Google Cloud Platform (GCP) – Introduktion till Google Cloud HSM

Beskrivning

Googles Cloud HSM-tjänst tillhandahåller hårdvarubaserade nycklar till molnet KMS (Nyckelhanteringstjänst). Detta ger kunderna möjlighet att hantera och använda sina kryptografiska nycklar samtidigt som den skyddas av helt hanterade Hårdvarusäkerhetsmoduler (HSM)Cloud HSM-tjänsten har hög tillgänglighet och skalas horisontellt automatiskt. Skapade nycklar skulle vara regionalt bundna till den KMS-region där nyckelringen är definierad. Med Cloud HSM kan de nycklar som användare skapar och använder inte materialiseras utanför klustret av HSM:er som tillhör den region som anges vid tidpunkten för nyckelskapandet.

Med hjälp av Cloud HSM kan användare verifiera att deras kryptografiska nycklar skapas och används exklusivt i en hårdvaruenhet. Inga applikationsändringar krävs för att befintliga Cloud KMS-kunder ska kunna använda Cloud HSM. Cloud HSM-tjänsten nås med samma API och klientbibliotek som Cloud KMS-programvarans backend.

Cloud HSM-tjänsten använder HSM:er, vilka är FIPS 140-2 Nivå 3-validerade och körs alltid i FIPS-läge. FIPS-standarden specificerar de kryptografiska algoritmer och slumptalsgenerering som används av HSM:erna.

Provisionering och hantering av HSM:er

Provisionering av HSM:er utförs i ett laboratorium utrustat med ett flertal fysiska och logiska skyddsåtgärder, inklusive auktoriseringskontroller för flera parter för att förhindra intrång från enskild aktör.
Följande är Cloud HSM-systemnivåinvarianter:

1. Kundnycklar kan inte extraheras eftersom oformatterad text.
2. Kundnycklar kan inte flyttas utanför ursprungsregionen.
3. Alla konfigurationsändringar av etablerade HSM:er skyddas genom flera säkerhetsåtgärder.
4. Administrativa åtgärder loggas, med hänsyn till arbetsuppdelningen mellan Cloud HSM-administratörer och loggningsadministratörer.
5. HSM:er är utformade för att skyddas mot manipulering, till exempel genom införande av skadliga hårdvaru- eller programvarumodifieringar, eller obehörig utvinning av hemligheter, under hela den operativa livscykeln.

Leverantörsstyrd firmware på Cloud HSM

HSM-firmware signeras digitalt av HSM-leverantören. Google kan inte skapa eller uppdatera HSM-firmwaren. All firmware från leverantören är signerad, inklusive utvecklingsfirmware som används för testning.

Google Cloud HSM-nyckelhierarki

Cloud HSM omsluter kundnycklar, och Cloud KMS-nycklar omsluter HSM-nycklar, som sedan lagras i Googles datalager.

Cloud HSM har en nyckel som styr migreringen av material inom Cloud HSM:s administrativa domän.

Rotnyckeln för Cloud HSM har två primära egenskaper:
Rotnyckeln genereras på HSM och lämnar under hela sin livslängd aldrig HSM:s väldefinierade gränser. Kloning är dock möjlig och säkerhetskopior av HSM:er är tillåtna.

Rotnyckeln kan användas som en krypteringsnyckel för att omsluta kundnycklar som HSM:er använder. Omslutna kundnycklar kan användas på HSM:en, men HSM:en returnerar aldrig en oomsluten kundnyckel. HSM:er kan endast använda kundnycklar för operativa ändamål.

Nyckelförvaring

HSM:er används inte som en permanent datalagringslösning för nycklar. HSM:er lagrar bara nycklar medan de används. Eftersom HSM-lagring är begränsad krypteras HSM-nycklar och lagras sedan i Cloud KMS-nyckeldatalagret.
Cloud KMS-datalagret är mycket tillgängligt, hållbart och väl skyddat. Några av dess funktioner är:

1. TillgänglighetCloud KMS använder Googles interna datalagring, som har hög tillgänglighet, och stöder även ett antal av Googles kritiska system.
2. HållbarhetCloud KMS använder autentiserad kryptering för att lagra kundens nyckelmaterial i datalagret. Dessutom autentiseras all metadata med hjälp av en hashbaserad meddelandeautentiseringskod (HMAC) för att säkerställa att den inte har ändrats eller skadats i vila. Varje timme skannar ett batchjobb allt nyckelmaterial och alla metadata och verifierar att HMAC:erna är giltiga och att nyckelmaterialet kan dekrypteras korrekt.

   Cloud KMS använder flera typer av säkerhetskopior för datalagret:

   • Som standard sparar datalagret en ändringshistorik för varje rad i flera timmar. I en nödsituation kan denna livslängd förlängas för att ge mer tid att åtgärda problem.
   • Varje timme registrerar datalagret en ögonblicksbild. Ögonblicksbilden kan valideras och användas för återställning vid behov. Dessa ögonblicksbilder sparas i fyra dagar.
   • Varje dag kopieras en fullständig säkerhetskopia till disk och band.
3. ResidencySäkerhetskopior av molnbaserade KMS-datalagrar finns i sin associerade Google Cloud-region. Dessa säkerhetskopior är alla krypterade i vila.
4. SkyddPå Cloud KMS-applikationslagret krypteras kundnyckelmaterialet innan det lagras. Datalagrets ingenjörer har inte tillgång till kundnyckelmaterialet i klartext. Dessutom krypterar datalagret all data det hanterar innan det skrivs till permanent lagring. Detta innebär att åtkomst till underliggande lagringslager, inklusive diskar eller band, inte skulle tillåta åtkomst till ens den krypterade Cloud KMS-datan utan åtkomst till datalagrets krypteringsnycklar. Dessa datalagrets krypteringsnycklar lagras i Googles interna KMS.

Slutsats

Google Cloud HSM är ett kluster av FIPS 140-2 nivå 3-certifierade hårdvarusäkerhetsmoduler som gör det möjligt för kunder att vara värd för krypteringsnycklar och utföra kryptografiska operationer på dem. Även om Cloud HSM är mycket likt de flesta nätverks-HSM:er, krävde Googles implementering för att ta HSM till molnet vissa ändringar. Ändå är Cloud HSM ett av de bästa alternativen från Google Cloud Platform för att hålla data säker och privat på ett manipulationssäkert sätt. HSM.