Wat zijn de diensten van Google Cloud Platform (GCP)?

De diensten van Google Cloud Platform (GCP) vormen Google's suite van cloudcomputingproducten voor rekenkracht, opslag, netwerken, data-analyse en beveiliging. De belangrijkste dienst voor gegevensbeveiliging is Cloud Key Management Service (Cloud KMS), waarmee u cryptografische sleutels kunt aanmaken, gebruiken, roteren en verwijderen op vijf verschillende beveiligingsniveaus.

Google Cloud Platform (GCP) is de publieke cloud van Google en biedt rekenkracht, opslag, netwerkdiensten, analyses en beveiligingsdiensten aan startups, bedrijven en overheden. Voor gegevensbescherming is GCP gebaseerd op Cloud Key Management Service (Cloud KMS), waarmee encryptiesleutels worden beheerd in software, in FIPS 140-2 Level 3 hardwarebeveiligingsmodules of in een externe sleutelbeheerder die u zelf beheert.

Key Takeaways

• Cloud KMS biedt vijf beveiligingsniveaus: SOFTWARE, HSM (multi-tenant), HSM_SINGLE_TENANT, EXTERNAL en EXTERNAL_VPC.
• Software-sleutels maken gebruik van FIPS 140-3 Level 1 gevalideerde primitieven van de BoringCrypto-module; Cloud HSM-sleutels worden gegenereerd en gebruikt in FIPS 140-2 Level 3 gevalideerde HSM's (CMVP-certificaat #4399).
• Cloud KMS ondersteunt post-kwantumalgoritmen: ML-DSA (FIPS 204) en SLH-DSA-SHA2-128s (FIPS 205) ondertekening zijn algemeen beschikbaar, en ML-KEM (FIPS 203) plus de X-Wing hybride KEM voor sleutelinkapseling bevinden zich in de previewfase.
• Bring Your Own Key (BYOK) maakt gebruik van sleutelimport via een importtaak; de aanbevolen methode is RSA_OAEP_3072_SHA256_AES_256.
• Directe encryptie is beperkt tot 64 KiB voor software-sleutels en 8 KiB gecombineerde platte tekst plus AAD voor HSM-sleutels; gebruik envelop-encryptie voor grotere gegevens.

Wat is Google Cloud Platform (GCP)?

Google Cloud Platform (GCP) is de verzameling cloudcomputingdiensten die Google uitvoert op dezelfde infrastructuur die het gebruikt voor zijn eigen producten. Deze diensten omvatten rekenkracht, opslag, netwerken, databases, data-analyse, machine learning en beveiliging.

Organisaties van elke omvang gebruiken GCP naast Amazon Web Services (AWS) en Microsoft Azure , en de sterke punten op het gebied van data-analyse en wereldwijde netwerkinfrastructuur maken het een populaire keuze voor data-intensieve workloads. Voor teams die verantwoordelijk zijn voor de bescherming van gegevens, is de belangrijkste dienst Cloud Key Management Service (Cloud KMS), het beheerde platform van Google voor het aanmaken en beheren van cryptografische sleutels.

Cloud KMS-beveiligingsniveaus

Cloud KMS biedt vijf beveiligingsniveaus die verschillen afhankelijk van waar de sleutels zich bevinden en wie er toegang toe heeft. Google beschrijft deze niveaus als SOFTWARE, HSM, HSM_SINGLE_TENANT, EXTERNAL en EXTERNAL_VPC. U gebruikt elk beveiligingsniveau via dezelfde Cloud KMS API en clientbibliotheken, waardoor de applicatiecode niet hoeft te worden aangepast wanneer u overstapt van softwarematige naar hardwarematige sleutels.

Beschermingsniveau	Waar de sleutels zich bevinden	FIPS-validatie
SOFTWARE	Google-software (BoringCrypto-module)	FIPS 140-3 Niveau 1 (BCM-primitieven)
HSM (multi-tenant)	Gedeelde HSM-clusters in eigendom van Google	FIPS 140-2 niveau 3
HSM_SINGLE_TENANT	Toegewijde HSM-partities die u beheert	FIPS 140-2 niveau 3
EXTERNE	Externe sleutelbeheerder via internet	Afhankelijk van de EKM-aanbieder
EXTERNE_VPC	Externe sleutelbeheerder via een VPC-netwerk	Afhankelijk van de EKM-aanbieder

Softwarematige sleutels zijn de goedkoopste optie en geschikt voor workloads zonder hardwarevereisten. Cloud HSM is bedoeld voor gereguleerde workloads die sleutels moeten genereren en gebruiken binnen gecertificeerde hardware. Een Cloud HSM voor één gebruiker biedt cryptografische isolatie ten opzichte van andere klanten. Cloud EKM (de twee EXTERNE niveaus) bewaart sleutelmateriaal bij een partner-sleutelbeheerder zoals Thales of Fortanix, zodat Google geen toegang heeft tot uw sleutels.

