Sobre a criptografia validada pelo FIPS no GKE

Nesta página, descrevemos como o Cloud de Confiance by S3NS e o Google Kubernetes Engine (GKE) mantêm a conformidade com os Padrões Federais de Processamento de Informações (FIPS, na sigla em inglês) ao processar e transmitir dados pelos clusters do GKE que são executados no Cloud de Confiance.

Esta página é destinada a gerentes e engenheiros de segurança e agentes de compliance que querem atender a requisitos rigorosos de segurança de dados e normas de privacidade relacionados ao FIPS. Também é possível usar essa página para mostrar a um auditor que o GKE no Cloud de Confiance implementa proteções validadas pelo FIPS para segurança de dados por padrão.

Principais conclusões sobre a criptografia validada pelo FIPS no GKE

  • Os controles de segurança do FedRAMP® para criptografia de dados em trânsito (SC-28) e em repouso (SC-8(1)) exigem que os dados sejam criptografados usando módulos criptográficos validados pelo FIPS 140-2 ou mais recentes. Esses controles de segurança não exigem explicitamente a ativação do "modo FIPS" no nível do sistema operacional (SO). Além disso, o modo FIPS no nível do SO não garante a conformidade.
  • Os dados armazenados em sistemas do Cloud de Confiance autorizados pelo FedRAMP são criptografados em repouso por padrão usando módulos criptográficos validados pelo FIPS 140-2 ou mais recentes. Enquanto seus dados estiverem armazenados nesses sistemas autorizados, eles atenderão aos requisitos do FedRAMP para proteção de dados em repouso (controle de segurança SC-28). Para uma lista de sistemas autorizados, consulte os serviços do FedRAMP High no escopo.
  • Os dados transmitidos na rede de nuvem privada virtual (VPC) Cloud de Confiancesão criptografados automaticamente e protegidos por mecanismos de autenticação e autorização. A VPC é autorizada no FedRAMP High. Enquanto os dados estiverem sendo transmitidos na rede VPC do Cloud de Confiance , eles atenderão aos requisitos do FedRAMP para proteger dados em trânsito (controle de segurança SC-8(1)).
  • Não é necessário criar aplicativos usando processos de build compatíveis com FIPS para atender aos requisitos do FedRAMP de proteção de dados em repouso e em trânsito. Isso porque os dados transmitidos na Cloud de Confiance rede VPC e armazenados em sistemas de armazenamento autorizados pelo FedRAMP Cloud de Confiance são protegidos por padrão em conformidade com esses requisitos do FedRAMP para proteção de dados.

Sobre o FIPS e o FedRAMP

O Programa Federal de Gerenciamento de Risco e Autorização (FedRAMP) é um programa do governo dos EUA que define uma abordagem padronizada para avaliação de segurança e risco de tecnologias de nuvem. O GKE está incluído na lista de Cloud de Confiance serviços que têm autoridade provisória para operar (P-ATO) do FedRAMP de nível alto. Para saber mais sobre a Cloud de Confiance P-ATO do FedRAMP, consulte a Cloud de Confiance visão geral do FedRAMP.

O FIPS é um conjunto de padrões anunciado publicamente pelo Instituto Nacional de Padrões e Tecnologia (NIST). A publicação FIPS 140-2 define os requisitos para aprovar módulos criptográficos. Para mais detalhes, consulte FIPS 140-2 no NIST.

A P-ATO de nível alto do FedRAMP inclui controles para proteger dados em trânsito (SC-8(1)) e em repouso (SC-28(1)) usando módulos criptográficos validados pelo FIPS.

Proteção de dados padrão validada pelo FIPS no GKE

As seções a seguir explicam como o Cloud de Confiance e o GKE implementam a criptografia validada pelo FIPS para proteger dados em repouso e em trânsito. Essas informações são abordadas com mais detalhes no Cloud de Confiance plano de segurança do sistema (SSP, na sigla em inglês), que você pode solicitar à sua Cloud de Confiance equipe de vendas,Cloud de Confiance representante ou ao escritório de gerenciamento de programas do Cloud de Confiance FedRAMP se for um cliente do governo. Para mais detalhes, consulte Conformidade com o FedRAMP doCloud de Confiance .

Proteção de dados em repouso validada pelo FIPS

Os dados do GKE são criptografados em repouso usando um módulo de criptografiaCloud de Confiance validado pelo FIPS 140-2 chamado BoringCrypto. Para mais detalhes, consulte Validação do FIPS 140-2 no Cloud de Confiance.

Para mais informações sobre a criptografia em repouso, consulte os seguintes recursos:

Proteção de dados em trânsito validada pelo FIPS

A VPC do Cloud de Confiance tem uma P-ATO do FedRAMP de nível alto. Todos os dados transmitidos na rede VPC são criptografados automaticamente. No GKE, isso significa que todo o tráfego de entrada e saída de contêineres, pods, o processo kubelet em cada nó, todos os nós, instâncias do plano de controle e outros serviços do Cloud de Confiance na VPC é protegido em trânsito. Todas as conexões com as APIs do Google usam o Transport Layer Security (TLS) 1.2 ou mais recente para criptografar o tráfego de rede. Nenhuma outra ação é necessária para estar em conformidade com o FIPS para proteção de dados em trânsito na rede VPC doCloud de Confiance .

