科技云報道原創(chuàng)。
眾所周知，數(shù)據(jù)安全的三大支柱分別是：保護(hù)靜態(tài)數(shù)據(jù)、傳輸中數(shù)據(jù)和使用中數(shù)據(jù)。其中，靜態(tài)加密和傳輸中的數(shù)據(jù)加密，大家都很熟悉。
但是隨著企業(yè)業(yè)務(wù)上云，面臨的最大挑戰(zhàn)之一，就是如何保護(hù)使用中的數(shù)據(jù)，即在保持敏感數(shù)據(jù)的同時，還能保持?jǐn)?shù)據(jù)的私有狀態(tài)。
之所以保護(hù)使用中的數(shù)據(jù)特別困難，原因在于應(yīng)用程序需要明文數(shù)據(jù)（未經(jīng)加密或其他方式保護(hù)的數(shù)據(jù)）才能進(jìn)行計算，這意味著惡意軟件可以轉(zhuǎn)存內(nèi)存中的內(nèi)容以竊取信息。如果數(shù)據(jù)在內(nèi)存中被泄露，服務(wù)器硬盤上的數(shù)據(jù)加密就變得不再重要。
正因如此，機(jī)密計算（Confidential Computing）的概念誕生了。2019年，機(jī)密計算首次被Gartner列入《2019年云安全技術(shù)成熟度曲線報告》。2020年，機(jī)密計算仍是Gartner云安全成熟度曲線上的33中技術(shù)之一。
機(jī)密計算的應(yīng)用場景
機(jī)密計算的原理在于，使用基于硬件的技術(shù)將數(shù)據(jù)、特定功能或整個應(yīng)用程序與操作系統(tǒng)、虛擬機(jī)管理程序或虛擬機(jī)管理器以及其他特權(quán)進(jìn)程隔離開來。數(shù)據(jù)存儲在可信執(zhí)行環(huán)境(TEE)中，即使借助調(diào)試器，也無法從外部查看數(shù)據(jù)或?qū)?shù)據(jù)執(zhí)行的操作。TEE確保只有授權(quán)的代碼才能訪問數(shù)據(jù)。如果代碼被更改或被篡改，TEE將拒絕操作。
機(jī)密計算旨在保護(hù)敏感的代碼和數(shù)據(jù)，可以解決區(qū)塊鏈、秘鑰管理、金融、AI、多方計算、數(shù)據(jù)租賃、邊緣計算等諸多應(yīng)用場景中“信任”難題，例如：
多個不互信組織之間的數(shù)據(jù)融合與聯(lián)合分析區(qū)塊鏈上的智能合約的機(jī)密性保護(hù)公有云平臺對攻擊的防御、高敏感信息的安全保護(hù)保護(hù)AI模型等核心機(jī)密數(shù)據(jù)和知識產(chǎn)權(quán)保護(hù)云邊端三位一體相互通信的安全以及隱秘性在Enclave中保護(hù)支付、交易的安全性
此外，機(jī)密計算還可以帶來與安全無關(guān)的好處，如：圖像處理應(yīng)用程序可以將文件存儲在TEE中，而不是將視頻流發(fā)送到云端，因而節(jié)省帶寬并縮短延遲。該應(yīng)用程序甚至可以在處理器層面劃分這類任務(wù)，主CPU負(fù)責(zé)大部分處理，但依靠網(wǎng)卡上的TEE處理敏感計算。
雖然從理論上來講機(jī)密計算大有用處，但它并非立即可用。Gartner預(yù)計需要等5年至10年，它才會普遍使用。
科技巨頭入局機(jī)密計算
作為一種前瞻性的安全技術(shù)，目前全球的科技巨頭都已紛紛入局，大力探索和推廣機(jī)密計算技術(shù)。
微軟Azure
2017年，微軟宣布推出名為“機(jī)密計算”的Azure云平臺的新功能。該功能允許在Azure上運行的應(yīng)用程序時，在靜態(tài)、傳輸中和內(nèi)存計算時都能保持?jǐn)?shù)據(jù)加密。
在實現(xiàn)方式上，微軟的機(jī)密計算有兩種模式：一種是基于虛擬機(jī)，另一種則使用英特爾推出的Skylake-SP Xeon處理器中的SGX（“軟件防護(hù)擴(kuò)展”）功能。
虛擬機(jī)模式，使用Windows 10和Windows Server 2016中引入的Hyper-V的虛擬安全模式（VSM）功能。
使用VSM，應(yīng)用程序的大部分部分將在常規(guī)操作系統(tǒng)的普通虛擬機(jī)中運行。受保護(hù)的TEE部件將在單獨的虛擬機(jī)中運行，該虛擬機(jī)僅包含基本存根操作系統(tǒng)（足以與常規(guī)VM通信）以及只需要處理敏感數(shù)據(jù)的應(yīng)用程序代碼的那些部分。
即使應(yīng)用程序受到攻擊并且攻擊者可以訪問主虛擬機(jī)，VSM TEE中的數(shù)據(jù)將無法訪問，因為Hyper-V使虛擬機(jī)彼此分開。攻擊者必須妥協(xié)Hyper-V本身才能突破這種隔離。
SGX模式，使用處理器功能在常規(guī)流程中切出TEE，而不需要虛擬機(jī)。處理器本身將對來自存儲器的數(shù)據(jù)進(jìn)行加密和解密，使得數(shù)據(jù)僅在處理器本身內(nèi)被解密。
有了這種模式，Hyper-V的安全性并不重要。應(yīng)用程序唯一需要信任的，是處理器及其實施的SGX。有了SGX，沒人可以看到TEE中的數(shù)據(jù)。
阿里云
在國內(nèi)，阿里云是亞太區(qū)第一個推出基于SGX（（Software Guard Extensions ）加密計算的云服務(wù)商。2017年，阿里云與英特爾聯(lián)合發(fā)布了基于芯片級的SGX加密計算技術(shù)，保障云上客戶數(shù)據(jù)安全。
