機密計算的神秘面紗

機密計算通過基于硬件的可信執行環境（TEE）保護使用中的數據，是近幾個月來俘獲大量關注的數據安全子領域，發展勢頭極為迅猛。

數據存在三種狀態：傳輸中、靜態和使用中。正在網絡上流轉的數據就是“傳輸中”數據，保存在某種形式的存儲載體上的數據就是“靜態”數據，正在處理中的數據就是“使用中”數據。

隨著傳輸中數據和靜態數據防護措施的發展，針對網絡和存儲設備的網絡威脅越來越不容易得手，攻擊者將目光轉向了使用中數據。常見攻擊方法包括內存刮取、CPU邊信道攻擊和惡意軟件注入。

機密計算通過基于硬件的可信執行環境（TEE）保護使用中的數據，TEE可提供一定水平的數據完整性、數據機密性和代碼完整性保障。

安全策略師必須考慮所有不同層面上的潛在入侵。只要某一層遭入侵（比如使用中數據），那其他層面（靜態數據、傳輸中數據）也可能受影響。機密計算能夠堵上入侵者可以用來滲漏的最后一個“漏洞”，將大幅增強公司企業的整體安全策略。

機密計算的興起

幾十年來，公司企業一直努力運用多種安全策略保護數據安全，但機密計算并無前例，是全新的一類數據安全解決方案，以創新方式補強公司企業數據防護策略中的另一潛在弱點。處理器和內存芯片設計的諸多重大發展，讓我們能夠在標準處理芯片集里嵌入更多功能，從而開始推動機密計算解決方案的興起與采納。

任何新技術進入市場，通常都是一開始比較困難，但很快技術社區和領域專家就會開始宣傳布道。機密計算仍處于早期采納階段，缺乏標準的實現方式。多家供應商以多種方式定位機密計算，造成普通安全IT人員對此頗為困惑，但這種技術仍令人振奮，引人躍躍欲試。

類似的采納速度可以在同為安全領域的密鑰管理領域里找到。在密鑰管理互操作性協議（KMIP）引入之前，公司企業部署的每一個加密解決方案都需要專門集成某種形式的加密密鑰管理器。雖然一開始復雜又混亂，但這一麻煩最終得以解決。

當前的密鑰管理解決方案已經采用了KMIP，變得易于實現和使用，價格也便宜了不少。與密鑰管理和之前的很多其他技術一樣，機密計算技術的采納預期會遵循類似的路線。

隨著機密計算市場的發展，我們將在未來三到五年見證一些重大變化。最初，每個用例的實現可能都會略微不同，需要自己的芯片級硬件，以及管理該硬件的相應軟件。

這一時間框架中，客戶需求可能會迫使芯片制造商標準化，以便最終用戶有一套統一的方法保護其使用中的數據。軟件行業也將不得不快速創新和改進機密計算的可管理性和兼容性，讓機密計算更容易適應現有安全管理框架，變得更容易部署和使用。

如何進入機密計算領域

由于機密計算如今才剛剛進入主流，IT安全人員應仔細調查研究自身關鍵企業或政府應用的TEE部署方式，知道自己可能需要根據特定應用所選硬件供應商處理多種不同實現。

例如，如果TEE運行在數據中心，管理就需要由該公司或機構的硬件供應商提供。這些TEE使用安全飛地之類的硬件技術為環境中的代碼執行和數據保護提供額外的安全保障。基于硬件的安全飛地技術包括可信平臺模塊（TPM）、英特爾的軟件保護擴展（SGX）、ARM的Trustzone和AMD的安全加密虛擬化（SEV）。然而，使用云的公司企業通常需要求助于其云提供商以服務形式托管的不同TEE。采用英特爾SGX的Azure Confidential Computing和谷歌的云機密計算（Cloud Confidential Computing）就歸屬此類。

雖然可以利用機密計算，但硬件安全模塊（HSM）仍是單獨的一塊復雜又昂貴的硬件，而且需要投入管理資源。基于軟件的密鑰管理器可在提供TEE的任何硬件上執行，以極低的開銷交付機密計算的價值，獲得與硬件解決方案同等的全部防護。

安全是任何IT策略的重心，機密計算是未來幾年中值得關注的下一個技術。