Para mais informações sobre como seus dados são criptografados em trânsito, consulte o artigo sobre criptografia em trânsito.

Recomendações para proteger dados fora do Cloud de Confiance

A criptografia padrão de dados em trânsito para o GKE e o Cloud de Confiance se aplica apenas à rede VPC do Cloud de Confiance . É preciso usar criptografia em conformidade com o FIPS para proteger os dados que estão fora do limite da rede VPC. As recomendações a seguir ajudam a garantir que todos os dados de entrada e saída fora do ambienteCloud de Confiance FIPS em trânsito sejam criptografados com criptografia compatível com FIPS.

Interceptar e criptografar o tráfego de entrada da Internet

Para o tráfego de entrada da Internet para seu ambiente Cloud de Confiance , use políticas SSL em balanceadores de carga Cloud de Confiance para definir um conjunto permitido de criptografias ou mecanismos criptográficos validados pelo FIPS com que os dados precisam ser protegidos quando entram no ambiente Cloud de Confiance . Para mais detalhes, consulte os seguintes recursos:

Interceptar e criptografar o tráfego de saída para a Internet

Defina um perímetro que limite as conexões de dados de saída a um conjunto de terceiros conhecidos e confiáveis configurando firewalls. Diagrame e documente todos os requisitos de rede externa, como extrair dados de fontes como o GitHub, e onde essas conexões externas vão ocorrer no seu ambiente. Considere usar um proxy reverso para interceptar o tráfego de saída da sua VPC.

Se você tiver tráfego HTTP saindo do perímetro do seu ambienteCloud de Confiance compatível com o FedRAMP, configure um proxy de encaminhamento HTTP para interceptar os dados antes que eles saiam do ambiente. Recriptografe os dados usando um módulo criptográfico validado pelo FIPS 140-2 antes de permitir que eles saiam do seu perímetro. Essa abordagem é mais gerenciável em grande escala do que tentar garantir que todos os clientes internos usem bibliotecas de criptografia compatíveis para comunicação externa.

Ativar nós particulares

O GKE permite desativar o endereço IP externo para novos nós nos clusters, para que as cargas de trabalho executadas nos nós não possam se comunicar com a Internet por padrão. Use as variáveis de ambiente http_proxy ou https_proxy para enviar todo o tráfego ao proxy HTTP configurado.

É possível configurar uma interceptação mais transparente desse tráfego com regras de rota. No entanto, como você está usando um proxy para o tráfego TLS, ele não pode ser completamente transparente para os aplicativos executados no GKE.

Para saber detalhes, consulte os seguintes recursos:

Usar o Cloud VPN para conexões da camada de rede com o GKE

Às vezes, pode ser necessário uma conexão de camada de rede criptografada com os clusters do GKE. Por exemplo, talvez seja necessário configurar redes compatíveis com FIPS entre nós do GKE e nós locais. O Cloud VPN é um serviço autorizado pelo FedRAMP High que criptografa seus dados em trânsito entre a rede VPC e a rede local. Para mais detalhes, consulte Visão geral do Cloud VPN.

Usar o Cloud KMS para operações criptográficas

Se você precisar realizar operações criptográficas no ambiente do Cloud de Confiance, use o Cloud Key Management Service. O Cloud KMS é um serviço autorizado pelo FedRAMP High. O Cloud KMS permite realizar operações criptográficas que obedecem ao FIPS 140-2 de nível 1 ou nível 3. Para saber detalhes, consulte os seguintes recursos:

Criar bibliotecas validadas pelo FIPS em cargas de trabalho do GKE

Para usar o módulo de criptografia BoringCrypto nos seus aplicativos do GKE, instale o BoringSSL. O BoringSSL é uma ramificação de código aberto do OpenSSL que inclui a biblioteca BoringCrypto. Para criar, compilar e vincular estaticamente o módulo BoringCrypto ao BoringSSL, consulte a seção 12.1, "Instruções de instalação", no PDF da política de segurança FIPS 140-2 do BoringCrypto.

Considere imagens de contêiner compatíveis com FIPS de terceiros

Recomendamos que você use proxies no limite do seu ambienteCloud de Confiance compatível com FIPS para aplicar a conformidade com o FIPS de maneira abrangente. Também é possível executar cargas de trabalho compatíveis com o FIPS sem se limitar a máquinas host de nós que tenham kernels compatíveis com o FIPS. Alguns fornecedores terceirizados oferecem imagens de contêiner que usam uma fonte separada de entropia compatível com FIPS.

Avalie a implementação do fornecedor terceirizado para verificar se ela está em conformidade com o FIPS.

A seguir