無論是使用內(nèi)部數(shù)據(jù)中心的企業(yè)，還是遷移至云的企業(yè)，數(shù)據(jù)安全都是其最關(guān)心的問題。機(jī)密計(jì)算(Confidential Computing，簡稱CC)，作為一項(xiàng)突破性技術(shù)，因其可以讓用戶對“使用中”數(shù)據(jù)進(jìn)行加密，備受業(yè)界關(guān)注。

[[425727]]

什么是機(jī)密計(jì)算?

機(jī)密計(jì)算，是一項(xiàng)突破性技術(shù)，可以對正在處理的數(shù)據(jù)，即對“使用中”數(shù)據(jù)進(jìn)行加密。其誕生的背景是：過去，很多企業(yè)在安全方面的大多數(shù)努力，都集中在通過加密保護(hù)“靜止的”或“傳輸中”的數(shù)據(jù)。但一個(gè)相對容易被忽視的領(lǐng)域是，“使用中”數(shù)據(jù)(Data-in-use)的加密。隨著企業(yè)業(yè)務(wù)上云，如何保護(hù)“使用中”的數(shù)據(jù)，成為企業(yè)面臨的最大挑戰(zhàn)之一。在這種背景下，旨在保護(hù)“使用中”數(shù)據(jù)機(jī)密性和完整性的“機(jī)密計(jì)算”應(yīng)運(yùn)而生。

機(jī)密計(jì)算的原理是使用基于硬件的技術(shù)將數(shù)據(jù)、特定功能或整個(gè)應(yīng)用程序與操作系統(tǒng)、虛擬機(jī)管理程序、虛擬機(jī)管理器以及其他特權(quán)進(jìn)程隔離開來。在后臺(tái)，機(jī)密計(jì)算環(huán)境將數(shù)據(jù)加密保存在內(nèi)存、CPU外部的其他位置，稱為“可信執(zhí)行環(huán)境(Trusted Execution Environment，簡稱TEE)”。

可信執(zhí)行環(huán)境(TEE)，是讓機(jī)密計(jì)算發(fā)揮作用的關(guān)鍵所在，它是指可以提供一種與不可信環(huán)境隔離的安全計(jì)算環(huán)境，將阻止任何更改應(yīng)用程序代碼或篡改數(shù)據(jù)的嘗試。這在多用戶系統(tǒng)，例如虛擬化和公共云系統(tǒng)(其數(shù)據(jù)交叉污染是真正的風(fēng)險(xiǎn))中尤其重要，這種隔離和可信驗(yàn)證機(jī)制使得機(jī)密計(jì)算成為可能。

TEE一般是直接基于硬件實(shí)現(xiàn)的，比如Intel SGX以及ARM TrustZone等;基于虛擬化技術(shù)也可以構(gòu)造TEE，比如微軟的VSM，Intel的Trusty for iKGT & ACRN等。事實(shí)上，這個(gè)概念的早期版本可以追溯到十多年前在許多PC中可用的TPM模塊。與現(xiàn)代版本TEE不同的是，它們內(nèi)置于芯片的核心中，而不是作為可能會(huì)因互連而受到損害的外部附件。

2019年，機(jī)密計(jì)算首次被Gartner列入《2019年云安全技術(shù)成熟度曲線報(bào)告》;2020年，機(jī)密計(jì)算仍是Gartner云安全成熟度曲線上的33種技術(shù)之一。

科技巨頭入局

作為一項(xiàng)前瞻性技術(shù)，目前許多科技巨頭紛紛入局，大力探索和開發(fā)機(jī)密計(jì)算。

微軟Azure

2017年，微軟新增加了一項(xiàng)名為Azure機(jī)密計(jì)算的安全功能，以確保數(shù)據(jù)在處理時(shí)能得到更多的控制。

Azure機(jī)密計(jì)算會(huì)阻止由更改或篡改代碼觸發(fā)的操作，從而以良好的方式關(guān)閉整個(gè)TEE。該技術(shù)可防止針對應(yīng)用程序、操作系統(tǒng)或系統(tǒng)管理程序漏洞的惡意軟件或攻擊者獲得對正在使用數(shù)據(jù)的訪問。還可以阻止具有直接訪問系統(tǒng)權(quán)限或擁有管理特權(quán)的惡意內(nèi)部人員。

在實(shí)現(xiàn)方式上，微軟的機(jī)密計(jì)算有兩種模式：第一個(gè)是在Windows Server 2016和Windows 10 Hyper-V虛擬化軟件組件中找到基于軟件的虛擬安全模式，第二個(gè)是內(nèi)置在Azure云服務(wù)器處理器中的英特爾軟件保護(hù)擴(kuò)展(SGX)技術(shù)。

目前，微軟正在與其他軟件和硬件合作伙伴合作，以啟用其他類型的TEE。

阿里云

阿里云是亞太區(qū)首個(gè)推出基于SGX機(jī)密計(jì)算的云服務(wù)商，并在全球范圍內(nèi)首個(gè)將SGX技術(shù)商業(yè)化，讓云上用戶都可以以最簡單便捷的方式享受高等級數(shù)據(jù)保護(hù)能力。