FIPS-validatie: 140-2 en 140-3

Cloud KMS voldoet aan zowel FIPS 140-2 als FIPS 140-3, afhankelijk van het beveiligingsniveau. Softwarematige sleutels worden uitgevoerd op de BoringCrypto-module (BCM), die FIPS 140-3-gevalideerd is. Softwarematige cryptografische bewerkingen maken daarom gebruik van FIPS 140-3 Level 1-gevalideerde primitieven. Cloud HSM-sleutels worden gegenereerd en gebruikt binnen FIPS 140-2 Level 3-gevalideerde hardwarebeveiligingsmodules onder CMVP-certificaat #4399.

De verwijzing naar 140-2 bevat een kanttekening. Het Cryptographic Module Validation Program (CMVP) van NIST heeft certificaat #4399 al op de historische lijst geplaatst via het afbouwproces, en alle resterende FIPS 140-2-certificaten worden op 21 september 2026 op de historische lijst geplaatst. De status 'historisch' schakelt een module niet uit, maar CMVP beschrijft historische modules als modules die federale instanties niet in nieuwe aanbestedingen zouden moeten opnemen. Teams met FedRAMP-, CMMC- of DFARS-verplichtingen moeten nagaan welke van hun cryptografische componenten een traject naar FIPS 140-3 hebben.

Sleutels, algoritmen en versleutelingsmodi

Cloud KMS ondersteunt symmetrische en asymmetrische sleutels met een gedefinieerde set algoritmen. Symmetrische encryptie maakt gebruik van AES-256 in Galois/Counter Mode (GCM). Asymmetrische opties omvatten RSA met 2048, 3072 en 4096 bits en elliptische-curve-sleutels op basis van P-256, P-384 en secp256k1. Elke sleutel heeft een doel (zoals ENCRYPT_DECRYPT of ASYMMETRIC_SIGN) dat bepaalt welke bewerkingen ermee kunnen worden uitgevoerd.

Ondertekenings- en versleutelingsalgoritmen

Voor asymmetrische ondertekening ondersteunt Cloud KMS RSA (RSASSA-PSS en RSASSA-PKCS1-v1_5) en elliptische-curve-ondertekening (ECDSA op P-256, P-384 en secp256k1, plus Ed25519). Google raadt EC_SIGN_P256_SHA256 aan voor elliptische-curve-ondertekening en RSA_SIGN_PSS_3072_SHA256 voor RSA. Voor asymmetrische encryptie gebruikt Cloud KMS RSAES-OAEP met als aanbevolen standaardwaarde RSA_DECRYPT_OAEP_3072_SHA256.

Post-kwantumalgoritmen

Cloud KMS ondersteunt nu NIST post-kwantumcryptografie. Voor digitale handtekeningen biedt het ML-DSA-44, ML-DSA-65 en ML-DSA-87 (FIPS 204) en SLH-DSA-SHA2-128s (FIPS 205), die allemaal algemeen beschikbaar zijn. Voor sleuteluitwisseling biedt het, in preview, ML-KEM-768 en ML-KEM-1024 (FIPS 203) en de X-Wing hybride KEM, die ML-KEM-768 combineert met X25519. Google raadt de X-Wing hybride aan voor sleutelversleuteling omdat deze een klassiek en een post-kwantumschema combineert. Deze algoritmen beschermen langlevende data tegen aanvallen waarbij de data nu wordt verzameld en later wordt gedecodeerd.

Neem je eigen sleutel mee (BYOK) en sleutelimport

Bring Your Own Key (BYOK) in Cloud KMS wordt geïmplementeerd via sleutelimport. U maakt een importtaak aan, versleutelt uw sleutelmateriaal met de openbare sleutel van de importtaak en Cloud KMS ontsleutelt het binnen het gewenste beveiligingsniveau, zodat de onbewerkte sleutel tijdens de overdracht nooit wordt blootgesteld. De aanbevolen importmethode is RSA_OAEP_3072_SHA256_AES_256.

Die methode is een hybride versleuteling. Cloud KMS versleutelt een eenmalige AES-256-sleutel met RSAES-OAEP (met behulp van MGF1 en de gekozen digest) en versleutelt vervolgens uw doelsleutel met die AES-256-sleutel met behulp van AES Key Wrap with Padding, zoals gedefinieerd in RFC 5649. De twee resultaten worden samengevoegd tot de versleutelde sleutelblob. Dit is dezelfde constructie als het PKCS #11 CKM_RSA_AES_KEY_WRAP-mechanisme.

Limieten voor gegevensgrootte en envelopversleuteling

Cloud KMS is ontworpen om sleutels voor sleutelversleuteling te beschermen, niet bulkdata. Directe versleuteling kent daarom beperkingen qua grootte. Voor software-, externe en externe VPC-sleutels mag de platte tekst per versleutelingsoproep niet groter zijn dan 64 KiB. Voor HSM-sleutels mag de gecombineerde platte tekst en aanvullende geauthenticeerde gegevens (AAD) niet groter zijn dan 8 KiB.

