云供應商鼎力支持機密計算

自2000年代中期興起以來，公有云這一計算媒介中的數據安全一直都是個令人頭疼的問題，但云供應商正利用“機密計算”這一新概念逐步消除對數據盜竊的恐懼。

機密計算涉及在硬件上創建隔離的保險庫——亦稱可信執行環境，在其中保護和存儲加密代碼。僅持有正確密鑰（通常是一串數字）的應用程序才能解鎖并解密代碼，從而訪問這些代碼。所有這一切須經認證過程加以驗證，最大限度地降低未授權方竊取數據的可能性。

今年10月微軟Ignite大會的一場流媒體視頻會議上，Microsoft Azure首席技術官Mark Russinovich表示，機密計算提供“終極數據保護”。

“由于是在受硬件保護的飛地內部，外部沒人能看到或篡改數據。”他說，“包括能實際觸碰到服務器的人、服務器管理員、虛擬機管理程序，以及應用程序管理員。”

分析師認為，企業可利用機密計算將重度仰賴數據隱私和安全的工作負載遷移到云端。例如，醫療和金融等監管嚴密行業的公司，就可以在維持其安全態勢的情況下轉向云服務。

窺探云中漏洞

自誕生之初，云計算在價格和靈活性方面的實惠就大大掩蓋了安全短板。技術研究公司CCS Insight云、基礎設施和量子計算首席分析師James Sanders表示，對云計算最尖銳的批評是無法確保隱私，因為客戶工作負載無法徹底與宿主系統隔離。

“然而，2018年‘幽靈’（Spectre）和‘熔斷’（Meltdown）漏洞的披露，證明了惡意云租戶有可能從同一宿主系統上其他進程的工作負載中滲漏數據。”

這兩個漏洞向黑客暴露了流出安全飛地的機密信息。但幽靈和熔斷攻擊也推動了廣義上的機密計算概念，即只有授權方才能訪問加密代碼，且加密代碼不會流出隔離的飛地。

咨詢公司Tirias Research首席分析師Steve Leibson表示，加密計算可以防止惡意黑客入侵服務器盜取秘密。

“國家支持的攻擊是最難也最復雜的。”他說道，“所以你必須認真考慮如何保護使用中、傳輸中和已存儲的數據。數據在這三種狀態下都必須是加密的。”

芯片級機密計算

Leibson表示，機密計算正在改變硬件制造商和云供應商對待應用程序的態度，讓他們直接在芯片層級而非虛擬機層級上思考應用程序。

“在處理器上運行時我們不需要認證，因為沒人會去篡改一個Xeon處理器。”他說，“但虛擬機不一樣，虛擬機僅僅是個軟件。你可以篡改軟件。認證就是要為軟件機器提供類似芯片為硬件處理器提供的那種剛性。”

芯片制造商由此采取了安全優先的芯片設計方法，這種方法逐漸延伸到了云產品上。上個月，谷歌、英偉達、微軟和AMD聯合發布了一套名為Caliptra的規范，用于在芯片上建立安全層存放受保護的可信數據。該規范保護引導扇區，提供認證層，防止差錯注入和邊信道攻擊等常規硬件黑客攻擊。Caliptra由開放計算計劃和Linux基金會管理。

在10月中旬舉行的谷歌Cloud Next大會期間發表的博客文章中，谷歌副總裁兼技術研究員Parthasarathy Ranganathan寫道：“我們期待未來機密計算領域出現各種創新，涌現出需要在封裝或片上系統（SoC）層級進行芯片級認證的各種用例。”

谷歌已經擁有了自己的機密計算技術，該名為OpenTitan的技術主要關注引導扇區保護。

科技分析公司CCS Insight首席分析師Sanders表示，微軟此前在機密計算領域的工作依賴部分飛地而非保護整個宿主系統。但是，微軟本月發布的Azure虛擬機中，機密計算基于燒錄進AMD霄龍（Epyc）服務器處理器的技術。AMD的SNP-SEV技術在數據加載到CPU或GPU時加密數據，保護處理過程中的數據。

為實現合規掃清道路

分析人士表示，對于企業而言，機密計算提供了在公有云上保護數據的能力，符合歐洲《通用數據保護條例》（GDPR）和美國《健康保險流通與責任法案》（HIPAA）等法規的要求。

Sander表示：“推出能防住云管理員的加密措施平息了長久以來的反云論調之一，因為屏蔽工作負載，讓云平臺運營商無法窺探客戶工作負載，就能夠有效消除妨礙公有云采用的最大殘余風險源。”

AMD的這項技術在今年早些時候出現在通用虛擬機中，但Ignite的發布將該技術擴展到了Azure Kubernetes Service，為云原生工作負載提供了額外的安全性。Azure上的AMD SNP-SEV技術也可用于自帶設備辦公、遠程辦公環境，以及圖像密集型應用程序。