基于Intel SGX機(jī)密計(jì)算技術(shù)，阿里云為云上客戶提供了系統(tǒng)運(yùn)行時(shí)的可信能力，云上開發(fā)者可以利用SGX技術(shù)提供的可信執(zhí)行環(huán)境，將內(nèi)存中的關(guān)鍵代碼和數(shù)據(jù)保護(hù)起來，即便具有更高特權(quán)的系統(tǒng)組件(包括BIOS、虛擬化底層、操作系統(tǒng)內(nèi)核)也無法獲得關(guān)鍵代碼和數(shù)據(jù)，讓客戶可以擺脫對云平臺(tái)的依賴，通過擁有云上的可信執(zhí)行環(huán)境，防止數(shù)據(jù)被竊取或被篡改。

阿里云在機(jī)密計(jì)算領(lǐng)域所做的工作不止如此：

• 2017年，阿里云和英特爾聯(lián)合發(fā)布了基于芯片級的SGX機(jī)密計(jì)算技術(shù)，保障云上客戶數(shù)據(jù)安全;
• 2018年4月，在RSA2018大會(huì)上，阿里云宣布支持阿里云機(jī)密計(jì)算技術(shù)的“神龍?jiān)?rdquo;服務(wù)器正式商業(yè)化;
• 2018年9月，在云棲大會(huì)上，阿里云發(fā)布了FPGA機(jī)密計(jì)算技術(shù)，將機(jī)密計(jì)算從處理器擴(kuò)展到FPGA設(shè)備，讓主流的機(jī)器學(xué)習(xí)計(jì)算模型和數(shù)據(jù)相關(guān)的計(jì)算都可以運(yùn)行在可信環(huán)境中;
• 2018年9月，在云棲大會(huì)上，阿里云還發(fā)布了智能網(wǎng)卡機(jī)密計(jì)算技術(shù)，將系統(tǒng)的可信擴(kuò)展到網(wǎng)絡(luò)上，通過智能網(wǎng)卡機(jī)密計(jì)算技術(shù)實(shí)現(xiàn)可信網(wǎng)絡(luò);
• 2018年10月，阿里云又推出了基于SGX技術(shù)的區(qū)塊鏈服務(wù)平臺(tái);
• 2019年的云棲大會(huì)上，阿里云智能與阿里云數(shù)據(jù)庫團(tuán)隊(duì)聯(lián)合發(fā)布了全加密數(shù)據(jù)庫產(chǎn)品。

谷歌云

在Google Cloud Next 2020大會(huì)上，谷歌云(Google Cloud)推出了一款“可保密虛擬機(jī)”(Confidential VMs)。這種新型的虛擬機(jī)可以利用谷歌的加密計(jì)算，實(shí)現(xiàn)對靜止?fàn)顟B(tài)和內(nèi)存數(shù)據(jù)的保密。

在后端，機(jī)密虛擬機(jī)使用了基于AMD二代霄龍?zhí)幚砥?EPYC)的安全加密虛擬化技術(shù)，實(shí)現(xiàn)了使用中數(shù)據(jù)的加密。密鑰由CPU可信執(zhí)行環(huán)境生成且無法導(dǎo)出，即便是谷歌自身也無法得知密鑰。

此外，谷歌還表示他們已經(jīng)推出虛擬機(jī)的加固服務(wù)項(xiàng)目Shielded VMs，能在root軟件和其他漏洞攻擊下保護(hù)系統(tǒng)。

布局未來

隨著企業(yè)將業(yè)務(wù)數(shù)據(jù)遷離本地或遷至多租戶云計(jì)算環(huán)境，現(xiàn)在他們迫切需要能夠保護(hù)客戶數(shù)據(jù)完整性以及保護(hù)使用中數(shù)據(jù)的專有算法。因此，云供應(yīng)商正在啟動(dòng)新的機(jī)密計(jì)算實(shí)例供客戶使用。這消除了組織運(yùn)行自己機(jī)密計(jì)算系統(tǒng)的必要性，從而形成了一個(gè)雙贏的局面：客戶獲得了保護(hù)其數(shù)據(jù)資產(chǎn)所需的東西;云提供商引入了客戶不一定擁有的必要硬件資產(chǎn)。

這種新的可用性正推動(dòng)越來越多的處理器包含內(nèi)置的機(jī)密計(jì)算概念。而且由于云提供商通常在可用性早期階段就獲得了新的高端處理能力，這使得用戶社區(qū)的訪問速度要比用戶自己獲取的訪問速度快得多。此外，鑒于在云中運(yùn)行的硬件和工具包的可用性，它使應(yīng)用程序提供商能夠快速將機(jī)密計(jì)算設(shè)計(jì)到他們的產(chǎn)品中，并進(jìn)一步擁有一個(gè)更成熟的市場來收回開發(fā)投資。

Gartner預(yù)計(jì)，需要大約5年至10年，機(jī)密計(jì)算才會(huì)普遍使用。建議企業(yè)在未來6-12個(gè)月內(nèi)探索使用機(jī)密計(jì)算技術(shù)，向主要應(yīng)用解決方案提供商說明，希望其遵守機(jī)密計(jì)算戰(zhàn)略，并在約定時(shí)間內(nèi)提供技術(shù)實(shí)施。畢竟，想要贏得市場占有率，獲得競爭優(yōu)勢，就必須先人一步。

【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】

戳這里，看該作者更多好文