione esistente che utilizza chiavi software in Cloud KMS per supportare chiavi supportate da HSM. Aggiorna invece il nome risorsa della chiave da utilizzare.

Supporto di PKCS#11

Puoi utilizzare l'API Cloud Key Management Service per connettere le applicazioni esistenti a Cloud HSM per gestire le chiavi di crittografia. La Libreria PKCS#11 consente di utilizzare chiavi supportate da HSM per firmare i tuoi file binari e pubblicare sessioni web TLS.

Conformità alle normative e alla sicurezza

Cloud HSM ha ottenuto la conformità a numerose normative, tra cui: FedRAMP High, C5:2020 e OSPAR. Inoltre, Cloud HSM ti aiuta ad applicare la conformità normativa per i tuoi carichi di lavoro in nel cloud.

Attestazione chiave di crittografia

Ogni volta che generi o importi una chiave Cloud HSM, l'HSM genera un dichiarazione di attestazione firmato con una chiave di firma associata alla partizione. La contiene informazioni sugli attributi della chiave. La chiave di firma è supportate da catene di certificati radicate sia in Google che nel produttore HSM. Tu può scaricare la dichiarazione di attestazione e i certificati per verificare l'autenticità dell'istruzione e convalidare le proprietà della chiave e del modulo HSM generato o importato.

La catena di certificati consente di verificare quanto segue:

  • L'hardware e il firmware HSM sono originali.
  • La partizione HSM e i moduli HSM sono gestiti da Google.
  • L'HSM è in modalità operativa FIPS.

I contenuti della dichiarazione di attestazione ti consentono di verificare quanto segue:

  • La chiave non è estraibile.
  • La chiave è stata generata per la tua CryptoKeyVersion.
  • La chiave pubblica in una coppia di chiavi asimmetrica corrisponde a una chiave supportata da HSM chiave privata.
  • Il materiale della chiave di una chiave simmetrica importata corrisponde al valore aggregato.

Proteggi l'importazione delle chiavi direttamente negli HSM

Puoi importare in modo sicuro le chiavi esistenti in Cloud HSM per mantenere un backup del materiale delle chiavi al di fuori di Google Cloud o per semplificare la migrazione di carichi di lavoro in Google Cloud. Il processo di importazione della chiave non consente a Google accesso diretto al materiale della chiave unwrapped. Cloud HSM offre un'esperienza di attestazione della chiave di wrapping generata da HSM per convalidare che che è stato eseguito l'accesso.

Poiché l'importazione delle chiavi crea potenzialmente rischi per la sicurezza e la conformità, agli utenti di trasferire chiavi da origini sconosciute, ruoli IAM separati consentono un controllo granulare su chi può importare le chiavi in un progetto. Importato le chiavi possono essere distinte dall'istruzione di attestazione generata da HSM per l'importazione.

Per ulteriori informazioni, vedi Importazione di una chiave in Cloud Key Management Service.

Rigide procedure di sicurezza salvaguardano l'hardware HSM

Come richiesto dallo standard FIPS 140-2 livello 3, i dispositivi HSM sono dotati di meccanismi integrati per proteggere da manomissioni fisiche e fornire prove di queste.

Oltre alle garanzie fornite dall'hardware HSM stesso, dell'infrastruttura per Cloud HSM è gestita in base Panoramica sulla progettazione della sicurezza dell'infrastruttura Google.

Procedure documentate e controllabili proteggono l’integrità di ogni HSM durante su provisioning, deployment e produzione:

  • Tutte le configurazioni HSM devono essere verificate da più SRE di Cloud HSM prima che possa essere eseguito il deployment dell'HSM in un data center.
  • Una volta messo in servizio un HSM, la modifica della configurazione può essere avviato e verificato da più SRE di Cloud HSM.
  • Un HSM può ricevere solo il firmware firmato dal relativo produttore.
  • L'hardware HSM non è esposto direttamente a nessuna rete.
  • Ai server che ospitano hardware HSM viene impedita l'esecuzione non autorizzata i processi di machine learning.

I compiti degli operatori di sistema sono definiti nelle procedure operative standard. Agli operatori di sistema non è consentito accedere, utilizzare o estrarre la chiave del cliente materiale nell'espletamento delle loro mansioni.

Isolamento di servizi e tenant

L'architettura di Cloud HSM garantisce che i moduli HSM siano protetti interferenze dannose o involontarie di altri servizi o tenant.

Un HSM che fa parte di questa architettura accetta solo richieste da Cloud HSM e il servizio Cloud HSM accettano solo richieste. da Cloud KMS. Cloud KMS impone che i chiamanti le autorizzazioni IAM appropriate per le chiavi che tentano di utilizzare. Le richieste non autorizzate non raggiungono i moduli HSM.

Le chiavi supportate da HSM sono inoltre soggette alle quote per le operazioni crittografiche. Queste quote proteggono la tua capacità di eseguire carichi di lavoro per prevenire tentativi involontari o dannosi di sovraccaricare il servizio. Le quote predefinite, 3000 QPM per la crittografia asimmetrica e 30.000 QPM per operazioni crittografiche simmetriche, si basano su modelli di utilizzo osservati. Le quote sono significativamente al di sotto della capacità di servizio e possono essere aumentati su richiesta.

Flussi di richiesta

Questa sezione illustra come si applicano le caratteristiche principali dell'architettura sopra descritte. mostrando i passaggi per i diversi tipi di richiesta. Questi flussi enfatizza le parti di Cloud HSM. Per ulteriori informazioni sui passaggi comuni a tutte le chiavi, consulta le Approfondimento su Cloud Key Management Service.

