本页面介绍了 Transfer Appliance 如何保护和加密您的数据。
Google 的基础设施数据安全
当您退回设备时，我们的某个 Google 数据中心会收到该设备。当您订购用于数据导出的设备时，我们会在其中一个 Google 数据中心准备该设备。保护客户数据是我们的首要任务和责任。如需详细了解我们的基础架构安全性，请参阅 Google 基础架构安全设计概览；如需详细了解我们的数据中心安全做法，请参阅数据和安全。
在运输过程中保护设备
收到设备后，您需要运行 Transfer Appliance 证明应用。此应用会验证设备身份及其状态，以确保设备处于我们向您发货时的状态。应用会生成一个认证密码，您需要与我们分享该密码。如果证明密码与我们预期的密码一致，我们会提供设备的登录凭证。
当您使用完设备并且我们收到设备后，我们会再次验证设备，以确保设备在运输过程中未被篡改。验证设备后，我们会将您的数据上传到 Cloud Storage。
如果 Search Appliance 验证表明设备在任何时间点被篡改，我们将使整个传输会话失效，并与您一起努力，将替代设备运送给您。
数据加密
您的数据在上传期间、传输到我们的数据中心期间、上传到 Cloud Storage 之后以及使用数据导出功能下载到设备期间都会进行加密。以下详细说明了我们如何对您的数据进行加密：
在传输到 Cloud Storage 期间：您的数据在 Transfer Appliance 上使用
dm-crypt(LUKS2) 或内置 ZFS 加密进行加密，采用 AES-256 加密算法（dm-crypt采用 AES-256-XTS，ZFS 采用 AES-256-GCM）。在上传到 Cloud Storage 期间：您的数据会使用安全 TLS 连接进行加密。我们将您设备上的加密数据传输到 Cloud Storage。对于使用 VPC Service Controls 的客户，此过程在您的 VPC Service Controls 边界内执行。
在 Cloud Storage 上：默认情况下，您的数据在 Cloud Storage 上会进行加密。如需了解详情，请参阅数据加密选项。
在下载到 Transfer Appliance 期间：使用数据导出功能时，您的数据会在云端加密，然后再下载到设备。
加密传输中的数据到设备
我们不会在存储设备或网络设备和您的设备之间实施加密。您要负责保护设备的网络和物理访问权限。我们不会访问或监控连接在您网络上的设备。
对设备上的数据进行加密
我们使用两个密钥来加密设备上的数据：
密钥加密密钥
对于密钥加密密钥 (KEK)，您有以下两种选择：
您可以创建客户管理的密钥，自行生成和管理密钥。
您可以选择 Google-owned and managed key，由我们生成和管理密钥。
Google-owned and managed keys 在每个会话中都是唯一的，不会与其他 Google Cloud 服务共享。当会话完成或取消时，或者如果设备丢失，我们会销毁密钥以确保您的数据安全。
以下是用于创建Google-owned and managed keys的设置：
- 区域：全球
- 保护级别：软件
- 用途：非对称解密
- 算法：4096 位 RSA - OAEP 填充 - SHA256 摘要
在会话完成之前销毁 KEK 会导致设备上的数据完全丢失
KEK 在Google Cloud中作为 Cloud Key Management Service (Cloud KMS) 非对称密钥生成，我们会在将设备寄送给您之前将 KEK 公钥下载到设备。
数据加密密钥 (DEK)
DEK 是在设备上生成的。DEK 保存在内存中，DEK 的副本由设备的受信任平台模块 (TPM) 封装并存储在磁盘上，以便在重新启动后保留密钥。DEK 绝不会以未加密的形式存储在本地磁盘上。
将数据写入磁盘之前，设备会将生成的 DEK 应用于数据。在设备上最终完成数据后，KEK 公钥将应用于 DEK，然后从设备中移除 DEK。
数据永不会以未加密的方式存储在设备上。
为从 Cloud Storage 导出的数据加密
当您订购用于数据导出的设备时，您的设备会在安全的 Google 数据中心内准备就绪，并且您的数据会先进行加密。然后，加密数据会安全地移至设备，设备会通过磁盘级加密进一步保护数据。在数据中心和传输过程中，您的数据在设备上保持加密状态，并且只有在您激活设备后才能访问。
限制对设备上数据的访问
如需限制对存储在设备 NFS 共享中的数据的访问权限，您可以应用 IP 过滤条件，以允许网络上的特定主机访问设备。请联系您的网络管理员获取帮助。
如需详细了解 Transfer Appliance 使用的 IP 网络端口，请参阅配置 IP 网络端口。
将数据上传到 Cloud Storage
当我们在其中一个安全数据中心收到您的设备时，会先将加密数据上传到您的 VPC Service Controls 边界，然后再应用 KEK 以进行 DEK 和数据解密。在传输生命周期中的任何时间点，DEK 都永不会保留。然后，我们会在私有数据中心网络中使用安全 TLS 连接，将您的数据安全地传输到 Cloud Storage。默认情况下，数据会在 Cloud Storage 中加密，并且只有您才能访问。
设备介质清理
在您上传数据或收到用于数据导出的设备后，我们会根据 NIST 800-88 标准清除您退回的设备中的驱动器介质，以清除信息。具体来说，我们使用加密清除功能来清理先前存储在设备驱动器上的所有加密数据。如果驱动器在使用过程中发生故障，造成无法运行、无法清空，我们会以物理方式销毁受影响的物理介质。如需详细了解我们的介质清理流程，请参阅确保安全可靠的介质清理。
在您的数据可在 Cloud Storage 中使用后的 4 周内，或者在您导出数据并归还设备后，您可以申请擦除证书，以证明我们已安全地清理设备介质。
Transfer Appliance 翻新
我们在您退回的设备上销毁数据后，会准备好将设备运送给下一位客户。以下汇总了我们在清理介质后对每个设备进行翻新的方法：
我们对设备上的驱动器进行分区。介质清理也会破坏数据分区，因此我们每次都会重新开始。
然后，我们会重新格式化驱动器，使其准备好存储数据和设备的软件。
接下来，我们安装设备的软件，并应用所有必要的更新。
最后，我们会将设备打包，并准备好将设备运送给下一位客户。