Certification FIPS 140-2

Développée par le National Institute of Standards and Technology (NIST), la norme FIPS (Federal Information Processing Standard) 140-2 est une norme de sécurité qui définit les exigences concernant les modules de chiffrement du matériel, des logiciels et/ou des micrologiciels. Elle est destinée aux organismes fédéraux des États-Unis. La certification FIPS 140-2 a été mise en place pour contribuer à la protection des informations non classifiées, mais sensibles, stockées numériquement.

Dans notre environnement de production sur Google Cloud, nous utilisons un module de chiffrement certifié FIPS 140-2 appelé BoringCrypto (certificat 4407). Cela signifie que les données au repos comme les données en transit vers le client et entre les centres de données sont sécurisées à l'aide d'un chiffrement certifié FIPS 140-2. Le module qui a obtenu cette certification FIPS 140-2 fait partie de notre bibliothèque BoringSSL.

Si vous souhaitez effectuer des opérations uniquement à l'aide de mises en œuvre certifiées FIPS, gardez en tête les points suivants :

• Google chiffre automatiquement le trafic entre VM qui transite par ses centres de données avec le chiffrement certifié FIPS 140-2.
• Le produit de stockage SSD local de Google est automatiquement chiffré à l'aide d'algorithmes approuvés par le NIST. Cependant, la mise en œuvre actuelle de ce produit n'est pas certifiée FIPS 140-2. Si vous avez besoin d'un chiffrement certifié FIPS pour votre stockage SSD local, vous devez mettre en place votre propre chiffrement avec un module certifié FIPS.
• Lorsque vos clients se connectent à l'infrastructure Google, ils doivent configurer leurs clients TLS de sorte que l'utilisation d'algorithmes sécurisés conformes à la norme FIPS soit obligatoire. Si le client TLS et les services TLS de Google Cloud optent pour une méthode de chiffrement incompatible avec cette norme, c'est une mise en œuvre de chiffrement non certifiée qui est utilisée.
• Les applications que vous créez et exécutez sur Google Cloud peuvent inclure leurs propres processus de chiffrement. Si vous souhaitez sécuriser les données qu'elles traitent à l'aide d'un module de chiffrement certifié FIPS, vous devez intégrer vous-même cette mise en œuvre.

Toutes les régions et les zones Google Cloud sont actuellement compatibles avec le chiffrement certifié FIPS 140-2.