The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги ]

18.01.2017 17:06  Google раскрыл подробности обеспечения безопасности в своей инфраструктуре

Компания Google опубликовала обзор мер, предпринимаемых для обеспечения безопасности серверной инфраструктуры. Некоторые интересные особенности:

  • Во всех серверах используются собственные материнские платы и сетевые компоненты, разработанные инженерами Google и произведённые под контролем представителей компании. Оборудование, включая периферийные устройства, оснащены специальным чипом, отвечающим за безопасную идентификацию и аутентификацию устройства на аппаратном уровне. Программные компоненты, включая прошивки, загрузчики, ядро и базовые образы систем проверяются по цифровой подписи. Таким образом в инфраструктуре могут применяться только проверенные аппаратные и программные элементы, содержащие корректную цифровую подпись.
  • В ситуациях, когда серверное оборудование приходится размещать в чужих датацентрах, оборудование Google отгораживается в собственный периметр физической безопасности, в котором для доступа применяются независимые биометрические датчики, камеры наблюдения и металлодетекторы.
  • Данные записываются на жесткие диски и SSD-накопители только в зашифрованном виде, что позволяет защитить их от несанкционированного доступа и возможных вредоносных действий, инициируемых со стороны прошивок, используемых в накопителях. Шифрование реализуется на аппаратном уровне. Жизненный цикл каждого накопителя скрупулезно отслеживается - если накопитель выходит из под контроля Google, он проходит многоэтапный процесс очистки с двумя независимыми проверками качества исполнения операции. Если устройство не может быть очищено, например, в результате сбоя накопителя, оно подвергается физическому уничтожению в измельчителе.
  • Для выполнения виртуальных машин в облачной инфраструктуре Google применяется модифицированная версия гипервизора KVM, исправления всех проблем в котором возвращаются в upstream. Для ограничения отдельных сервисов в виртуальных машинах может применяться более высокий уровень изоляции на основе контейнеров и sandbox-технологий.
  • Весь создаваемый сотрудниками код проходит несколько стадий проверки, включая fuzzing-тестирование, статический анализ, автоматическое и ручное рецензирование. Ручное рецензирование проводится специальной группой, в которую входят эксперты в области безопасности, криптографии и защиты операционных систем. Код также должен быть одобрен как минимум одним сторонним инженером, не входящем в число авторов проверяемого проекта. С другой стороны, все вносимые в код правки обязательно должны быть подтверждены сопровождающим, ответственным за этот код.
  • Весь развиваемый в Google исходный код хранится в одном централизованном репозитории, в котором для аудита доступны все текущие и прошлые версии сервисов. Серверная инфраструктура может быть настроена на выполнение бинарных файлов сервиса, собранных только из определённой ревизии исходных текстов, прошедшей тестирование и рецензирование.
  • Разделения сети на сегменты и применение пакетных фильтров не относится к числу первичных систем обеспечения безопасности, внутренняя сетевая безопасность основывается на разделении полномочий на уровне доступа к отдельным сервисам и приложениям. Сотрудник получает доступ к ограниченному числу внутренних приложений, которые принимают запросы от работника только в контексте обращения с корректно обслуживаемой клиентской системы, из разрешённой подсети и ожидаемого физического местоположения (например, персонал, отвечающий за Gmail имеет доступ только к сервисам, связанным с данной системой).
  • Обмен данными между сервисами осуществляется с применением шифрования и криптографических методов аутентификации и авторизации. Каждый сервис выполняется в общей инфраструктуре, имеет свой криптографический идентификатор, который используется для идентификации сервиса при приёме запросов или обращении к другим сервисам. Криптографические идентификаторы также используется клиентами, чтобы удостовериться, что они обратились к требуемому серверу, и серверами для ограничения доступа клиентов к данным и методам.
  • При необходимости обработки сервисами запросов из глобальной сети применяется специальная прослойка - Google Front End (GFE), которая проверяет корректность сертификатов для TLS-соединений, выполняет балансировку нагрузки и осуществляет защиту от DoS-атак. Полученный запрос перенаправляется к сервису с использованием защищённого внутреннего RPC-протокола.
  • Для персонала применяется двухфакторная аутентификация. Применяемые сотрудниками клиентские системы проверяются на предмет применения всех имеющихся обновлений и установки только разрешённых приложений. Пользовательские приложения, загрузки файлов, браузерные расширения и просматриваемый web-контент проходит проверку на предмет допустимости использования на корпоративных клиентских устройствах.
  • Все действия сотрудников, требующие расширенных привилегий, по возможности автоматизированы. При необходимости проведения ручной работы по администрированию инфраструктуры или привилегированного доступа к системам требуется получения разрешения от двух ответственных лиц и по возможности открывается доступ к ограниченному отладочному API, позволяющему произвести отладку не касаясь конфиденциальной информации. Весь доступ сотрудников к пользовательской информации отслеживается и журналируется через систему низкоуровневых обработчиков. Работники службы безопасности и автоматизированные системы выполняют мониторинг активности сотрудников и выявляют нетипичную активность.