基于Intel SGX加密計算技術(shù)，阿里云為云上客戶提供了系統(tǒng)運行時的可信能力。云上開發(fā)者可以利用SGX技術(shù)提供的可信執(zhí)行環(huán)境，將內(nèi)存中的關(guān)鍵代碼和數(shù)據(jù)保護(hù)起來。
即使具備更高特權(quán)的系統(tǒng)組件包括BIOS、虛擬化底層、操作系統(tǒng)內(nèi)核，以及高特權(quán)進(jìn)程也都無法獲得關(guān)鍵代碼和數(shù)據(jù)，讓客戶可以擺脫對云平臺的依賴，通過擁有云上的可信執(zhí)行環(huán)境，防止數(shù)據(jù)被竊取或被篡改。
2018年，基于SGX技術(shù)，阿里云又推出了基于SGX技術(shù)的區(qū)塊鏈服務(wù)平臺；2019年的云棲大會，阿里云智能也與阿里云數(shù)據(jù)庫團(tuán)隊聯(lián)合發(fā)布了全加密數(shù)據(jù)庫產(chǎn)品。
谷歌云
在今年的Google Cloud Next '20大會上，谷歌云（Google Cloud）也推出了一款基于機(jī)密計算的安全產(chǎn)品——“可保密虛擬機(jī)”(Confidential VMs)。這種新型的虛擬機(jī)可以利用谷歌的加密計算，實現(xiàn)對靜止?fàn)顟B(tài)和內(nèi)存內(nèi)數(shù)據(jù)的保密。
根據(jù)谷歌云的介紹，機(jī)密虛擬機(jī)建立在第二代AMD芯片EPYC處理器上，通過較低的計算能力為客戶加密數(shù)據(jù)以完成機(jī)密計算，客戶能夠以加密的方式在谷歌云上運行其工作負(fù)載。
谷歌云方面表示，機(jī)密虛擬機(jī)的安全級別非常高，可以解鎖新的計算方案。這些機(jī)密虛擬機(jī)與真正用在加密和基于N2D高性能虛擬機(jī)相同，都是基于AMD EPYC安全加密虛擬化（SEV），該技術(shù)可以在保持其性能的同時，對虛擬機(jī)內(nèi)存進(jìn)行加密，利用AMD安全處理器生成密鑰，從而鎖定虛擬機(jī)內(nèi)存，不僅限制了公司數(shù)據(jù)的訪問，還限制了主機(jī)上運行虛擬機(jī)的訪問。
此外，機(jī)密虛擬機(jī)將與谷歌的安全強化型虛擬機(jī)結(jié)合，為客戶提供額外的機(jī)密影像。這為客戶將工作負(fù)載轉(zhuǎn)移到谷歌云上提供了更多的動力支撐。
機(jī)密計算聯(lián)盟CCC
2019年8月，在Linux基金會下啟動成立了機(jī)密計算聯(lián)盟（CCC），旨在為機(jī)密計算定義標(biāo)準(zhǔn)，并支持開源工具的開發(fā)和采用。成員包括阿里巴巴、AMD、Arm、Facebook、Fortanix、谷歌、華為、IBM、英特爾、微軟、Oracle、瑞士電信、騰訊和VMware等巨頭。
目前，機(jī)密計算聯(lián)盟支持少數(shù)幾個開源項目，包括英特爾GX SDK for Linux、微軟的Open Enclave SDK和Red Hat的Enarx。
但并非項目得到該聯(lián)盟的認(rèn)可，才可以被認(rèn)為是機(jī)密計算，比如：谷歌的Asylo與Enarx很相似，微軟Azure的機(jī)密計算服務(wù)同時支持英特爾SGX和微軟的虛擬安全模式，都可以被納入機(jī)密計算的范疇。
盡管機(jī)密計算的出現(xiàn)可能促使更多的企業(yè)使用云計算、區(qū)塊鏈等服務(wù)，但值得注意的是，機(jī)密計算在應(yīng)用方面仍然處于起步階段，例如：機(jī)密計算底層依賴的TEE技術(shù)，帶來了額外的功能限制和兼容問題，這使得機(jī)密計算的開發(fā)者面臨應(yīng)用開發(fā)難等障礙。
機(jī)密計算技術(shù)在實際應(yīng)用場景中將如何落地，是否真的能有效保護(hù)數(shù)據(jù)安全，還有待進(jìn)一步觀察。
來源：科技云報道
免責(zé)聲明：此文內(nèi)容為第三方自媒體作者發(fā)布的觀察或評論性文章，所有文字和圖片版權(quán)歸作者所有，且僅代表作者個人觀點，與極客網(wǎng)無關(guān)。文章僅供讀者參考，并請自行核實相關(guān)內(nèi)容。投訴郵箱：editor@fromgeek.com。
免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請進(jìn)一步核實，并對任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對有關(guān)資料所引致的錯誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個人認(rèn)為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權(quán)或存在不實內(nèi)容時，應(yīng)及時向本網(wǎng)站提出書面權(quán)利通知或不實情況說明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關(guān)文章源頭核實，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。
