關於 GKE 中通過 FIPS 驗證的加密機制

本頁面說明 Cloud de Confiance by S3NS 和 Google Kubernetes Engine (GKE) 如何在您透過 Cloud de Confiance上執行的 GKE 叢集處理及傳輸資料時，維持符合聯邦資訊處理標準 (FIPS)。

本頁內容適用於安全管理員、安全工程師和法規遵循主管，協助他們滿足與 FIPS 相關的嚴格資料安全性與隱私權規定。您也可以使用這個頁面，向稽核人員說明 GKE on Cloud de Confiance 預設會實作 FIPS 驗證的資料安全防護措施。

GKE 中 FIPS 驗證加密的重點

  • FedRAMP® 針對傳輸中資料加密 (SC-28) 和靜態資料加密 (SC-8(1)) 的安全控管機制，要求資料必須使用通過 FIPS 140-2 驗證的加密編譯模組或更新版本進行加密。這些安全控管措施並未明確規定要在作業系統 (OS) 層級啟用「FIPS 模式」。此外，OS 層級的 FIPS 模式不保證符合法規。
  • 根據預設，儲存在 FedRAMP 授權 Cloud de Confiance 系統中的資料，會使用 FIPS 140-2 驗證的加密模組或更新版本進行靜態資料加密。只要資料儲存在這些授權系統中，資料就會符合 FedRAMP 靜態資料保護規定 (安全控管 SC-28)。如要查看授權系統清單，請參閱「FedRAMP 高等風險適用範圍內的服務」。
  • 您在虛擬私有雲 (VPC) 網路中傳輸的資料會自動加密，並受到驗證和授權機制保護。 Cloud de Confiance VPC 已獲得 FedRAMP 高度影響授權。只要資料是在 Cloud de Confiance VPC 網路中傳輸，資料就會符合 FedRAMP 傳輸中資料保護規定 (安全控制措施 SC-8(1))。
  • 您不必使用符合 FIPS 標準的建構程序建構應用程式，即可滿足 FedRAMP 對於靜態和傳輸中資料保護的規定。這是因為在Cloud de Confiance 虛擬私有雲網路中傳輸的資料，以及儲存在 FedRAMP 授權 Cloud de Confiance 儲存系統中的資料，預設會受到保護，符合這些 FedRAMP 資料保護規定。

關於 FIPS 和 FedRAMP

聯邦風險與授權管理計畫 (FedRAMP) 是美國政府計畫，旨在為雲端技術定義安全和風險評估的標準化做法。GKE 已列入Cloud de Confiance 服務清單，具備 FedRAMP 高等風險暫時性營運授權 (P-ATO)。如要進一步瞭解 Cloud de Confiance FedRAMP P-ATO，請參閱 Cloud de Confiance FedRAMP 總覽。

FIPS 是由美國國家標準暨技術研究院 (NIST) 公布的一組標準。FIPS 出版品 140-2 定義了核准加密編譯模組的相關規定。詳情請參閱「NIST 上的 FIPS 140-2」。

FedRAMP 高等風險 P-ATO 包含多項控管措施，可使用通過 FIPS 驗證的加密模組，保護傳輸中的資料 (SC-8(1)) 和靜態資料 (SC-28(1))。

GKE 中預設的 FIPS 驗證資料保護

以下各節說明 Cloud de Confiance 和 GKE 如何實作 FIPS 驗證加密，保護靜態和傳輸中的資料。如要進一步瞭解這項資訊，請參閱 Cloud de Confiance 系統安全計畫 (SSP)。您可以向 Cloud de Confiance 業務團隊、Cloud de Confiance 代表索取這份計畫，如果您是政府客戶，則可向 Cloud de Confiance FedRAMP 計畫管理辦公室索取。詳情請參閱「Cloud de Confiance FedRAMP 法規遵循」。

通過 FIPS 驗證的靜態資料保護機制

GKE 靜態資料會使用通過 FIPS 140-2 驗證的Cloud de Confiance 加密模組 BoringCrypto 加密。詳情請參閱「FIPS 140-2 驗證 Cloud de Confiance」。

