¿Qué son los servicios de Google Cloud Platform (GCP)?

Los servicios de Google Cloud Platform (GCP) son el conjunto de productos de computación en la nube de Google para computación, almacenamiento, redes, análisis de datos y seguridad. Su servicio principal de seguridad de datos es Cloud Key Management Service (Cloud KMS), que permite crear, usar, rotar y destruir claves criptográficas en cinco niveles de protección.

Google Cloud Platform (GCP) es la nube pública de Google, que ofrece servicios de computación, almacenamiento, redes, análisis y seguridad utilizados por startups, empresas y gobiernos. Para la protección de datos, GCP se centra en Cloud Key Management Service (Cloud KMS), que gestiona las claves de cifrado mediante software, módulos de seguridad de hardware FIPS 140-2 Nivel 3 o un gestor de claves externo que usted controla.

Puntos Clave

• Cloud KMS ofrece cinco niveles de protección: SOFTWARE, HSM (multiusuario), HSM_SINGLE_TENANT, EXTERNAL y EXTERNAL_VPC.
• Las claves de software utilizan primitivas validadas según FIPS 140-3 Nivel 1 del módulo BoringCrypto; las claves Cloud HSM se generan y utilizan en HSM validados según FIPS 140-2 Nivel 3 (certificado CMVP n.° 4399).
• Cloud KMS admite algoritmos post-cuánticos: la firma ML-DSA (FIPS 204) y SLH-DSA-SHA2-128s (FIPS 205) están disponibles de forma general, y ML-KEM (FIPS 203), además del KEM híbrido X-Wing para la encapsulación de claves, se encuentran en fase de vista previa.
• La opción "Traiga su propia clave" (BYOK) utiliza la importación de claves con un trabajo de importación; el método recomendado es RSA_OAEP_3072_SHA256_AES_256.
• El cifrado directo tiene un límite de 64 KiB para claves de software y de 8 KiB de texto plano combinado más AAD para claves HSM; utilice el cifrado de sobre para datos de mayor tamaño.

¿Qué es Google Cloud Platform (GCP)?

Google Cloud Platform (GCP) es el conjunto de servicios de computación en la nube que Google ejecuta sobre la misma infraestructura que utiliza para sus propios productos, y que abarca computación, almacenamiento, redes, bases de datos, análisis de datos, aprendizaje automático y seguridad.

Organizaciones de todos los tamaños utilizan GCP junto con Amazon Web Services (AWS) y Microsoft Azure , y sus fortalezas en análisis de datos e infraestructura de red global lo convierten en una opción común para cargas de trabajo con gran volumen de datos. Para los equipos responsables de la protección de datos, el servicio más importante es Cloud Key Management Service (Cloud KMS), la plataforma administrada de Google para crear y controlar claves criptográficas.

Niveles de protección de KMS en la nube

Cloud KMS ofrece cinco niveles de protección que se diferencian según la ubicación de las claves y quién puede acceder a ellas. Google los documenta como SOFTWARE, HSM, HSM_SINGLE_TENANT, EXTERNAL y EXTERNAL_VPC. Todos los niveles de protección se utilizan mediante la misma API y las mismas bibliotecas cliente de Cloud KMS, por lo que el código de la aplicación no cambia al pasar de claves de software a claves respaldadas por hardware.

Nivel de protección	Dónde viven las llaves	Validación FIPS
SOFTWARE	Software de Google (módulo BoringCrypto)	FIPS 140-3 Nivel 1 (primitivas BCM)
HSM (multiusuario)	Clústeres HSM compartidos propiedad de Google	FIPS 140-2 Nivel 3
HSM_SINGLE_TENANT	Particiones HSM dedicadas que usted administra	FIPS 140-2 Nivel 3
EXTERNA	Administrador de claves externo a través de Internet	Depende del proveedor de EKM.
VPC EXTERNA	Administrador de claves externo a través de una red VPC	Depende del proveedor de EKM.

Las claves de software son la opción más económica y adecuadas para cargas de trabajo sin requisitos de hardware. Cloud HSM está diseñado para cargas de trabajo reguladas que deben generar y usar claves dentro de hardware certificado. Cloud HSM de un solo inquilino proporciona aislamiento criptográfico respecto a otros clientes. Cloud EKM (los dos niveles EXTERNOS) almacena el material de clave en un gestor de claves asociado, como Thales o Fortanix, por lo que Google no puede acceder a sus claves.