Voor grotere datasets kunt u envelopversleuteling gebruiken: genereer een lokale dataversleutelingssleutel (DEK), versleutel uw gegevens met de DEK en gebruik vervolgens een Cloud KMS-sleutelversleutelingssleutel (KEK) om de DEK te versleutelen. U slaat de versleutelde gegevens op naast de versleutelde DEK, en de KEK verlaat Cloud KMS nooit.

Hoe encryptieconsultancy kan helpen

De Cloud Data Protection Services van Encryption Consulting helpen u bij het ontwerpen en beheren van sleutelbeheer op Google Cloud, van het kiezen van het juiste Cloud KMS-beveiligingsniveau tot het integreren van door de klant beheerde encryptiesleutels (CMEK) in BigQuery, Cloud Storage en Compute Engine. Onze GCP Data Protection Service omvat het ontwerpen van sleutelhiërarchieën, BYOK- en Cloud EKM-configuratie, rotatiebeleid en auditregistratie, zodat uw implementatie aansluit op uw complianceverplichtingen. Voor teams die vooruit plannen, begeleiden onze PQC Advisory Services de implementatie van de post-quantumalgoritmen die nu beschikbaar zijn in Cloud KMS. Ondersteund door ISO/IEC 27001:2022 en SOC 2-gecertificeerde werkwijzen.

Veelgestelde Vragen / FAQ

Voldoet Google Cloud KMS aan FIPS 140-2 of FIPS 140-3?

Google Cloud KMS voldoet aan beide eisen, afhankelijk van het beveiligingsniveau. Softwarematige sleutels maken gebruik van de BoringCrypto-module (BCM), die FIPS 140-3-gevalideerd is, waardoor cryptografische bewerkingen in de software gebruikmaken van FIPS 140-3 Level 1-gevalideerde primitieven. Cloud HSM-sleutels worden gegenereerd en gebruikt in FIPS 140-2 Level 3-gevalideerde HSM's (CMVP-certificaat #4399). NIST heeft certificaat #4399 al toegevoegd aan de historische lijst en alle overige FIPS 140-2-certificaten volgen daar op 21 september 2026.

Wat is het verschil tussen Cloud KMS-softwarelicentiesleutels, Cloud HSM en Cloud EKM?

De drie verschillen in waar het sleutelmateriaal zich bevindt en wie er controle over heeft. Software-sleutels voeren cryptografische bewerkingen uit in Google-software op FIPS 140-3 niveau 1. Cloud HSM slaat sleutels op in hardwarebeveiligingsmodules op FIPS 140-2 niveau 3, met opties voor meerdere tenants en één tenant. Cloud EKM bewaart sleutels in een externe sleutelbeheerder zoals Thales of Fortanix, die via internet of een VPC-netwerk bereikbaar is, waardoor Google geen toegang heeft tot het sleutelmateriaal.

Biedt Google Cloud KMS ondersteuning voor post-kwantumcryptografie?

Ja. Cloud KMS ondersteunt NIST post-quantum algoritmen voor ondertekening en sleuteluitwisseling. Ondertekening met ML-DSA-44, ML-DSA-65 en ML-DSA-87 (FIPS 204) plus SLH-DSA-SHA2-128s (FIPS 205) is algemeen beschikbaar. Sleutelinkapseling met ML-KEM-768, ML-KEM-1024 (FIPS 203) en de X-Wing hybride KEM, die ML-KEM-768 combineert met X25519, is in preview. Deze algoritmen beschermen lang bestaande data tegen aanvallen waarbij de data eerst wordt gestolen en later wordt gedecodeerd.

Hoe werkt Bring Your Own Key (BYOK) in Google Cloud KMS?

BYOK in Cloud KMS maakt gebruik van sleutelimport via een importtaak. U versleutelt uw sleutelmateriaal met de openbare sleutel van de importtaak, waarna Cloud KMS het binnen het gewenste beveiligingsniveau ontsleutelt. De aanbevolen methode, RSA_OAEP_3072_SHA256_AES_256, versleutelt een eenmalige AES-256-sleutel met RSAES-OAEP en versleutelt uw sleutel vervolgens met die AES-sleutel met behulp van AES Key Wrap with Padding (RFC 5649).

Hoeveel data kan Google Cloud KMS rechtstreeks versleutelen?

Cloud KMS is ontworpen om sleutels voor sleutelversleuteling te beschermen, niet bulkdata. Voor software-, externe en externe VPC-sleutels is de limiet voor onversleutelde tekst per versleutelingsoproep 64 KiB. Voor HSM-sleutels is de gecombineerde limiet voor onversleutelde tekst en aanvullende geauthenticeerde data 8 KiB. Voor grotere hoeveelheden data kunt u envelopversleuteling gebruiken: genereer een lokale sleutel voor gegevensversleuteling, versleutel de data ermee en versleutel die sleutel vervolgens met Cloud KMS.

Beveilig uw Google Cloud-sleutels met een gerust hart.

Stem uw Cloud KMS-ontwerp af op uw compliance-eisen en plan uw paraatheid na de kwantumovergang met Encryption Consulting. Ontdek onze Cloud Data Protection Services , ISO/IEC 27001:2022 en SOC 2 gecertificeerd.