Requisitos de FIPS 140

El Instituto Nacional de Normas y Tecnología (NIST) emite la serie de publicación 140 de Federal Information Processing Standard (FIPS) para coordinar los requisitos y estándares de los módulos criptográficos, que incluyen componentes de hardware y software para que los departamentos y las agencias de los Gobiernos de Canadá y Estados Unidos los usen con el objetivo de proteger la información sensible.

Cumplimiento de FIPS 140

Los proveedores de servicios en la nube (CSP) deben implementar el control de seguridad FIPS para cumplir con los requisitos de computación en la nube de los Gobiernos de EE.UU. y Canadá, así como sus contratistas y proveedores. La publicación FIPS 140 estipula que, si se usa la encriptación como un mecanismo para cumplir con un requisito de seguridad, debe ser validada por FIPS según el Cryptographic Module Validation Program (CMVP). 

La serie de publicación FIPS 140 más reciente es una tercera revisión, que se conoce como FIPS 140-3. El NIST publicó una hoja de ruta de transición para migrar del estándar FIPS 140-2 al 140-3, y Google está comprometido con esta transición. Desde septiembre de 2022, todas las presentaciones de FIPS 140 de Google para módulos nuevos se han realizado bajo el estándar 140-3. Según la orientación del CMVP, el alcance de una validación de FIPS 140 es un módulo criptográfico en lugar de un servicio en la nube individual. Los servicios de Google Cloud logran el cumplimiento gracias a los módulos criptográficos subyacentes validados por FIPS 140.

Descripción general de la criptografía de FIPS 140 en Google Cloud

Google Cloud protege los datos de los clientes en toda su infraestructura global con módulos criptográficos validados por FIPS para datos en reposo, datos en tránsito en los centros de datos de Google y canales de comunicación externos de cliente a Google.

• Módulo BoringCrypto (BCM): El módulo criptográfico de código abierto principal de Google, validado por FIPS 140, dentro de BoringSSL, una biblioteca criptográfica de código abierto derivada de OpenSSL. BoringCrypto funciona como el principal motor criptográfico de software que impulsa la encriptación en reposo y en tránsito en los servicios nativos de Google Cloud.
• Módulos de seguridad de hardware (HSM): Hardware criptográfico físico específico validado hasta el nivel 3 de FIPS 140-2 y FIPS 140-3. Los clientes de Google Cloud pueden usar Cloud HSM para acceder a clústeres de HSM de Google.

Cronograma de descontinuación de FIPS 140-2 del NIST

Según el programa de transición del NIST, todos los certificados FIPS 140-2 activos se trasladaron a la Lista histórica del CMVP el 21 de septiembre de 2026. Según la política del NIST y el CMVP:

• El cambio al estado "Histórico" refleja la descontinuación de la versión estándar, no una revocación ni una vulnerabilidad de seguridad.
• Las agencias federales y los clientes regulados pueden seguir operando y aprovechando los sistemas existentes que mantienen los módulos históricos de FIPS 140-2.

Ciclo de vida de validación progresiva de Google para BoringCrypto

Google Cloud cumple con la Política de FedRAMP para la Selección y el uso de módulos criptográficos, que exige la revalidación y actualización periódicas de los módulos criptográficos. En lugar de vincular todos los servicios nativos de la nube a una sola revisión estática, Google mantiene un ciclo de vida de validación continuo y progresivo para BoringCrypto según el estándar FIPS 140-3. A medida que se actualizan estos servicios, pueden aprovechar diferentes compilaciones de BoringCrypto validadas con el tiempo o en diferentes componentes de backend. Google implementa esta política de forma coherente, aplicando el modelo de flujo de actualización a otras directivas que requieren certificación criptográfica FIPS, como CJIS, ITAR, DoD IL4 e IL5, IRS 1075, JISF y Protected B.

• FIPS 140-2 (certificado núm. 4407): BoringCrypto — Histórico (al 21 de septiembre de 2026)
• FIPS 140-3 (certificado núm. 4735): BoringCrypto — Activo (validado en julio de 2024)
• FIPS 140-3 (certificado núm. 5104): BoringCrypto — Activo (validado en diciembre de 2025)
• FIPS 140-3 (certificado núm. 5244): BoringCrypto — activo (validado en abril de 2026)
• FIPS 140-3 (certificado núm. 5296): BoringCrypto — activo (validado en junio de 2026)

(Para ver la lista completa de las compilaciones de BoringCrypto activas de Google validadas por el CMVP, busca en la base de datos del CMVP, selecciona Google como proveedor y BoringCrypto como nombre del módulo).

Google Cloud actualiza progresivamente los objetos binarios de servicio de referencia internos a estas compilaciones activas validadas por FIPS 140-3, lo que garantiza una protección criptográfica continua en los servicios de plataforma subyacentes sin introducir cambios rotundos ni interrupciones del servicio.

Modelo de responsabilidad compartida para la criptografía de FIPS

El cumplimiento criptográfico según el estándar FIPS 140 se rige por un modelo de responsabilidad compartida entre Google Cloud y el cliente.

Responsabilidad de Google Cloud ("Seguridad de la nube")

• Seguridad física y entre centros de datos: Encriptación de datos en tránsito en la red de fibra global privada de Google.
• Servicios administrados nativos: Encriptación de plataforma para productos y servicios autorizados por FedRAMP, diseñados, mantenidos y operados por Google Cloud. 
• Administración del ciclo de vida del CMVP: Mantener las certificaciones activas de FIPS 140-3 para BoringCrypto y los HSM subyacentes.
• Cero interrupciones para los clientes: Transición de la criptografía de backend sin necesidad de modificar el extremo, el nivel o la URL del cliente.

Responsabilidad del cliente ("Seguridad en la nube")

• SO de invitado y cargas de trabajo: Habilitar el modo FIPS en sistemas operativos de invitado (p. ej., FIPS para Ubuntu Advantage, modo FIPS de RHEL) que se ejecutan en nodos trabajadores de Compute Engine o GKE.
• Conexiones de API y TLS del cliente: Garantizar que el software del cliente, los SDK y los extremos de desarrollador que se conectan a las APIs de Google usen bibliotecas criptográficas validadas.
• Encriptación de datos en la capa de aplicación: Administrar claves de encriptación (a través de Cloud KMS, Cloud HSM, CMEK o Cloud EKM) y políticas de protección de datos en el invitado.

Información para clientes regulados

Para los proveedores de SaaS, las agencias federales y los clientes empresariales que documentan autorizaciones reutilizadas en su Plan de seguridad del sistema (SSP):

• Herencia del control SC-13: Los clientes que aprovechan los servicios nativos de Google Cloud pueden heredar los controles criptográficos de Google en virtud de la autorización de FedRAMP de los servicios de Google (ID de FedRAMP: FR1805751477).
• Tabla de módulos criptográficos del SSP: Debido a que Google valida continuamente las compilaciones de BoringCrypto con su modelo de validación continua, los clientes deben documentar que su protección criptográfica hereda los certificados activos de BoringCrypto con FIPS 140-3 de Google y citar el plan de seguridad del sistema para FedRAMP de Google Cloud o el resumen de implementación del cliente.
• Garantía y certificación del auditor: Los paquetes de cumplimiento oficiales, los informes de evaluación de seguridad (SAR) por organización externa y los artefactos de supervisión continua se pueden recuperar a través del Administrador de informes de cumplimiento de Google Cloud en virtud de un NDA.