Validación FIPS: 140-2 y 140-3

Cloud KMS cumple con las normas FIPS 140-2 y FIPS 140-3, según el nivel de protección. Las claves de software se ejecutan en el módulo BoringCrypto (BCM), que cuenta con la validación FIPS 140-3, por lo que las operaciones criptográficas de software utilizan primitivas validadas según el nivel 1 de FIPS 140-3. Las claves de Cloud HSM se generan y utilizan dentro de módulos de seguridad de hardware validados según el nivel 3 de FIPS 140-2, bajo el certificado CMVP n.° 4399.

La referencia 140-2 incluye una advertencia. El Programa de Validación de Módulos Criptográficos (CMVP) del NIST ya ha trasladado el certificado n.° 4399 a su Lista Histórica mediante su proceso de eliminación gradual, y todos los certificados FIPS 140-2 restantes pasarán a la Lista Histórica el 21 de septiembre de 2026. El estado histórico no desactiva un módulo, pero el CMVP describe los módulos históricos como aquellos que las agencias federales no deberían incluir en nuevas adquisiciones. Los equipos con obligaciones FedRAMP, CMMC o DFARS deben confirmar cuáles de sus componentes criptográficos tienen una vía para cumplir con la norma FIPS 140-3.

Claves, algoritmos y modos de cifrado

Cloud KMS admite claves simétricas y asimétricas mediante un conjunto definido de algoritmos. El cifrado simétrico utiliza AES-256 en modo Galois/Contador (GCM). Las opciones asimétricas incluyen RSA de 2048, 3072 y 4096 bits, y claves de curva elíptica en P-256, P-384 y secp256k1. Cada clave tiene una función específica (como ENCRYPT_DECRYPT o ASYMMETRIC_SIGN) que determina las operaciones que puede realizar.

Algoritmos de firma y cifrado

Para la firma asimétrica, Cloud KMS admite RSA (RSASSA-PSS y RSASSA-PKCS1-v1_5) y firma de curva elíptica (ECDSA en P-256, P-384 y secp256k1, además de Ed25519). Google recomienda EC_SIGN_P256_SHA256 para la firma de curva elíptica y RSA_SIGN_PSS_3072_SHA256 para RSA. Para el cifrado asimétrico, Cloud KMS utiliza RSAES-OAEP con un valor predeterminado recomendado de RSA_DECRYPT_OAEP_3072_SHA256.

Algoritmos post-cuánticos

Cloud KMS ahora admite la criptografía postcuántica NIST. Para firmas, ofrece ML-DSA-44, ML-DSA-65 y ML-DSA-87 (FIPS 204), así como SLH-DSA-SHA2-128s (FIPS 205), todos disponibles de forma general. Para el establecimiento de claves, ofrece, en versión preliminar, ML-KEM-768 y ML-KEM-1024 (FIPS 203), además del KEM híbrido X-Wing, que combina ML-KEM-768 con X25519. Google recomienda el híbrido X-Wing para la encapsulación de claves, ya que superpone un esquema clásico y uno postcuántico. Estos algoritmos protegen los datos de larga duración contra ataques de obtención inmediata y descifrado posterior.

Traiga su propia llave (BYOK) e importación de llaves

La función "Traiga su propia clave" (BYOK) en Cloud KMS se implementa mediante la importación de claves. Usted crea una tarea de importación, encapsula su clave con la clave pública de dicha tarea y Cloud KMS la desencapsula dentro del nivel de protección de destino, de modo que la clave original nunca se expone durante la transmisión. El método de importación recomendado es RSA_OAEP_3072_SHA256_AES_256.

Este método es un cifrado híbrido. Cloud KMS cifra una clave AES-256 de un solo uso con RSAES-OAEP (utilizando MGF1 y el resumen seleccionado), y luego cifra la clave de destino con esa clave AES-256 mediante el cifrado AES Key Wrap con relleno, definido en la RFC 5649. Los dos resultados se concatenan en el bloque de clave cifrado. Esta es la misma estructura que el mecanismo PKCS #11 CKM_RSA_AES_KEY_WRAP.

Límites de tamaño de datos y cifrado de sobres

Cloud KMS está diseñado para proteger claves de cifrado de claves, no grandes cantidades de datos, por lo que el cifrado directo tiene límites de tamaño. Para claves de software, externas y de VPC externas, el texto sin cifrar por llamada de cifrado no debe superar los 64 KiB. Para claves de HSM, la combinación del texto sin cifrar y los datos autenticados adicionales (AAD) no debe superar los 8 KiB.

Para datos de mayor tamaño, utilice el cifrado de sobre: ​​genere una clave de cifrado de datos (DEK) local, cifre sus datos con la DEK y, a continuación, utilice una clave de cifrado de claves (KEK) de Cloud KMS para encapsular la DEK. El texto cifrado se almacena junto a la DEK encapsulada, y la KEK permanece siempre en Cloud KMS.