  1. Главная ссылка к новости (https://cloud.google.com/secur...)
Лицензия: CC-BY
Тип: английский / Обобщение
Ключевые слова: google, security
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение Линейный вид | Ajax | Показать все | RSS
 
  • 1.1, Аноним, 20:02, 18/01/2017 [ответить] [смотреть все]
  • +6 +/
    Норм так
     
     
  • 2.87, Mail, 04:05, 21/01/2017 [^] [ответить] [смотреть все] [показать ветку]
  • +/
    Норм бабла у компании на все это :))
     
  • 1.2, CyberPunker, 20:05, 18/01/2017 [ответить] [смотреть все]
  • –2 +/
    > Данные записываются на жесткие диски и SSD-накопители только в зашифрованном виде

    А как насчет физический доступ к контактной плате подкопом под датацентром?

    Тогда можно прочитать всю память на включенном сервере.

     
     
  • 2.3, lo0, 20:10, 18/01/2017 [^] [ответить] [смотреть все] [показать ветку]
  • +/
    Можно ведь перехватывать электронные импульсы какой-нибудь нано-штукой, зачем по... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.4, CyberPunker, 20:12, 18/01/2017 [^] [ответить] [смотреть все]  
  • +/
    Установить высокоскоростной доступ по оптике для выкачивания из остальных датаце... весь текст скрыт [показать]
     
     
  • 4.45, Аноним, 08:19, 19/01/2017 [^] [ответить] [смотреть все]  
  • +3 +/
    А также не забыть построить свои датацентры размером с гугл, чтобы было куда вык... весь текст скрыт [показать]
     
     
  • 5.54, Аноним, 09:44, 19/01/2017 [^] [ответить] [смотреть все]  
  • +16 +/
    Книга "как управлять миром не привлекая внимание санитаров" для всех комментаторов в ветке )
     
     
  • 6.89, Вареник, 03:16, 22/01/2017 [^] [ответить] [смотреть все]  
  • +/
    Топов Гугла эта книга уже привела к успеху.
     
  • 3.5, CyberPunker, 20:20, 18/01/2017 [^] [ответить] [смотреть все]  
  • +/
    Доступ внутри периметра открытый, можно внедриться надолго для выкачивания всего... весь текст скрыт [показать]
     
     
  • 4.9, Аноним, 21:18, 18/01/2017 [^] [ответить] [смотреть все]  
  • +7 +/
    Чтобы выкачать вечь Гугл, нужно чтобы Терминатор привез флешку из 23 века. Ни на что больше не влезет
     
     
  • 5.10, Аноним, 21:46, 18/01/2017 [^] [ответить] [смотреть все]  
  • +1 +/
    А если без пр0на и рекламы ... весь текст скрыт [показать]
     
     
  • 6.15, Аноним666, 22:26, 18/01/2017 [^] [ответить] [смотреть все]  
  • +8 +/
    а нафиг тогда нужен инет? :)
     
  • 5.93, dima, 13:03, 23/01/2017 [^] [ответить] [смотреть все]  
  • +/
    а куда ты втыкать будешь флешку из 23 века??)
     
  • 4.32, наивняк, 01:57, 19/01/2017 [^] [ответить] [смотреть все]  
  • +/
    > Доступ внутри периметра открытый

    хрена там с два.

     
  • 3.14, Ъ, 22:18, 18/01/2017 [^] [ответить] [смотреть все]  
  • +1 +/
    https://ru.wikipedia.org/wiki/TEMPEST
     
  • 2.6, Аноним, 20:33, 18/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    Они ничего важного в левые дц не ставят гулаг из левых ДЦ только кеш раздают и ... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.33, тоже аноним, 01:58, 19/01/2017 [^] [ответить] [смотреть все]  
  • +/
    гугль не особенно скрывает существование magic lantern ... весь текст скрыт [показать]
     
  • 1.7, Аноним, 20:50, 18/01/2017 [ответить] [смотреть все]  
  • +34 +/
    >> защитить их от несанкционированного доступа и возможных вредоносных действий, инициируемых со стороны прошивок, используемых в накопителях

    Когда пристально следишь за другими, сам становишься параноиком.

