無論是使用內(nèi)部數(shù)據(jù)中心的企業(yè)，還是遷移至云的企業(yè)，數(shù)據(jù)安全都是其最關(guān)心的問題。機密計算(Confidential Computing，簡稱CC)，作為一項突破性技術(shù)，因其可以讓用戶對“使用中”數(shù)據(jù)進行加密，備受業(yè)界關(guān)注。

[[425727]]

什么是機密計算?

機密計算，是一項突破性技術(shù)，可以對正在處理的數(shù)據(jù)，即對“使用中”數(shù)據(jù)進行加密。其誕生的背景是：過去，很多企業(yè)在安全方面的大多數(shù)努力，都集中在通過加密保護“靜止的”或“傳輸中”的數(shù)據(jù)。但一個相對容易被忽視的領(lǐng)域是，“使用中”數(shù)據(jù)(Data-in-use)的加密。隨著企業(yè)業(yè)務(wù)上云，如何保護“使用中”的數(shù)據(jù)，成為企業(yè)面臨的最大挑戰(zhàn)之一。在這種背景下，旨在保護“使用中”數(shù)據(jù)機密性和完整性的“機密計算”應(yīng)運而生。

機密計算的原理是使用基于硬件的技術(shù)將數(shù)據(jù)、特定功能或整個應(yīng)用程序與操作系統(tǒng)、虛擬機管理程序、虛擬機管理器以及其他特權(quán)進程隔離開來。在后臺，機密計算環(huán)境將數(shù)據(jù)加密保存在內(nèi)存、CPU外部的其他位置，稱為“可信執(zhí)行環(huán)境(Trusted Execution Environment，簡稱TEE)”。

可信執(zhí)行環(huán)境(TEE)，是讓機密計算發(fā)揮作用的關(guān)鍵所在，它是指可以提供一種與不可信環(huán)境隔離的安全計算環(huán)境，將阻止任何更改應(yīng)用程序代碼或篡改數(shù)據(jù)的嘗試。這在多用戶系統(tǒng)，例如虛擬化和公共云系統(tǒng)(其數(shù)據(jù)交叉污染是真正的風(fēng)險)中尤其重要，這種隔離和可信驗證機制使得機密計算成為可能。

TEE一般是直接基于硬件實現(xiàn)的，比如Intel SGX以及ARM TrustZone等;基于虛擬化技術(shù)也可以構(gòu)造TEE，比如微軟的VSM，Intel的Trusty for iKGT & ACRN等。事實上，這個概念的早期版本可以追溯到十多年前在許多PC中可用的TPM模塊。與現(xiàn)代版本TEE不同的是，它們內(nèi)置于芯片的核心中，而不是作為可能會因互連而受到損害的外部附件。

2019年，機密計算首次被Gartner列入《2019年云安全技術(shù)成熟度曲線報告》;2020年，機密計算仍是Gartner云安全成熟度曲線上的33種技術(shù)之一。

科技巨頭入局

作為一項前瞻性技術(shù)，目前許多科技巨頭紛紛入局，大力探索和開發(fā)機密計算。

微軟Azure

2017年，微軟新增加了一項名為Azure機密計算的安全功能，以確保數(shù)據(jù)在處理時能得到更多的控制。

Azure機密計算會阻止由更改或篡改代碼觸發(fā)的操作，從而以良好的方式關(guān)閉整個TEE。該技術(shù)可防止針對應(yīng)用程序、操作系統(tǒng)或系統(tǒng)管理程序漏洞的惡意軟件或攻擊者獲得對正在使用數(shù)據(jù)的訪問。還可以阻止具有直接訪問系統(tǒng)權(quán)限或擁有管理特權(quán)的惡意內(nèi)部人員。

在實現(xiàn)方式上，微軟的機密計算有兩種模式：第一個是在Windows Server 2016和Windows 10 Hyper-V虛擬化軟件組件中找到基于軟件的虛擬安全模式，第二個是內(nèi)置在Azure云服務(wù)器處理器中的英特爾軟件保護擴展(SGX)技術(shù)。

目前，微軟正在與其他軟件和硬件合作伙伴合作，以啟用其他類型的TEE。

阿里云

阿里云是亞太區(qū)首個推出基于SGX機密計算的云服務(wù)商，并在全球范圍內(nèi)首個將SGX技術(shù)商業(yè)化，讓云上用戶都可以以最簡單便捷的方式享受高等級數(shù)據(jù)保護能力。