Cómo ayuda la consultoría de cifrado

Los servicios de protección de datos en la nube de Encryption Consulting le ayudan a diseñar y gestionar las claves en Google Cloud, desde la elección del nivel de protección adecuado de Cloud KMS hasta la integración de las claves de cifrado gestionadas por el cliente (CMEK) en BigQuery, Cloud Storage y Compute Engine. Nuestro servicio de protección de datos de GCP abarca el diseño de la jerarquía de claves, la configuración de BYOK y Cloud EKM, la política de rotación y el registro de auditoría para que su implementación cumpla con sus obligaciones de cumplimiento normativo. Para los equipos que planifican con antelación, nuestros servicios de asesoramiento sobre PQC guían la adopción de los algoritmos post-cuánticos disponibles en Cloud KMS. Respaldados por las prácticas certificadas ISO/IEC 27001:2022 y SOC 2.

Preguntas frecuentes

¿Google Cloud KMS cumple con la norma FIPS 140-2 o FIPS 140-3?

Google Cloud KMS cumple con ambos requisitos, según el nivel de protección. Las claves de software utilizan el módulo BoringCrypto (BCM), validado según FIPS 140-3, por lo que las operaciones criptográficas de software utilizan primitivas validadas según FIPS 140-3 de nivel 1. Las claves de Cloud HSM se generan y utilizan dentro de HSM validados según FIPS 140-2 de nivel 3 (certificado CMVP n.° 4399). El NIST ya ha incluido el certificado n.° 4399 en su Lista Histórica, y todos los demás certificados FIPS 140-2 se incluirán allí el 21 de septiembre de 2026.

¿Cuál es la diferencia entre las claves de software de Cloud KMS, Cloud HSM y Cloud EKM?

Las tres soluciones se diferencian por la ubicación del material clave y quién lo controla. Las claves de software ejecutan operaciones criptográficas en el software de Google con certificación FIPS 140-3 Nivel 1. Cloud HSM almacena las claves en módulos de seguridad de hardware con certificación FIPS 140-2 Nivel 3, con opciones para múltiples inquilinos y un solo inquilino. Cloud EKM mantiene las claves en un gestor de claves externo, como Thales o Fortanix, al que se accede a través de internet o una red VPC, por lo que Google no puede acceder al material clave.

¿Google Cloud KMS admite criptografía postcuántica?

Sí. Cloud KMS admite algoritmos post-cuánticos NIST para la firma y el establecimiento de claves. La firma con ML-DSA-44, ML-DSA-65 y ML-DSA-87 (FIPS 204), además de SLH-DSA-SHA2-128s (FIPS 205), está disponible de forma general. La encapsulación de claves con ML-KEM-768, ML-KEM-1024 (FIPS 203) y el KEM híbrido X-Wing, que combina ML-KEM-768 con X25519, se encuentra en fase de vista previa. Estas medidas protegen los datos de larga duración contra ataques de obtención inmediata y descifrado posterior.

¿Cómo funciona la opción "Trae tu propia clave" (BYOK) en Google Cloud KMS?

BYOK en Cloud KMS utiliza la importación de claves mediante un trabajo de importación. Usted encapsula su material de clave con la clave pública del trabajo de importación, y luego Cloud KMS lo desencapsula dentro del nivel de protección de destino. El método recomendado, RSA_OAEP_3072_SHA256_AES_256, cifra una clave AES-256 de un solo uso con RSAES-OAEP y luego encapsula su clave con esa clave AES utilizando AES Key Wrap with Padding (RFC 5649).

¿Cuántos datos puede cifrar directamente Google Cloud KMS?

Cloud KMS está diseñado para proteger claves de cifrado de claves, no grandes volúmenes de datos. Para claves de software, externas y de VPC externas, el límite de texto plano por llamada de cifrado es de 64 KiB. Para claves HSM, el límite combinado de texto plano y datos autenticados adicionales es de 8 KiB. Para volúmenes mayores, utilice el cifrado de sobre: ​​genere una clave de cifrado de datos local, cifre los datos con ella y, a continuación, encapsule esa clave con Cloud KMS.

Proteja sus claves de Google Cloud con total confianza.

Adapte el diseño de su sistema de gestión del conocimiento en la nube (Cloud KMS) a sus necesidades de cumplimiento normativo y planifique la preparación para la era post-cuántica con Encryption Consulting. Descubra los servicios de protección de datos en la nube , con certificación ISO/IEC 27001:2022 y SOC 2.