Extrémní zabezpečení Googlu zajišťuje šest vrstev ochrany a hardware s vlastními specializovanými čipy

  • Data uložená v datacentrech Google patří mezi nejvíce zabezpečená na světě
  • Google spoléhá celkem na šest samostatných vrstev zabezpečení
  • Pro maximalizaci ochrany si vytváří i vlastní bezpečnostní čipy
Extrémní zabezpečení Googlu zajišťuje šest vrstev ochrany a hardware s vlastními specializovanými čipy

Nastává doba, kdy stále více našich vlastních nebo firemních dat nahráváme do cloudu a zbavujeme jich oné „lokální bezpečnosti“, která má své výhody, pokud zrovna nemáte zavirovaný počítač nebo není připojený do internetu. V takovém případě by totiž bylo nutné ukrást data fyzicky.

S přesunem do cloudu se ale data nachází kdesi v datacentrech pod vaším virtuálním účtem. Nedávno zveřejněný únik hesel u Yahoo ukázal, že ani veliká korporace není zárukou bezpečnosti a na trhu jsou další jako Apple, Amazon, Facebook nebo Google, kteří mají data miliard uživatelů.

Google ale rozhodně patří mezi technologické společnosti s nejvyšší úrovní zabezpečení, což dokázal i v novém podrobném materiálu.

Šestivrstvá bezpečnostní infrastruktura

Google celou infrastrukturu svých serverů zabezpečuje celkem šesti bezpečnostními vrstvami, které jsou určené pro různé účely a fáze při nakládání s daty.

Klepněte pro větší obrázek
Infrastruktura Googlu má šest základní vrstev zabezpečení

Na nejnižší úrovni je to samotná hardwarová infrastruktura, poté nasazování jednotlivých služeb, ověřování zaměstnanců, uživatelů, ukládání a šifrování dat, síťová komunikace přes internet a pochopitelně také fyzickou ochrana v datacentrech.

Vlastní hardware i čipy

Google pro běžné výpočty používá klasické serverové procesory, výpočetní grafické karty a další druhy akcelerátorů od externích společností jako je Intel, Nvidia a podobně, ale pokud jde o zabezpečení daného počítače, vyvíjí si a nechá si vyrábět vlastní bezpečnostní čipy.

Tyto čipy jsou určené pro bezpečné startování počítače, jeho unikátní kryptografické ověření už při bootování a také maximální kontrolu na té zcela nejnižší úrovni (kernel, bootlader, obraz operačního systému). Google je jediný, kdo tyto čipy má k dispozici a také jako jediný vyvíjí a upravuje firmware pro tyto čipy.

S tím jak se čipy vyvíjí, jsou navíc v různých serverech a datacentrech různé generace, takže i kdyby došlo k získání a „hacknutí“ jednoho čipu, nezpůsobí to problém pro celou infrastrukturu Googlu, ale jen danou část.

Disk vám bude k ničemu

Pokud zůstaneme ještě u fyzického zabezpečení, určitě je nutné myslet na úložiště tvořená pevnými disky či SSD. Na těchto zařízení se ukládají data distribuovaně v rámci serverů a datacenter. Google používá služby jako BigTable a Spanner i pro rotaci klíčů, ukládání logů a hlavně odrušení případného malwaru na úrovni firmwaru disku, který by přišel už od samotného dodavatele typu Seagate nebo Western Digital. Takové věci se skutečně dějí – nemůže za to obvykle výrobce, ale útočník může relativně snadno nahrát upravený firmware při převozu objednávky a podobně.

Dochází ke kompletnímu šifrování dat už při nahrávání, takže nešifrovaná data se nikdy nedostanou do disku. Pokud se nějaký disk nebo SSD poškodí, Google zajišťuje jak několikanásobné přemazání, tak i fyzické rozdrcení na kousíčky. Vybíráním popelnic u datacenter tak data rozhodně nezískáte.

Datacentrum jen pro zvané

V případě fyzického přístupu do samotného datacentra, je vše zabezpečeno rovněž několika úrovněmi. V datacentrech Google pracuje jen několik zaměstnanců Googlu, alespoň pokud je už vše postavené a funkční.

Dochází ke klasickému biometrickému ověřování, detekci kovů, detekci pohybu pomocí laserů a nechybí dokonce silné bariéry proti tomu, kdybyste chtěli do datacentra prostě vjet a prorazit se dovnitř.

Interní hrozba

Aby Google zabezpečil také interní útok, zajišťuje i ochranu všech zaměstnanců a jejich zařízení. Kromě dvoufaktorového zabezpečení se kontroluje aktivita, obrazy operačních systémů pro klientské systémy a také zda jsou nainstalované nejnovější bezpečnostní aktualizace.

Zajímavostí také je, že dochází ke kontrole i nainstalovaného softwaru, různých rozšíření třeba v prohlížeči a podobně. To vše jsou totiž potenciální díry, skrze které by mohl proběhnout útok do daného zařízení a následně pak ještě dále. Google nepoužívá klasická přístupová práva do sítě, jak je u firem běžné, ale místo toho využívá techniky přístupu k jednotlivým aplikacím. Vše ale zároveň značně filtruje a tak třeba účetní „Jarda“ se nedostane k byznys datům za posledních 14 dní, pokud zrovna není v konkrétní lokalitě a na konkrétním povoleném zařízení a podobně.

Neustále dochází ke sledování neobvyklého chování jak při práci s aplikacemi, tak i provozu na síti a přístupu k API rozhraním. Při významných změnách a při nasazování důležitých částí musí dojít k ověření od dvou entit.

Kontrola kódu

Žádný programátor netvoří dokonalý kód bez chyb a tak je nutné počítat i s tím, že se v kódu vyskytne chyba, která znamená potenciální bezpečnostní riziko. Google má pro tyto případy k dispozici vlastní bezpečnostní automatické nástroje, které produkovaný kód prochází.

Dochází ale i k manuální kontrole bezpečnostmi experty z oblasti operačních systémů, šifrování a webu, kteří případné chyby ošetří i na globální úrovni do knihoven, které jsou používané napříč aplikacemi a službami Googlu a v automatizovaných detekčních systémech.

Klepněte pro větší obrázek
Ukázka ověřování identit mezi službami

Google je největším „dodavatel“ zjištěných chyb pro linuxový KVM, na kterém mimo jiného provozuje také například vlastní platformu Google Cloud.

DoS útok každodenním chlebem

Na servery Google dochází k neustálému útoku na mnoha úrovních, k tomu klasickému patří DoS, který neslouží k ničemu jinému než zahlcení serverů a jejich zablokování pro ostatní uživatele.

Google je na tyto útoky připravený, protože probíhají takřka neustále. Používá k tomu několik vrstev hardwarových a softwarových load-balancerů. Informace o příchozím trafiku ještě analyzují další instance služby GFE (Google Front End). Dle druhu a síly se v reálném čase může vše překonfigurovat a optimalizovat.

Interakce

Projděte se v datacentru Googlu:

Zdroj obrázku: Nguyen Hung Vu (CC BY 2.0)

Témata článku: Google, Cloud, Bezpečnost, Servery, Datacentra

16 komentářů

Nejnovější komentáře

  • Karel Dvořák 19. 1. 2017 20:59:25
    Těžko bude Google jediný, kdo ty speciální čipy má, protože si je Google...
  • dpcstb 19. 1. 2017 9:35:28
    problem googlu je skor opacny.. ako sa ja dostanem ku svojim datam ked sa...
  • StormBorec 19. 1. 2017 9:14:37
    Však lepší systém než XP nikdy nebyl
Určitě si přečtěte