FIPS 140 요구사항

미국 국립표준기술연구소(NIST)는 미국 연방 정보 처리 표준(FIPS) 발표문 시리즈 140을 발행하여 미국 및 캐나다 정부의 부처와 기관이 민감한 정보를 보호하기 위해 사용하는 하드웨어 및 소프트웨어 구성요소를 포함하는 암호화 모듈의 요구사항과 표준을 조정합니다.

FIPS 140 규정 준수

클라우드 서비스 제공업체(CSP)는 미국 및 캐나다 정부와 계약업체 및 공급업체의 클라우드 컴퓨팅 요구사항을 충족하기 위해 FIPS 보안 제어를 구현해야 합니다. FIPS 발표문 140은 보안 요구사항을 충족하기 위한 메커니즘으로 암호화를 사용하는 경우 암호화 모듈 검증 프로그램(CMVP)에 따라 FIPS 검증을 받아야 한다고 규정합니다.

최신 FIPS 발표문 시리즈 140은 세 번째 개정판으로서 일반적으로 FIPS 140-3으로 불립니다. NIST는 FIPS 140-2에서 140-3 표준으로 마이그레이션하기 위한 전환 로드맵을 발표했으며 Google은 이러한 전환을 위해 최선을 다하고 있습니다. 2022년 9월부터 Google의 모든 신규 모듈 FIPS 140 제출물은 140-3 표준에 따라 제출되었습니다. CMVP 가이드에 따르면 FIPS 140 검증의 범위는 개별 클라우드 서비스가 아닌 암호화 모듈입니다. Google Cloud 서비스는 기본 FIPS 140 검증 암호화 모듈을 사용하여 규정 준수를 달성합니다.

Google Cloud의 FIPS 140 암호화 개요

Google Cloud는 저장 데이터, Google 데이터 센터 간 전송 중 데이터, 외부 클라이언트-Google 통신 채널에 FIPS 검증 암호화 모듈을 사용하여 글로벌 인프라 전반에서 고객 데이터를 보호합니다.

• BoringCrypto 모듈(BCM): OpenSSL에서 파생된 오픈소스 암호화 라이브러리인 BoringSSL 내에 있는 Google의 핵심 오픈소스 FIPS 140 검증 암호화 모듈입니다 BoringCrypto는 기본 Google Cloud 서비스 전반에서 저장 데이터 및 전송 중인 데이터 암호화를 지원하는 기본 소프트웨어 암호화 엔진 역할을 합니다.
• 하드웨어 보안 모듈(HSM): FIPS 140-2/FIPS 140-3 Level 3까지 검증된 전용 물리적 암호화 하드웨어입니다. Google Cloud 고객은 Cloud HSM을 활용하여 Google HSM 클러스터에 액세스할 수 있습니다.

NIST FIPS 140-2 지원 종료 타임라인

NIST의 전환 일정에 따라 모든 활성 FIPS 140-2 인증서는 2026년 9월 21일에 CMVP 이전 목록으로 이동되었습니다. NIST 및 CMVP 정책에 따라 다음을 준수해야 합니다.

• '이전' 상태로 전환되는 것은 표준 버전의 지원 종료를 반영하는 것이며 취소나 보안 취약점이 아닙니다.
• 연방 기관과 규제 대상 고객은 이전 FIPS 140-2 모듈을 유지하는 기존 시스템을 계속 운영하고 활용할 수 있습니다.

BoringCrypto에 대한 Google의 롤링 검증 수명 주기

Google Cloud는 암호화 모듈의 주기적인 재검증 및 업데이트를 의무화하는 FedRAMP 암호화 모듈 선택 및 사용 정책을 준수합니다. Google은 모든 클라우드 네이티브 서비스를 단일 정적 버전에 바인딩하는 대신 FIPS 140-3에 따라 BoringCrypto에 대한 지속적인 롤링 검증 수명 주기를 유지합니다. 이러한 서비스가 업데이트됨에 따라 시간이 지남에 따라 또는 다양한 백엔드 구성요소에서 검증된 다양한 BoringCrypto 빌드를 활용할 수 있습니다. Google은 이 정책을 일관되게 구현하여 FIPS 암호화 인증이 필요한 다른 지침(CJIS, ITAR, DoD IL4 및 IL5, IRS 1075, JISF, Protected B 포함)에도 업데이트 스트림 모델을 적용합니다.

