Introducción
El servicio Cloud HSM de Google proporciona claves respaldadas por hardware para la nube KMS (Servicio de administración de claves). Esto brinda a los clientes la capacidad de administrar y usar sus claves criptográficas mientras está protegido por una gestión completa Módulos de seguridad de hardware (HSM)El servicio Cloud HSM ofrece alta disponibilidad y escala horizontalmente de forma automática. Las claves creadas se vinculan regionalmente a la región KMS donde se define el conjunto de claves. Con Cloud HSM, las claves que los usuarios crean y utilizan no pueden materializarse fuera del clúster de HSMs pertenecientes a la región especificada al crear la clave.
Con Cloud HSM, los usuarios pueden certificar que sus claves criptográficas se crean y utilizan exclusivamente en un dispositivo de hardware. Los clientes actuales de Cloud KMS no requieren cambios en la aplicación para usar Cloud HSM. Se accede al servicio Cloud HSM utilizando el mismo... API y bibliotecas de cliente como backend del software Cloud KMS.
El servicio Cloud HSM utiliza HSM, que son FIPS 140-2 Validados por el nivel 3, siempre se ejecutan en modo FIPS. El estándar FIPS especifica los algoritmos criptográficos y la generación de números aleatorios que utilizan los HSM.
Aprovisionamiento y manejo de HSM
El aprovisionamiento de HSM se lleva a cabo en un laboratorio equipado con numerosas protecciones físicas y lógicas, incluidos controles de autorización de múltiples partes para ayudar a prevenir la vulneración por parte de un solo actor.
Las siguientes son invariantes a nivel de sistema de Cloud HSM:
- Las claves de cliente no se pueden extraer como texto sin formato.
- Las claves de cliente no se pueden mover fuera de la región de origen.
- Todos los cambios de configuración en los HSM aprovisionados están protegidos mediante múltiples medidas de seguridad.
- Las operaciones administrativas se registran, respetando la separación de funciones entre los administradores de Cloud HSM y los administradores de registro.
- Los HSM están diseñados para estar protegidos contra manipulaciones, como la inserción de modificaciones de hardware o software maliciosas o la extracción no autorizada de secretos, durante todo el ciclo de vida operativo.
Firmware controlado por el proveedor en Cloud HSM
El firmware del HSM está firmado digitalmente por el proveedor. Google no puede crear ni actualizar el firmware del HSM. Todo el firmware del proveedor está firmado, incluido el firmware de desarrollo utilizado para pruebas.
Jerarquía de claves de Google Cloud HSM
Cloud HSM envuelve las claves del cliente, y las claves de Cloud KMS envuelven las claves HSM, que luego se almacenan en los almacenes de datos de Google.
Cloud HSM tiene una clave que controla la migración de los materiales dentro del dominio administrativo de Cloud HSM.
La clave raíz de Cloud HSM tiene dos características principales:
La clave raíz se genera en el HSM y, durante su vida útil, nunca sale de sus límites bien definidos. Sin embargo, es posible la clonación y se permiten copias de seguridad de los HSM.
La clave raíz se puede usar como clave de cifrado para encapsular las claves de cliente que utilizan los HSM. Las claves de cliente encapsuladas se pueden usar en el HSM, pero este nunca devuelve una clave de cliente sin encapsular. Los HSM solo pueden usar claves de cliente con fines operativos.
Almacenamiento de claves
Los HSM no se utilizan como solución de almacenamiento permanente de datos para las claves. Solo almacenan las claves mientras están en uso. Dado que el almacenamiento de los HSM es limitado, las claves se cifran y se almacenan en el almacén de claves de Cloud KMS.
El almacén de datos de Cloud KMS ofrece alta disponibilidad, durabilidad y una protección sólida. Algunas de sus características son:
- Disponibilidad:Cloud KMS utiliza el almacenamiento de datos interno de Google, que es de alta disponibilidad y también es compatible con varios de los sistemas críticos de Google.
- DurabilidadCloud KMS utiliza cifrado autenticado para almacenar las claves del cliente en el almacén de datos. Además, todos los metadatos se autentican mediante un código de autenticación de mensajes basado en hash (HMAC) para garantizar que no se alteren ni corrompan mientras están en reposo. Cada hora, un trabajo por lotes escanea todas las claves y metadatos y verifica que los HMAC sean válidos y que las claves se puedan descifrar correctamente.
Cloud KMS utiliza varios tipos de copias de seguridad para el almacén de datos:
- De forma predeterminada, el almacén de datos guarda un historial de cambios de cada fila durante varias horas. En caso de emergencia, esta vida útil puede extenderse para disponer de más tiempo para solucionar problemas.
- Cada hora, el almacén de datos registra una instantánea. Esta instantánea puede validarse y utilizarse para la restauración, si es necesario. Estas instantáneas se conservan durante cuatro días.
- Cada día, se copia una copia de seguridad completa en disco y cinta.
- ResidenciaLas copias de seguridad del almacén de datos de Cloud KMS residen en su región de Google Cloud asociada. Todas estas copias de seguridad están cifradas en reposo.
- Protección:En la capa de aplicación de Cloud KMS, el material de claves de cliente se cifra antes de almacenarse. Los ingenieros del almacén de datos no tienen acceso al material de claves de cliente en texto plano. Además, el almacén de datos cifra todos los datos que gestiona antes de escribirlos en el almacenamiento permanente. Esto significa que el acceso a las capas de almacenamiento subyacentes, incluidos discos o cintas, no permitiría acceder ni siquiera a los datos cifrados de Cloud KMS sin acceso a las claves de cifrado del almacén de datos. Estas claves de cifrado del almacén de datos se almacenan en el KMS interno de Google.
Conclusión
Google Cloud HSM es un conjunto de módulos de seguridad de hardware con certificación FIPS 140-2 de nivel 3 que permiten a los clientes alojar claves de cifrado y realizar operaciones criptográficas en ellas. Si bien Cloud HSM es muy similar a la mayoría de los HSM de red, la implementación de Google para llevar HSM a la nube requirió algunos cambios. Sin embargo, Cloud HSM es una de las mejores opciones de Google Cloud Platform para mantener la seguridad y privacidad de los datos de forma segura y a prueba de manipulaciones. HSM.