     
     
  • 2.18, Аноним, 23:16, 18/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    Символический обмен, да.
     
     
  • 3.46, Аноним, 08:21, 19/01/2017 [^] [ответить] [смотреть все]  
  • +1 +/
    > Символический обмен, да.

    Просто им то виднее к чему это все приводит.

     
  • 2.43, Аноним, 06:55, 19/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    верно
     
  • 1.8, Аноним, 20:51, 18/01/2017 [ответить] [смотреть все]  
  • –1 +/
    Вот почему ФCБ отстало от Гугла я про якобы защиту персональных данных Ого... весь текст скрыт [показать]
     
     
  • 2.79, Аноним, 19:10, 19/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • –1 +/
    Они просто пришли к взаимо-выгодному соглашению)
     
  • 1.13, Я, 21:59, 18/01/2017 [ответить] [смотреть все]  
  • +/
    это точно гугл, а не цру, ми6, анб, наса и т.п.?
     
     
  • 2.16, Аноним, 22:42, 18/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • +1 +/
    Это одно и то же.
     
     
  • 3.49, Аноним, 08:55, 19/01/2017 [^] [ответить] [смотреть все]  
  • +3 +/
    Привет, коллега! Подскажи, как мыть голову, не снимая фольгированную шапочку.
     
     
  • 4.52, Аноним, 09:34, 19/01/2017 [^] [ответить] [смотреть все]  
  • +1 +/
    Вот поэтому я сделал шапочку не из фольги, а из мелкой металлической сетки!
     
  • 4.71, Школьник, 12:22, 19/01/2017 [^] [ответить] [смотреть все]  
  • +/
    После того, что рассказал Сноуден, ваш комментарий имеет все шансы быть смешным ... весь текст скрыт [показать]
     
  • 2.34, тоже аноним, 02:01, 19/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • –2 +/
    абсолютно точно Гугль извлекает свой профит из торговли информацией В том числ... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.40, Drom, 06:29, 19/01/2017 [^] [ответить] [смотреть все]  
  • +2 +/
    Агентура - самое ценное в таких подразделениях. Зря вы так.
     
  • 1.17, Аноним, 23:12, 18/01/2017 [ответить] [смотреть все]  
  • –2 +/
    А Google Drive всё равно падает https techcrunch com 2017 01 17 google-drive... весь текст скрыт [показать]
     
     
  • 2.86, Аноним, 19:38, 20/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    Google хорошая компания, анон пошутил. Брат всё видит.
     
  • 1.19, Аноним, 23:18, 18/01/2017 [ответить] [смотреть все]  
  • –6 +/
    С помощью ректального криптоанализа можно расшифровать все данные и обойти все у... весь текст скрыт [показать]
     
     
  • 2.22, Demo, 23:28, 18/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • +4 +/
    А вот и советы бывалых ... весь текст скрыт [показать] [показать ветку]
     
  • 2.23, Аноним, 23:40, 18/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • +4 +/
    Именно поэтому строятся многоуровневые системы автоматического контроля Ну отда... весь текст скрыт [показать] [показать ветку]
     
  • 2.47, Аноним, 08:22, 19/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • +1 +/
    И как, много гуглей таким манером было расхакано ... весь текст скрыт [показать] [показать ветку]
     
  • 2.70, Аноним, 12:19, 19/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • +3 +/
    В тех странах где гугл размешает свои датацентры за пытки могут и на электрическ... весь текст скрыт [показать] [показать ветку]
     
  • 2.76, TiGR, 15:30, 19/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    Там система безопасности в том числе включает в себя повсеместное разделение рол... весь текст скрыт [показать] [показать ветку]
     
  • 1.20, жабабыдлокодер, 23:20, 18/01/2017 [ответить] [смотреть все]  
  • +1 +/
    А наручники на сотрудников они надевают?
     
  • 1.21, Аноним, 23:20, 18/01/2017 [ответить] [смотреть все]  
  • +/
    Ой простите, Терморектальный
     
  • 1.24, ixrws, 00:12, 19/01/2017 [ответить] [смотреть все]  
  • –7 +/
    Обычное рабство Когда вы складываете что-то в одно место - его нужно охранять, ... весь текст скрыт [показать]
     
     
  • 2.26, Led, 00:54, 19/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • +1 +/
    Сурово ты их обложил, васян так им и надо ... весь текст скрыт [показать] [показать ветку]
     
  • 2.30, Аноним, 01:38, 19/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    это только если ты живешь в совковой глубинке а не в столице родины
     
  • 2.36, Аноним, 02:52, 19/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • +1 +/
    Да, а че мана, чик-чик и в продакшин. Че нам, дэ, Васян?
     
