Segurança e encriptação

Esta página descreve como o Transfer Appliance protege e encripta os seus dados.

Segurança dos dados da infraestrutura da Google

Quando devolve um aparelho, este é recebido num dos nossos centros de dados da Google. Quando encomenda um dispositivo para exportação de dados, preparamo-lo num dos nossos centros de dados da Google. A segurança dos dados dos clientes é a nossa principal prioridade e responsabilidade. Para mais informações sobre a segurança da nossa infraestrutura, consulte o documento Vista geral do design de segurança da infraestrutura da Google e, para mais informações sobre as nossas práticas de segurança dos centros de dados, consulte o documento Dados e segurança.

Fixar o aparelho durante o transporte

Quando receber o dispositivo, execute a aplicação de atestação do Transfer Appliance. Esta aplicação valida a identidade do dispositivo e o respetivo estado para garantir que o dispositivo se encontra no mesmo estado em que estava quando o enviámos. A aplicação gera um código secreto de atestação que partilha connosco. Se o código secreto de atestação corresponder ao esperado, fornecemos as credenciais de início de sessão do dispositivo.

Quando terminar de usar o aparelho e o recebermos, validamos novamente o aparelho para garantir que não foi adulterado durante o envio. Depois de validarmos o dispositivo, carregamos os seus dados para o Cloud Storage.

Se a validação do dispositivo indicar que este foi adulterado em qualquer altura, invalidamos toda a sessão de transferência e trabalhamos consigo para lhe enviar um dispositivo de substituição.

Encriptação de dados

Os seus dados são encriptados durante o carregamento, durante a transmissão para os nossos centros de dados, depois de terem sido carregados para o Cloud Storage e durante a transferência para o dispositivo quando usa a funcionalidade de exportação de dados. Seguem-se os detalhes da forma como encriptamos os seus dados:

  • Durante o trânsito para o Cloud Storage: os seus dados são encriptados no Transfer Appliance com dm-encrypt e encriptação ao nível da partição, com o algoritmo de encriptação AES-256.

  • Durante o carregamento para o Cloud Storage: os seus dados são encriptados através de ligações TLS seguras. Transferimos os dados encriptados no seu dispositivo para o armazenamento na nuvem. Para os clientes que usam os VPC Service Controls, este processo ocorre no seu perímetro dos VPC Service Controls.

  • No Cloud Storage: os seus dados são encriptados no Cloud Storage por predefinição. Para mais detalhes, consulte as Opções de encriptação de dados.

  • Durante a transferência para o Transfer Appliance: os seus dados são encriptados na nuvem antes de serem transferidos para o dispositivo quando a funcionalidade de exportação de dados é usada.

Encriptar dados em trânsito para o seu dispositivo

Não aplicamos encriptação entre os seus dispositivos de armazenamento ou de rede e o seu dispositivo. A proteção da rede e o acesso físico ao dispositivo são da sua responsabilidade. Não acedemos nem monitorizamos o aparelho enquanto estiver ligado à sua rede.

Encriptação de dados no seu dispositivo

Usamos duas chaves para encriptar os dados no seu dispositivo:

Chave de encriptação de chaves

Tem as seguintes duas opções para a chave de encriptação de chaves (KEK):

  • Pode criar uma chave gerida pelo cliente, em que gera e gere a chave sozinho.

  • Pode selecionar a opção Google-owned and managed key, na qual geramos e gerimos a chave.

    Google-owned and managed keys são exclusivos por sessão e não são partilhados com outros Google Cloud serviços. Quando uma sessão é concluída ou cancelada, ou se um aparelho for perdido, destruímos a chave para garantir a segurança dos seus dados.

    Seguem-se as definições usadas para criar Google-owned and managed keys:

    • Região: global
    • Nível de proteção: software
    • Finalidade: desencriptação assimétrica
    • Algoritmo: RSA de 4096 bits – Preenchimento OAEP – Resumo SHA256

Destruir a KEK antes de a sessão estar concluída resulta na perda total de dados no dispositivo.