基于Intel SGX機密計算技術(shù)，阿里云為云上客戶提供了系統(tǒng)運行時的可信能力，云上開發(fā)者可以利用SGX技術(shù)提供的可信執(zhí)行環(huán)境，將內(nèi)存中的關(guān)鍵代碼和數(shù)據(jù)保護起來，即便具有更高特權(quán)的系統(tǒng)組件(包括BIOS、虛擬化底層、操作系統(tǒng)內(nèi)核)也無法獲得關(guān)鍵代碼和數(shù)據(jù)，讓客戶可以擺脫對云平臺的依賴，通過擁有云上的可信執(zhí)行環(huán)境，防止數(shù)據(jù)被竊取或被篡改。

阿里云在機密計算領(lǐng)域所做的工作不止如此：

• 2017年，阿里云和英特爾聯(lián)合發(fā)布了基于芯片級的SGX機密計算技術(shù)，保障云上客戶數(shù)據(jù)安全;
• 2018年4月，在RSA2018大會上，阿里云宣布支持阿里云機密計算技術(shù)的“神龍云”服務(wù)器正式商業(yè)化;
• 2018年9月，在云棲大會上，阿里云發(fā)布了FPGA機密計算技術(shù)，將機密計算從處理器擴展到FPGA設(shè)備，讓主流的機器學(xué)習(xí)計算模型和數(shù)據(jù)相關(guān)的計算都可以運行在可信環(huán)境中;
• 2018年9月，在云棲大會上，阿里云還發(fā)布了智能網(wǎng)卡機密計算技術(shù)，將系統(tǒng)的可信擴展到網(wǎng)絡(luò)上，通過智能網(wǎng)卡機密計算技術(shù)實現(xiàn)可信網(wǎng)絡(luò);
• 2018年10月，阿里云又推出了基于SGX技術(shù)的區(qū)塊鏈服務(wù)平臺;
• 2019年的云棲大會上，阿里云智能與阿里云數(shù)據(jù)庫團隊聯(lián)合發(fā)布了全加密數(shù)據(jù)庫產(chǎn)品。

谷歌云

在Google Cloud Next 2020大會上，谷歌云(Google Cloud)推出了一款“可保密虛擬機”(Confidential VMs)。這種新型的虛擬機可以利用谷歌的加密計算，實現(xiàn)對靜止?fàn)顟B(tài)和內(nèi)存數(shù)據(jù)的保密。

在后端，機密虛擬機使用了基于AMD二代霄龍?zhí)幚砥?EPYC)的安全加密虛擬化技術(shù)，實現(xiàn)了使用中數(shù)據(jù)的加密。密鑰由CPU可信執(zhí)行環(huán)境生成且無法導(dǎo)出，即便是谷歌自身也無法得知密鑰。

此外，谷歌還表示他們已經(jīng)推出虛擬機的加固服務(wù)項目Shielded VMs，能在root軟件和其他漏洞攻擊下保護系統(tǒng)。

布局未來

隨著企業(yè)將業(yè)務(wù)數(shù)據(jù)遷離本地或遷至多租戶云計算環(huán)境，現(xiàn)在他們迫切需要能夠保護客戶數(shù)據(jù)完整性以及保護使用中數(shù)據(jù)的專有算法。因此，云供應(yīng)商正在啟動新的機密計算實例供客戶使用。這消除了組織運行自己機密計算系統(tǒng)的必要性，從而形成了一個雙贏的局面：客戶獲得了保護其數(shù)據(jù)資產(chǎn)所需的東西;云提供商引入了客戶不一定擁有的必要硬件資產(chǎn)。

這種新的可用性正推動越來越多的處理器包含內(nèi)置的機密計算概念。而且由于云提供商通常在可用性早期階段就獲得了新的高端處理能力，這使得用戶社區(qū)的訪問速度要比用戶自己獲取的訪問速度快得多。此外，鑒于在云中運行的硬件和工具包的可用性，它使應(yīng)用程序提供商能夠快速將機密計算設(shè)計到他們的產(chǎn)品中，并進一步擁有一個更成熟的市場來收回開發(fā)投資。

Gartner預(yù)計，需要大約5年至10年，機密計算才會普遍使用。建議企業(yè)在未來6-12個月內(nèi)探索使用機密計算技術(shù)，向主要應(yīng)用解決方案提供商說明，希望其遵守機密計算戰(zhàn)略，并在約定時間內(nèi)提供技術(shù)實施。畢竟，想要贏得市場占有率，獲得競爭優(yōu)勢，就必須先人一步。

【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】

戳這里，看該作者更多好文