  • 1.25, gre, 00:26, 19/01/2017 [ответить] [смотреть все]  
  • +/
    > оно подвергается физическому уничтожению в измельчителе.

    https://www.youtube.com/watch?v=Wp8sFsriH4c очень мило

     
     
  • 2.28, Аноним, 01:11, 19/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • –1 +/
    Так ведь можно магнитным микроскопом потом восстановить информацию частично Я д... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.59, pkdr, 11:11, 19/01/2017 [^] [ответить] [смотреть все]  
  • +5 +/
    Тогда это отличное место для финальной битвы с директором google.
     
     
  • 4.65, Аноним, 12:03, 19/01/2017 [^] [ответить] [смотреть все]  
  • +/
    Директор google - терминатор?...
     
     
  • 5.90, Вареник, 03:26, 22/01/2017 [^] [ответить] [смотреть все]  
  • +/
    > Директор google - терминатор?...

    Аватар.

     
  • 5.98, Аноним, 14:33, 24/01/2017 [^] [ответить] [смотреть все]  
  • +/
    Пенетратор типа того, только из другой реальности Вроде и фильм такой был, оч... весь текст скрыт [показать]
     
  • 1.31, chinarulezzz, 01:50, 19/01/2017 [ответить] [смотреть все]  
  • +1 +/
    >В ситуациях, когда серверное оборудование приходится размещать в чужих датацентрах, оборудование Google отгораживается в собственный периметр физической безопасности, в котором для доступа применяются __независимые__ биометрические датчики, камеры наблюдения и металлодетекторы.

    независимые от кого? По уровню использования кванторов речи, статья больше походит на «рекламу безопасности» гугла, чем на "Google раскрыл подробности". Однако грамотно "раскрыл", да. Не создал неопределенности сверх необходимого, но и не выдал ничего значимого.

     
     
  • 2.41, Аноним, 06:35, 19/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    http://www.opencompute.org/wiki/Server/SpecsAndDesigns
     
     
  • 3.62, Аноним, 11:42, 19/01/2017 [^] [ответить] [смотреть все]  
  • +2 +/
    А ключ от решения они предоставят не только вам ... весь текст скрыт [показать]
     
     
  • 4.82, zanswer CCNA RS, 06:41, 20/01/2017 [^] [ответить] [смотреть все]  
  • –1 +/
    Вы его и сами предоставите по требованию властей, что уж там, да и Google тоже, ... весь текст скрыт [показать]
     
  • 1.38, zanswer CCNA RS, 06:01, 19/01/2017 [ответить] [смотреть все]  
  • +/
    В целом нечего особенного, кроме собственного железа, это интересно, да. Identity based context aware access-control доступен у многих производителей в их архитектурах сетевой безопасности. Возможно Google просто сам реализовал у себя все составляющие такой архитектуры. Но Cisco и Juniper, с радостью предоставят вам такое решение под ключ, если вы не Google.
     
  • 1.39, Sunderland93, 06:13, 19/01/2017 [ответить] [смотреть все]  
  • –2 +/
    Серьёзный подход
     
  • 1.42, Аноним, 06:50, 19/01/2017 [ответить] [смотреть все]  
  • +1 +/
    Прошу обратить внимание анонимов на то, что стратегия безопасности у Google сдел... весь текст скрыт [показать]
     
     
  • 2.48, Аноним, 08:24, 19/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    Зря они чтоли Boston Dynamics покупали, вместе с остальными Поэтому они предусм... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.66, Аноним, 12:05, 19/01/2017 [^] [ответить] [смотреть все]  
  • +/
    клоун они его уже продали Сейчас в мире дефицит новых идей, поэтому за любую н... весь текст скрыт [показать]
     
  • 2.68, AlexAT, 12:09, 19/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • –1 +/
    как будто с расчётом на то, чтобы противостоять атакам НА скайнет.

    fixed

     
     
  • 3.85, Сасай, 14:13, 20/01/2017 [^] [ответить] [смотреть все]  
  • +/
    в скайнет.

    // fixed

     
  • 1.50, chelovek, 09:04, 19/01/2017 [ответить] [смотреть все]  
  • +/
    Молодцы, чё... Почти как у меня в униврситете. Не хватает только лучников по периметру, и рвов с горящей смолой...
     
  • 1.55, Аноним, 09:48, 19/01/2017 [ответить] [смотреть все]  
  • –2 +/
    Чет я сомневаюсь, что у спецслужб все обставлено лучше многочисленные утечки т... весь текст скрыт [показать]
     
  • 1.56, vitalif, 10:01, 19/01/2017 [ответить] [смотреть все]  
  • +3 +/
    Угу, раньше гугл нам про commodity hardware рассказывал, а теперь собственные материнские платы, подкопо-защищенные датацентры, защиту от атак через прошивки накопителей и физическое измельчение.

    Кстати, аппаратное шифрование сохраняемых данных, но при этом защищенное от прошивки накопителя - это как? Кто шифрует-то?

     
     
  • 2.57, Аноним, 10:35, 19/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • +1 +/
    SATA-контроллер видимо
     
     
  • 3.84, Аноним, 13:57, 20/01/2017 [^] [ответить] [смотреть все]  
  • –1 +/
    И как Вы за такой ответ аж два плюса набрали?
     
  • 2.58, pda, 10:48, 19/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • +1 +/
    Ну не могли же они с самого основания использовать собственное железо А шифрова... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.64, Аноним, 12:02, 19/01/2017 [^] [ответить] [смотреть все]  
  • +1 +/
    клоун многие компании делают свои пакеты Во-первых, на них реклама, во-вторы... весь текст скрыт [показать]
     
  • 2.77, Anonymous1, 16:14, 19/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • –1 +/
    Ну хорошо, данные на дисках шифрует какой-то компонент, установленный на оригина... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.78, Michael Shigorin, 17:11, 19/01/2017 [^] [ответить] [смотреть все]  
  • +/
    Это не к процессору, а к прошивке на материнской плате ... весь текст скрыт [показать]
     
  • 1.61, Аноним, 11:38, 19/01/2017 [ответить] [смотреть все]  
  • +1 +/
    И при всём при этом Гугль с радостью сольёт всё запрашиваемое по первому требова... весь текст скрыт [показать]
     
     
  • 2.80, Аноним, 19:13, 19/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • –1 +/
    Это называется авторизация АНБ можно, хакеру Васяну нельзя Или вы думаете, ч... весь текст скрыт [показать] [показать ветку]
     
  • 1.67, AlexAT, 12:07, 19/01/2017 [ответить] [смотреть все]  
  • –1 +/
    Параноики 95 уровня :)
     
     
  • 2.69, Аноним, 12:14, 19/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • +1 +/
    клоун пиарщики Читай внимательнее Напр такой пассаж Для выполнения виртуаль... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.95, Нониус, 11:40, 24/01/2017 [^] [ответить] [смотреть все]  
  • –1 +/
    назову себя, сидящего на этом QEMU emulator version 2 3 1, Copyright c 2003-2... весь текст скрыт [показать]
     
  • 1.72, Аноним, 12:37, 19/01/2017 [ответить] [смотреть все]  
  • +/
    короч, квм, а внутри контейнеры. ovirt4, rhev4
     
  • 1.81, Аноним, 01:00, 20/01/2017 [ответить] [смотреть все]  
  • +1 +/
    Ох уж эти сказочки Ох уж эти сказочники У крупных компаний в техрегламенте п... весь текст скрыт [показать]
     
     
  • 2.96, Нониус, 11:46, 24/01/2017 [^] [ответить] [смотреть все] [показать ветку]  
  • –1 +/
    Озвучу как работник довольно крупной компании Когда вы прошли проходную, дальше... весь текст скрыт [показать] [показать ветку]
     
  • 1.88, GG, 12:44, 21/01/2017 [ответить] [смотреть все]  
  • +1 +/
    А в результате когда робот ошибочно решает забанить кого-нибудь в гугле и удаляет весь аккаунт целиком (вместе с драйвом с кучей корпоративных документов, с ютубом с миллионами подписчиков и тысячами роликов, с почтой и миллионами писем, с плеем и тысячами долларов, потраченных на покупку платных приложений, с адсенсом и всеми деньгами оттуда) — можно только сесть в углу и заплакать. Потому что саппорт даже не начнёт шевелиться, пока в американском суде не начнётся слушание по этому делу.
     
  • 1.92, adminlocalhost, 09:30, 23/01/2017 [ответить] [смотреть все]  
  • +/
    >В ситуациях, когда серверное оборудование приходится размещать в чужих датацентрах, оборудование Google отгораживается в собственный периметр физической безопасности, в котором для доступа применяются независимые биометрические датчики, камеры наблюдения и металлодетекторы.

    вот это 100% ложь

    сервера GGC  Google Global Cache  стоят в одной стойке с моими, без всякого такого периметра.

     

     Добавить комментарий
    Имя:
    E-Mail:
    Заголовок:
    Текст:


      Закладки на сайте
      Проследить за страницей
    Created 1996-2017 by Maxim Chirkov  
    ДобавитьРекламаВебмастеруГИД  
    Hosting by Ihor