Creazione di chiavi

Quando crei una chiave supportata da HSM, l'API Cloud Key Management Service non crea la chiave materiale, ma richiede all'HSM di crearlo.

Un HSM può creare chiavi solo nelle località che supporta. Ogni partizione su HSM contiene una chiave di wrapping corrispondente a una località di Cloud KMS. La chiave di wrapping è condivisa tra tutte le partizioni che supportano Cloud KMS in ogni località. Il processo di creazione della chiave è simile al seguente:

  1. Il servizio di Google Front End (GFE) instrada la richiesta di creazione della chiave a una Server Cloud KMS nella località corrispondente alla richiesta.
  2. L'API Cloud Key Management Service verifica l'identità del chiamante, per creare chiavi nel progetto e che il chiamante per le richieste di scrittura.
  3. L'API Cloud Key Management Service inoltra la richiesta a Cloud HSM.
  4. Cloud HSM si interfaccia direttamente con l'HSM. L'HSM:
    1. Crea la chiave e la aggrega con la chiave di wrapping specifica della località.
    2. Crea la dichiarazione di attestazione per la chiave e la firma con la chiave di firma della partizione.
  5. Dopo che Cloud HSM restituisce la chiave sottoposta a wrapping e l'attestazione a Cloud KMS, l'API Cloud Key Management Service esegue il wrapping della chiave con wrapping HSM in base gerarchia delle chiavi di Cloud KMS, quindi la scrive nel progetto.

Questo design garantisce che non sia possibile annullare il wrapping della chiave o utilizzarla al di fuori di un HSM. non può essere estratto dall'HSM ed esiste nel suo stato di unwrapping solo all'interno località specificate.

Il seguente diagramma mostra le differenze durante la creazione di Cloud HSM e chiavi software in Cloud KMS.

Diagramma di creazione delle chiavi HSM.

Operazioni crittografiche

Quando esegui un'operazione crittografica in Cloud KMS, non è necessario se stai utilizzando una chiave software o supportata da HSM. Quando L'API Cloud Key Management Service rileva che un'operazione riguarda una chiave supportata da HSM e inoltra la a un HSM nella stessa località. Di seguito sono riportati i passaggi da seguire per operazione crittografica:

  1. Il GFE instrada la richiesta a un Cloud KMS server nella posizione appropriata. La L'API Cloud Key Management Service verifica l'identità del chiamante, ovvero la sua autorizzazione a accedere alla chiave ed eseguire l'operazione, nonché la quota le operazioni crittografiche.
  2. L'API Cloud Key Management Service recupera la chiave con wrapping dal datastore e decripta un livello di crittografia con la chiave master di Cloud KMS. La chiave è ancora sottoposta a wrapping con la chiave di wrapping di HSM per la località KMS.
  3. L'API Cloud Key Management Service rileva che il livello di protezione è HSM e invia la chiave parzialmente decriptata, insieme agli input nella a Cloud HSM.
  4. Cloud HSM si interfaccia direttamente con l'HSM. L'HSM completa le seguenti operazioni:
    1. Controlla che la chiave sottoposta a wrapping e i relativi attributi non siano stati modificati.
    2. Annulla il wrapping della chiave e la carica nell'archiviazione HSM.
    3. Esegue l'operazione crittografica e restituisce il risultato.
  5. L'API Cloud Key Management Service ritrasmette il risultato al chiamante.

Le operazioni di crittografia che utilizzano chiavi supportate da HSM vengono eseguite interamente all'interno di un HSM nella località configurata e solo il risultato è visibile al chiamante.

Questo diagramma mostra la differenza tra la creazione di chiavi Cloud HSM in Cloud KMS.

Diagramma delle operazioni di crittografia HSM.

Integrazioni CMEK

CMEK e Cloud HSM insieme ti consentono di Proteggi i tuoi dati in servizi Google Cloud selezionati con chiavi HSM. La configurazione di un Servizio abilitato per CMEK per utilizzare le chiavi Cloud HSM è semplice come scegliere una chiave con un HSM di protezione standard se segui le istruzioni specifiche del servizio.

Quando un chiamante legge o scrive dati in un servizio abilitato per CMEK, non necessita dell'autorizzazione diretta per utilizzare la chiave e il chiamante non ha bisogno di sapere se la chiave è archiviata o meno in un HSM.

Il flusso per un'operazione CMEK è molto simile a quello per una normale operativa con le seguenti eccezioni:

  • La richiesta dal servizio abilitato per CMEK viene avviata all'interno del e non deve attraversare il GFE.
  • L'API Cloud Key Management Service verifica che l'account di servizio per la CMEK abilitata del servizio dispone delle autorizzazioni appropriate per utilizzare la chiave. L'API Cloud Key Management Service non convalidare le autorizzazioni per l'utente finale del servizio abilitato per CMEK.

Cloud HSM è Key Management Service hardware di Google Cloud. Offre un numero di vantaggi distinti per gli utenti che vogliono proteggere i propri dati at-rest con HSM chiave. Il servizio è stato progettato sulla base dei principi dell'accesso bloccato all'API per gli HSM, la scalabilità semplificata e la rigorosa regionalizzazione delle chiavi.

Cloud HSM offre supporto CMEK-per i servizi e i servizi presenza di Cloud HSM in ogni regione Google Cloud (incluse regioni multiple e globale). La è progettato per semplificare la protezione dei tuoi dati sensibili, ovunque si trovi, con una chiave protetta da dispositivi FIPS 140-2 Livello 3.

Passaggi successivi

Per ulteriori informazioni, consulta le seguenti risorse: