Защитата на данните, докато се използват, е особено ценна в

Защитата на данните, до момента в който се употребяват, е изключително скъпа в облачни среди
(снимка: CC0 Public Domain)

създател: Eugen Schank

В епохата на все по-сложни пробиви в данните и кибер закани, фирмите са в непрекъснато търсене на нови способи за отбрана на сензитивната си информация. Така навлиза поверителното пресмятане – нов метод към сигурността на данните, който революционизира метода, по който мислим за отбрана на данните в облака.

Какво е поверително пресмятане?

Поверителното пресмятане е нова парадигма за сигурност, която цели да отбрани данните, до момента в който се употребяват, допълвайки съществуващите отбрани за данни неподвижен и при транспорт. Този метод е изключително скъп в облачни среди, където обработката на чувствителни данни се прави върху споделена инфраструктура.

Приложение в GCP

В Гугъл Cloud поверителното пресмятане се имплементира главно посредством потреблението на Поверителни виртуални машини (Confidential VMs) и Поверителни GKE (Google Kubernetes Engine) възли. Тези решения употребяват хардуерно основани доверени среди за осъществяване (TEEs), по-специално технологията AMD Secure Encrypted Virtualization (SEV).

На техническо равнище, ето по какъв начин работи поверителното пресмятане в Гугъл Cloud:
Криптиране на паметта: Когато се започва Поверителна VM, цялата памет на VM се криптира с неповторим ключ за всяка VM инстанция. AMD EPYC процесорът генерира този ключ, който в никакъв случай не се разкрива пред Гугъл или други VM. Сигурно зареждане: Процесът на зареждане на VM се мери криптографски и се ревизира, с цел да се подсигурява целостта на съставените елементи за зареждане и гостуващата операционна система. Криптирано положение: Регистрите на процесора на VM и другото архитектурно положение се криптират, когато VM не работи интензивно на физически процесор. Управление на ключовете: Хардуерът ръководи напълно ключовете за криптиране, по-специално AMD Secure Processor. Инфраструктурата на Гугъл Cloud в никакъв случай няма достъп до тези ключове. Изолация: TEE обезпечава мощна изолираност сред другите VM и от самия хипервайзор. Дори в случай че хипервайзорът е злепоставен, той не може да достъпи криптираната памет на Поверителните VM. Атестация: Гугъл Cloud дава услуга за отдалечена препоръка, която разрешава на потребителите да ревизират целостта и поверителността на техните Поверителни VM.
Същата съществена технология се употребява за поверителни GKE възли, само че се ползва към Kubernetes клъстери. Това разрешава поверителни контейнеризирани работни натоварвания.

Приложение в други огромни облачни снабдители

Amazon Web Services AWS

AWS предлага поверително пресмятане посредством своите Nitro Enclaves. Отличителните аспекти включват:

* Интеграция с AWS Key Management Service (KMS) за несъмнено ръководство на ключове;
* Използване на Nitro Secure Processor, особено създаден хардуерен модул за сигурност;
* Фокус върху изолирани изчислителни среди вместо цялостни VM.

Microsoft Azure

Предложенията на Azure за поверително пресмятане са много изчерпателни, включващи:

* Azure Confidential Computing VM: Използване на Intel SGX технология;
* Azure Kubernetes Service (AKS) с възли за поверително изчисление;
* DC-серия VM: Използване на AMD SEV-SNP технология;
* Интеграция с Azure Attestation услуга за отдалечена препоръка.

Важно е да се означи, че макар че поверителното пресмятане обезпечава мощна отбрана за данните в приложимост, то не е универсално решение. Приложенията, работещи в Поверителни VM, към момента би трябвало да бъдат вярно предпазени, а данните, напускащи TEE (например за предпазване или мрежова комуникация), се нуждаят от подобаваща отбрана.

Гугъл Cloud продължава да развива своите оферти за поверително пресмятане, работейки върху консолидираното на Intel SGX технология и изследвайки способи да направи поверителното пресмятане по-достъпно и производително.