• FIPS 140-2(인증서 #4407): BoringCrypto - 이전(2026년 9월 21일 기준)
• FIPS 140-3(인증서 #4735): BoringCrypto - 활성(2024년 7월 검증)
• FIPS 140-3(인증서 #5104): BoringCrypto - 활성(2025년 12월 검증)
• FIPS 140-3(인증서 #5244): BoringCrypto - 활성(2026년 4월 검증)
• FIPS 140-3(인증서 #5296): BoringCrypto - 활성(2026년 6월 검증)

(Google의 활성 CMVP 검증 BoringCrypto 빌드의 전체 목록을 보려면 CMVP 데이터베이스를 검색하여 Google을 공급업체로, BoringCrypto를 모듈 이름으로 선택하세요.)

Google Cloud는 내부 기준 서비스 바이너리를 이러한 활성 FIPS 140-3 검증 빌드로 점진적으로 업데이트하여 브레이킹 체인지나 서비스 중단 없이 기본 플랫폼 서비스 전반에서 지속적인 암호화 보호를 보장합니다.

FIPS 암호화에 대한 공동 책임 모델

FIPS 140에 따른 암호화 규정 준수는 Google Cloud와 고객 간의 공동 책임 모델에 의해 관리됩니다.

Google Cloud의 책임('클라우드 자체에 대한 보안')

• 물리적 및 데이터 센터 간 보안: Google의 비공개 글로벌 광섬유 네트워크를 통해 전송 중인 데이터를 암호화합니다.
• 기본 관리형 서비스: Google Cloud에서 완전히 엔지니어링, 유지보수, 운영하는 FedRAMP 승인 제품 및 서비스에 대한 플랫폼 암호화입니다. 
• CMVP 수명 주기 관리: BoringCrypto 및 기본 HSM에 대한 활성 FIPS 140-3 인증을 유지합니다.
• 고객 중단 제로: 고객 엔드포인트, 등급 또는 URL 수정 없이 백엔드 암호화를 전환합니다

고객 책임('클라우드 내 보안')

• 게스트 OS 및 워크로드: Compute Engine 또는 GKE 워커 노드에서 실행되는 게스트 운영체제(예: Ubuntu Advantage FIPS, RHEL FIPS 모드)에서 FIPS 모드를 사용 설정합니다.
• 클라이언트 측 TLS 및 API 연결: Google API에 연결하는 클라이언트 소프트웨어, SDK, 개발자 엔드포인트가 검증된 암호화 라이브러리를 사용하도록 보장합니다.
• 애플리케이션 계층 데이터 암호화: 암호화 키(Cloud KMS, Cloud HSM, CMEK 또는 Cloud EKM을 통해) 및 게스트 내 데이터 보호 정책을 관리합니다.

규제 대상 고객을 위한 정보

시스템 보안 계획(SSP)에 활용된 승인을 문서화하는 SaaS 제공업체, 연방 기관, 기업 고객의 경우:

• 제어 SC-13 상속: Google Cloud 네이티브 서비스를 활용하는 고객은 Google 서비스 FedRAMP 승인(FedRAMP ID: FR1805751477)에 따라 Google의 암호화 제어를 상속할 수 있습니다.
• SSP 암호화 모듈 표: Google은 롤링 검증 모델에 따라 BoringCrypto 빌드를 지속적으로 검증하므로 고객은 암호화 보호가 Google의 활성 FIPS 140-3 BoringCrypto 인증서를 상속한다는 점을 문서화하고 Google Cloud의 FedRAMP 시스템 보안 계획/고객 구현 요약을 인용해야 합니다.
• 감사자 보증 및 증명: 공식 규정 준수 패키지, 3PAO 보안 평가 보고서(SAR), 지속적인 모니터링 아티팩트는 NDA에 따라 Google Cloud 규정 준수 보고서 관리자를 통해 검색할 수 있습니다.