如要進一步瞭解靜態資料加密，請參閱下列資源：

傳輸中的資料受到 FIPS 驗證保護

Cloud de Confiance VPC 具有 FedRAMP 高等風險 P-ATO。在虛擬私有雲網路中傳輸的所有資料都會自動加密。在 GKE 中，這表示容器、Pod、每個節點上的 kubelet 程序、所有節點、控制層例項，以及虛擬私有雲內其他 Cloud de Confiance 服務的所有來回流量，都會受到傳輸中保護。所有連至 Google API 的連線都會使用傳輸層安全標準 (TLS) 1.2 以上版本，加密網路流量。如要在Cloud de Confiance 虛擬私有雲網路中傳輸資料時受到資料保護，不必採取任何額外行動，即可符合 FIPS 規定。

如要進一步瞭解資料在傳輸過程中如何加密，請參閱傳輸中資料加密白皮書。

保護 Cloud de Confiance外部資料的建議

GKE 預設會加密傳輸中的資料，且Cloud de Confiance 僅適用於 Cloud de Confiance VPC 網路。您必須使用符合 FIPS 標準的密碼編譯技術，保護虛擬私有雲網路邊界外的資料。下列建議可協助您確保在傳輸過程中，Cloud de Confiance FIPS 環境以外的所有傳入和傳出資料，都使用符合 FIPS 規範的密碼編譯技術加密。

攔截並加密來自網際網路的傳入流量

如要從網際網路傳入環境的流量，請在負載平衡器中使用 SSL 政策，定義一組允許的 FIPS 驗證加密密碼或機制，確保資料進入環境時受到保護。 Cloud de Confiance Cloud de Confiance Cloud de Confiance 詳情請參閱下列資源：

攔截並加密傳出至網際網路的流量

定義安全範圍，藉由設定防火牆，限制與一組您信任的已知第三方建立輸出資料連線。繪製並記錄所有外部網路需求，例如從 GitHub 等來源提取資料，以及這些外部連線在環境中的發生位置。建議使用反向 Proxy 攔截來自虛擬私有雲的傳出流量。

如果 HTTP 流量要離開符合 FedRAMP 規範的Cloud de Confiance 環境，請考慮設定 HTTP 轉送 Proxy，在資料離開環境前攔截資料。在資料離開安全範圍前，請先使用通過 FIPS 140-2 驗證的密碼編譯模組重新加密。相較於確保每個內部用戶端都使用符合規範的加密程式庫進行外部通訊，這種做法在大規模環境中更易於管理。

啟用私人節點

GKE 可讓您為叢集中的新節點停用外部 IP 位址，這樣一來，在節點上執行的工作負載預設就無法與網際網路通訊。使用 http_proxy 或 https_proxy 環境變數，將所有流量傳送至設定的 HTTP Proxy。

您可以使用路由規則，設定更透明的流量攔截機制。不過，由於您是 TLS 流量的 Proxy，Proxy 無法完全對 GKE 上執行的應用程式保持透明。

詳情請參閱下列資源：

使用 Cloud VPN 建立與 GKE 的網路層連線

有時您可能需要與 GKE 叢集建立加密網路層連線。舉例來說，您可能需要在 GKE 節點和地端部署節點之間，設定符合 FIPS 標準的網路。Cloud VPN 是 FedRAMP High 授權服務，可將虛擬私有雲網路與地端部署網路之間傳輸中的資料加密。詳情請參閱「Cloud VPN 總覽」。

使用 Cloud KMS 執行加密編譯作業

如要在環境中執行加密作業，請使用 Cloud Key Management Service。 Cloud de ConfianceCloud KMS 是 FedRAMP 高影響等級授權服務。Cloud KMS 可讓您執行符合 FIPS 140-2 第 1 級或第 3 級標準的密碼編譯作業。詳情請參閱下列資源：

在 GKE 工作負載中建構 FIPS 驗證的程式庫

如要在 GKE 應用程式中使用 BoringCrypto 加密模組，請安裝 BoringSSL。BoringSSL 是 OpenSSL 的開放原始碼分支，內含 BoringCrypto 程式庫。如要建構、編譯 BoringCrypto 模組，並將其靜態連結至 BoringSSL，請參閱 BoringCrypto FIPS 140-2 安全性政策 PDF 的 12.1 節「安裝說明」。

考慮使用符合 FIPS 規範的第三方容器映像檔

建議您在符合 FIPS 規範的Cloud de Confiance 環境邊界使用 Proxy，全面強制執行 FIPS 法規遵循。您也可以執行符合 FIPS 規範的工作負載，不必受限於具有符合 FIPS 規範核心的節點主機。部分第三方供應商提供的容器映像檔會使用符合 FIPS 規範的獨立熵來源。

評估第三方供應商的實作方式，確認是否確實符合 FIPS 標準。

後續步驟