A KEK é gerada como uma chave assimétrica do Cloud Key Management Service (Cloud KMS) em Google Cloude transferimos a chave pública da KEK para o dispositivo antes de o enviarmos para si.

Chave de encriptação de dados (DEK)

A DEK é gerada no dispositivo. A DEK é mantida na memória e armazenada no Módulo de plataforma fidedigna do dispositivo para persistir a chave nos reinícios. A DEK nunca é armazenada num disco local sem encriptação.

O dispositivo aplica a DEK gerada aos seus dados antes de escrever os dados no disco. Quando finaliza os dados no dispositivo, a chave pública KEK é aplicada à DEK e, em seguida, a DEK é removida do dispositivo.

Os dados nunca são armazenados sem encriptação no dispositivo.

Encriptar dados para exportação de dados do Cloud Storage

Quando encomenda um dispositivo para exportação de dados, o dispositivo é preparado num centro de dados da Google seguro e os seus dados são encriptados primeiro. Os dados encriptados são, em seguida, movidos em segurança para o dispositivo, que é ainda mais protegido com a encriptação ao nível do disco. Os seus dados permanecem encriptados no dispositivo enquanto estão no centro de dados e durante a transmissão, e só ficam acessíveis depois de ativar o dispositivo.

Restrinja o acesso aos dados no seu dispositivo

Para restringir o acesso aos dados armazenados nas partilhas NFS do seu dispositivo, pode aplicar um filtro de IP que permita que anfitriões específicos na sua rede acedam ao dispositivo. Contacte o seu administrador de rede para receber assistência.

Para mais informações sobre as portas de rede IP que o Transfer Appliance usa, consulte o artigo Configurar portas de rede IP.

Carregue dados para o Cloud Storage

Quando recebemos o seu dispositivo num dos nossos centros de dados seguros, carregamos os seus dados encriptados para o perímetro dos VPC Service Controls antes de aplicar a KEK para desencriptar a DEK e os seus dados. A DEK nunca é mantida em nenhum momento durante o ciclo de vida da transferência. Em seguida, movemos os seus dados de forma segura para o Cloud Storage na nossa rede de centro de dados privada através de ligações TLS seguras. Os seus dados são encriptados no Cloud Storage por predefinição e estão acessíveis apenas a si.

Sanitização de suportes de eletrodomésticos

Após carregar os seus dados ou receber o dispositivo para exportação de dados, limpamos o suporte de unidade no dispositivo que devolveu aplicando as normas NIST 800-88 para eliminar informações. Especificamente, utilizamos a eliminação criptográfica para limpar todos os dados encriptados armazenados anteriormente nas unidades do dispositivo. Se uma unidade sofrer uma falha durante a utilização que a torne inoperacional e impossível de apagar, destruímos fisicamente o suporte físico afetado. Para mais informações sobre os nossos processos de limpeza de suportes, consulte o artigo Garanta uma limpeza de suportes segura.

Pode pedir um certificado de limpeza para comprovar que limpámos de forma segura o suporte do dispositivo no prazo de 4 semanas após os seus dados estarem disponíveis no Cloud Storage ou após a devolução do dispositivo após a exportação de dados.

Recondicionamento do Transfer Appliance

Depois de destruirmos os seus dados no dispositivo devolvido, preparamo-nos para enviar o dispositivo ao cliente seguinte. Segue-se um resumo de como recondicionamos cada aparelho após a limpeza de suportes:

  1. Criamos partições nas unidades do dispositivo. A limpeza de suportes também destrói as nossas partições de dados, pelo que começamos do zero sempre.

  2. Em seguida, reformatamos as unidades, preparando-as para armazenar dados e o software do dispositivo.

  3. Em seguida, instalamos o software do dispositivo e aplicamos as atualizações necessárias.

  4. Por fim, embalamos e preparamos o aparelho para envio ao cliente seguinte.