Google Cloud Security – Datakryptering

Beskrivning

Kryptering är en process som tar klartext som indata och omvandlar den till en utdata ( chiffertext ) som inte avslöjar någon information om klartexten . Kryptering lägger till ett försvarslager för att skydda data och säkerställer att om informationen av misstag hamnar i en angripares händer kan de inte komma åt informationen utan att ha tillgång till krypteringsnycklarna. Även om en angripare får tag på lagringsenheterna som innehåller dina data kommer de inte att kunna förstå eller dekryptera dem.

Alternativ för datakryptering

Molnlagring krypterar data på serversidan innan den skrivs till disk, utan extra kostnad. Förutom denna standard finns det ytterligare sätt att kryptera data när du använder molnlagring.

Nedan följer de tillgängliga krypteringsalternativen för Google Cloud:

Kryptering på serversidan

Google Cloud Storage utför serversideskryptering som standard på alla uppladdade objekt. All data delas upp i bitar som kan vara upp till flera GB stora. Med kuvertkryptering krypteras varje databit med en unik datakrypteringsnyckel (DEK) som också är krypterad med en nyckelkrypteringsnyckel (KEK). Den krypterade versionen av DEK lagras sedan tillsammans med den krypterade informationen, och de krypterade databitarna distribueras över Googles lagringssystem.

Google Cloud Storage stöder serversideskryptering med två viktiga alternativ:

Kundlevererade krypteringsnycklar:

Med alternativet kundlevererad krypteringsnyckel (CSEK) måste användarna generera sina egna AES 256
symmetrisk nyckel och tillhandahålla den till Google Cloud Storage för kryptering/dekryptering operationer. CSEK lagras endast i lagringssystemets minne och sparas aldrig på någon Google Cloud-enhet.

Molnlagring lagrar inte användarens nyckel permanent på Googles servrar eller hanterar på annat sätt användarens nyckel. Istället anger användaren nyckeln för varje molnlagringsåtgärd, och nyckeln rensas från Googles server efter att åtgärden är slutförd. Den kundlevererade krypteringsnyckeln hashas och rensas sedan från lagringssystemet. Den kryptografiska hashen används för att validera (framtida förfrågningar) men kan inte användas för att dekryptera data eller för att rekonstruera en nyckel. När kunden anger krypteringsnyckeln använder molnlagring nyckeln vid kryptering.

• objektdata
• objektets kontrollsumma
• objektets hash

Cloud Storage använder standardnycklar på serversidan för att kryptera återstående metadata för objektet, inklusive objektets namn. Krypterings- och dekrypteringsarbetsflöden som nämns nedan:

1. CSEK tillhandahålls Google Cloud Storage tillsammans med datauppladdningen
2. Data är uppdelad i underfilsbitar
3. Ett Google Cloud Storage-system anropar ett gemensamt kryptografiskt bibliotek som Google underhåller, kallat CrunchyCrypt, för att generera en unik engångsnyckel som heter DEK.
4. Varje databit krypteras med hjälp av en DEK
5. Lagringssystemet använder sedan CSEK som KEK och krypterar DEK
6. Den krypterade DEK:n lagras tillsammans med chiffertexten som den krypterade i Google Cloud Storage medan klartextversionen av DEK:n raderas från minnet.
7. Den kundlevererade krypteringsnyckeln hashas och rensas sedan från lagringssystemet. Den kryptografiska hashen används för att validera framtida förfrågningar men kan inte användas för att dekryptera data eller rekonstruera nyckeln.
8. Klienten eller applikationen begär data från Google Cloud Storage samtidigt som CSEK tillhandahålls
9. Google Cloud Storage identifierar de bitar där data lagras och var bitarna finns och hämtar bitarna.
10. För varje datablock hämtar lagringssystemet den krypterade DEK:n och dekrypterar den med hjälp av CSEK:n.
11. När dekrypteringen är klar med DEK, kasserar lagringssystemet DEK och skickar den dekrypterade informationen till klienten eller applikationen som begärde informationen.

Kundhanterade krypteringsnycklar:

Kundhanterade krypteringsnycklar är nycklar som genereras för användare av Cloud Key Management Service (KMS), och som användaren hanterar själv. Dessa nycklar fungerar som ett extra krypteringslager utöver standardkrypteringen i Cloud Storage. Krypterings- och dekrypteringsarbetsflödet:

1. Data delas upp i underfilsbitar efter att de har laddats upp till Google Cloud.
2. Ett Google Cloud Storage-system anropar ett gemensamt kryptografiskt bibliotek som Google underhåller, kallat CrunchyCrypt, för att generera en unik engångs-DEK.
3. Varje databit krypteras med hjälp av en DEK
4. Lagringssystemet skickar sedan DEK till Googles nyckelhanteringstjänst (KMS) att krypteras med hjälp av lagringssystemets tillhörande nyckelkrypteringsnyckel (KEK)
5. Den krypterade DEK:n lagras tillsammans med chiffertexten som den krypterade i Google Cloud Storage medan klartextversionen av DEK:n raderas från minnet.
6. När data begärs identifierar Google Cloud Storage de bitar där informationen lagras och var bitarna finns, och hämtar bitarna.
7. För varje datablock hämtar lagringssystemet den krypterade DEK:n och skickar den till Googles KMS för dekryptering.
8. KMS skickar den dekrypterade DEK:n till lagringssystemet där den används för att dekryptera data
9. Lagringssystemet kasserar DEK:n och skickar den dekrypterade informationen till klienten som begärde informationen.

Klientsidans kryptering:

Med det här alternativet skapar och hanterar användare sina egna krypteringsnycklar. Användare måste kryptera data innan de skickas till molnlagring. De krypterade data på klientsidan anländer till molnlagring i krypterat tillstånd. När molnlagring tar emot data krypteras de ytterligare en gång. Denna andra kryptering kallas serversideskryptering, vilket Cloud Storage hanterar. När data hämtas tar molnlagring bort serversideskrypteringslagret, men användaren måste själv dekryptera klientsideslagret.

Fördelar

Kundhanterade nycklar ger följande fördelar:

• Mer kontroll över dataåtkomst:
  • Kundhanterade nycklar ger en extra säkerhetsnivå för kunder med känsliga uppgifter.
  • När kunden väljer att inaktivera åtkomst kan data inte längre dekrypteras
• Stoppa dataintrång:
  • I det här fallet kommer inaktivering av kundhanterade nycklar att göra det möjligt för kunder att stoppa pågående exfiltrering av deras data
• Mer kontroll över datalivscykeln:
  • Med hjälp av kundhanterade nycklar krypteras känslig data med kundens nyckel. Utan kundens/användarens samtycke kan ingen dekryptera informationen.
  • Kunden har full kontroll över datas livscykel
• Säkra
  • Beräkningstillgångar krypteras med den branschledande AES-256-standarden, och Google behåller aldrig användarnycklar, vilket innebär att Google inte kan dekryptera användardata i vila.
• Omfattande
  • Kundlevererade krypteringsnycklar täcker alla former av vilande data för Compute Engine, inklusive startdiskar och persistenta datadiskar.
• Snabb
  • Google Compute Engine krypterar redan användares data i vila, och kundlevererad kryptering Nycklar ger användaren större kontroll, utan extra kostnader.