0
本文作者: 包永剛 | 2020-12-12 15:43 |
在計(jì)算中,數(shù)據(jù)以三種狀態(tài)存在:傳輸、靜止和使用中。跨網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)狀態(tài)是“傳輸中”,保存在某種類(lèi)型存儲(chǔ)中的數(shù)據(jù)狀態(tài)是“靜止的”,正在處理的數(shù)據(jù)狀態(tài)是“使用中”。
針對(duì)網(wǎng)絡(luò)和存儲(chǔ)設(shè)備的網(wǎng)絡(luò)威脅越來(lái)越多,隨著適用于傳輸和靜止數(shù)據(jù)保護(hù)手段的加強(qiáng),攻擊者已將重點(diǎn)轉(zhuǎn)移到了使用中數(shù)據(jù)上。常見(jiàn)的攻擊包括內(nèi)存抓取、CPU旁道攻擊和植入惡意軟件。
機(jī)密計(jì)算(Confidential Computing,也譯作保密計(jì)算)是通過(guò)基于硬件的可信執(zhí)行環(huán)境(TEE)對(duì)使用中的數(shù)據(jù)進(jìn)行保護(hù)。TEE被定義為提供一定級(jí)別的數(shù)據(jù)完整性、數(shù)據(jù)機(jī)密性和代碼完整性保證的環(huán)境。
安全策略必須考慮可能被入侵的所有層面。如果一層受到損害(例如正在使用的數(shù)據(jù)),那么其他層(靜止數(shù)據(jù),使用中的數(shù)據(jù))可能會(huì)受到影響。機(jī)密計(jì)算正在彌補(bǔ)入侵者可能利用的最后一個(gè)“漏洞”,并將大大加強(qiáng)系統(tǒng)的整體安全策略。
機(jī)密計(jì)算的興起
數(shù)十年來(lái),盡管業(yè)界一直在努力通過(guò)多種安全策略來(lái)保護(hù)數(shù)據(jù),但是機(jī)密計(jì)算是同類(lèi)解決方案中的第一個(gè),沒(méi)有其他替代方案。這是一種創(chuàng)新的方法,可以彌補(bǔ)數(shù)據(jù)保護(hù)策略中的潛在弱點(diǎn)。處理器和內(nèi)存芯片設(shè)計(jì)的重大進(jìn)步使標(biāo)準(zhǔn)處理芯片組可以內(nèi)置更多功能,這推動(dòng)了機(jī)密計(jì)算解決方案的興起和應(yīng)用。
任何新技術(shù)剛進(jìn)入市場(chǎng)時(shí),通常都很復(fù)雜,但很快就被業(yè)界和特定領(lǐng)域的專(zhuān)家使用。機(jī)密計(jì)算仍處于早期應(yīng)用的階段,缺乏標(biāo)準(zhǔn)的實(shí)現(xiàn)方法。不同的公司以不一樣的方式來(lái)實(shí)現(xiàn)它,這可能會(huì)使普通的安全I(xiàn)T專(zhuān)業(yè)人員感到困惑,但同時(shí)又令人興奮。
密鑰管理空間中可以找到一個(gè)很好的安全類(lèi)比,它概述了類(lèi)似的采用速度。在引入密鑰管理互操作性協(xié)議(KMIP)之前,部署的每個(gè)加密解決方案都需要集成到某種形式的轉(zhuǎn)悠加密密鑰管理器中。盡管最初這很復(fù)雜且令人困惑,但這最終能夠解決。
采用KMIP的當(dāng)前密鑰管理解決方案現(xiàn)在易于實(shí)現(xiàn)和使用,并且價(jià)格更便宜。像密鑰管理和之前的許多其他技術(shù)一樣,機(jī)密計(jì)算技術(shù)的應(yīng)用有望遵循類(lèi)似的道路。
隨著機(jī)密計(jì)算市場(chǎng)的發(fā)展,我們將在未來(lái)三到五年內(nèi)看到重大變化。最初,每個(gè)應(yīng)用都可能會(huì)有不同的實(shí)現(xiàn),這需要在芯片級(jí)別擁有自己的硬件以及對(duì)其進(jìn)行管理的軟件。
在這段時(shí)間內(nèi),可以預(yù)期客戶需求將迫使芯片制造商實(shí)現(xiàn)機(jī)密計(jì)算的標(biāo)準(zhǔn)化,以便最終用戶擁有一種統(tǒng)一的保護(hù)使用中數(shù)據(jù)的方法。這也將迫使軟件行業(yè)快速創(chuàng)新,并改善機(jī)密計(jì)算的可管理性和兼容性,使其更容易適應(yīng)現(xiàn)有的安全管理框架并變得更容易獲得。
如何進(jìn)入機(jī)密計(jì)算空間
由于機(jī)密計(jì)算剛剛成為當(dāng)下關(guān)注的焦點(diǎn),因此IT安全專(zhuān)業(yè)人員應(yīng)該研究為最關(guān)鍵的公司或政府應(yīng)用程序部署TEE的方法,并明白他們可能必須處理多種不同的實(shí)現(xiàn)方式,具體取決于用于特定應(yīng)用程序的硬件供應(yīng)商。
例如,如果TEE在數(shù)據(jù)中心中運(yùn)行,則管理將需要由硬件供應(yīng)商提供。這些TEE使用硬件支持的技術(shù)(例如安全保護(hù)區(qū))為該環(huán)境中的代碼執(zhí)行和數(shù)據(jù)保護(hù)提供增強(qiáng)的安全保證。
基于硬件的飛地的示例包括可信平臺(tái)模塊(TPM),英特爾的Secure Guard擴(kuò)展(SGX),ARM的Trustzone和AMD的安全加密虛擬化(SEV)。但是,使用云的公司通常需要轉(zhuǎn)向由其云提供商托管服務(wù)的不同TEE。其中包括使用英特爾SGX的Azure機(jī)密計(jì)算和Google Cloud機(jī)密計(jì)算。
雖然HSM可以利用機(jī)密計(jì)算的優(yōu)勢(shì),但它們?nèi)匀恍枰芾韱为?dú)的復(fù)雜且昂貴的硬件?;谲浖拿荑€管理器可以在提供TEE的任何硬件上運(yùn)行,僅花費(fèi)一小部分成本即可提供機(jī)密計(jì)算的價(jià)值,但都來(lái)自硬件解決方案的保護(hù)。
安全性是任何IT戰(zhàn)略的重中之重,而機(jī)密計(jì)算將是未來(lái)數(shù)月和數(shù)年中值得關(guān)注的新技術(shù)。
雷鋒網(wǎng)編譯,原文作者:Bruce Kornfeld 雷鋒網(wǎng)
鏈接:https://www.eweek.com/security/demystifying-confidential-computing 雷鋒網(wǎng)
雷峰網(wǎng)原創(chuàng)文章,未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見(jiàn)轉(zhuǎn)載須知。