Sécurité cloud : Google laisse les clés de Compute Engine

Prendre la main sur la sécurisation des données en important ses propres clés de chiffrement : c’est ce que Google propose désormais aux utilisateurs de la plate-forme cloud Compute Engine.

La fonctionnalité vient d’être lancée en bêta publique dans 7 pays, dont la France. Elle est censée apporter une couche de protection supplémentaire à travers une clé « maîtresse » accessible uniquement par l’entité qui l’aura créée. Ce qui signifie aussi que sans elle, il sera impossible d’accéder aux données associées, y compris en sollicitant Google.

Il existe quelques restrictions d’ordre technique sur ce qui est ou non chiffrable avec ce dispositif. Impossible, par exemple, de l’appliquer aux volumes déjà en place. Même constat pour les supports non persistants, comme les SSD locaux, supprimés à l’extinction de la machine virtuelle qui leur est liée.

Toute clé privée « faite maison » doit impérativement être au format 256 bits et encodée en base64. Il est possible de l’encapsuler avec un certificat RSA public fourni par Google (à cette adresse) pour s’assurer que seuls les services rattachés à la plate-forme cloud du groupe américain puissent l’exploiter.

L’importation de la clé se fait via les interfaces de programmation Compute Engine (fonction rawKey ou rsaEncryptedKey), la console développeurs ou l’interface en ligne de commande gcloud.

Dans ce dernier cas, il faut passer par un fichier JSON qui pourra contenir une ou plusieurs clés… mais qui devra, dans tous les cas, être lui-même chiffré avec des outils comme BitLocker sous Windows, FileVault 2 sous OS X et eCryptfs sous Linux.

Google cible surtout les sociétés soumises à de strictes obligations légales en matière de protection des données, typiquement dans les secteurs du droit, de la finance et de la santé. Principale promesse : davantage de flexibilité dans la gestion du chiffrement, autour de problématiques telles que « Quand puis-je considérer que des données sont actives et non au repos ? ».

Crédit photo : Maksim Kabakou – Shutterstock.com