Los proveedores de la nube ponen su peso detrás de la computación confidencial

La seguridad de los datos en la nube pública ha sido una preocupación desde que surgió el medio informático a mediados de la década de 2000, pero los proveedores de la nube están disipando los temores de robo con un nuevo concepto: la informática confidencial.

La informática confidencial implica la creación de una bóveda aislada en el hardware, también denominada entorno de ejecución confiable, en el que se protege y almacena el código cifrado. Solo pueden acceder al código las aplicaciones con las claves correctas, que generalmente son una combinación de números, para desbloquearlo y luego descifrarlo. un proceso llamado certificación verifica que todo esté correcto, minimizando las posibilidades de que partes no autorizadas roben o hurten los datos.

La informática confidencial ofrece "lo último en protección de datos", dijo Mark Russinovich, director de tecnología de Microsoft Azure, durante una sesión transmitida en la sede de la compañía. Conferencia Ignite en octubre.

“Debido a que está dentro del enclave, protegido por hardware, nada afuera puede ver esos datos o alterarlos”, dijo. "Eso incluye personas con acceso físico al servidor, el administrador del servidor, el hipervisor y el administrador de una aplicación".

La informática confidencial permite a las empresas migrar a la nube cargas de trabajo que dependen en gran medida de la privacidad y la seguridad de los datos, afirman los analistas. Las empresas de industrias altamente reguladas, como la atención médica y las finanzas, pueden migrar a servicios en la nube manteniendo su postura de seguridad.

Espiando los agujeros en las nubes

Desde sus inicios, el atractivo utilitario de la computación en la nube, en términos de precios y flexibilidad, ahogó en gran medida las preocupaciones de seguridad. La crítica más abierta a la computación en la nube fue la posibilidad de que fuera imposible garantizar la privacidad porque las cargas de trabajo de los invitados no podían aislarse completamente del sistema anfitrión, dice James Sanders, analista principal de nube, infraestructura y computación cuántica de la firma de investigación tecnológica CCS Insight.

"Sin embargo, la divulgación de las vulnerabilidades Spectre y Meltdown en 2018 demostró la posibilidad de que un inquilino malicioso de la nube extraiga datos de las cargas de trabajo de otros procesos en el mismo sistema host", afirma Sanders.

La vulnerabilidades exponer a los piratas informáticos información confidencial dejando enclaves seguros. Los ataques gemelos también impulsaron la idea más amplia de la informática confidencial, en la que sólo las partes autorizadas podían acceder al código cifrado pero no dejarían enclaves aislados.

La informática confidencial evita que los malos entren en servidores y roben secretos, afirma Steve Leibson, analista principal de Tirias Research.

“Los [ataques] patrocinados por el Estado son los más difíciles y los más sofisticados”, afirma. “Entonces, en este punto, realmente hay que pensar en proteger los datos en uso, en movimiento y almacenados. Debe estar cifrado en las tres situaciones”.

Conexión a tierra de la informática confidencial en silicio

La informática confidencial está cambiando la forma en que los fabricantes de hardware y los proveedores de nube piensan sobre las aplicaciones en máquinas virtuales y no directamente en los procesadores, afirma Leibson.

"Cuando ejecutamos procesadores, no necesitábamos certificación porque nadie iba a alterar un Xeon", afirma. “Pero una máquina virtual es sólo software. Puedes modificarlo. Attestation intenta proporcionar el mismo tipo de rigidez a las máquinas de software que el silicio a los procesadores de hardware”.

Desde entonces, los fabricantes de chips han adoptado un enfoque que prioriza la seguridad en el diseño de chips, y esto se ha extendido a las ofertas en la nube. El mes pasado, Google, Nvidia, Microsoft y AMD anunciaron conjuntamente una especificación llamada Caliptra establecer una capa segura en los chips donde los datos puedan protegerse y ser confiables. La especificación protege el sector de arranque, proporciona capas de certificación y protege contra la piratería de hardware convencional, como fallas y ataques de canal lateral. Caliptra es administrado por Open Compute Project y Linux Foundation.

"Esperamos futuras innovaciones en informática confidencial y diversos casos de uso que requieren certificación a nivel de chip a nivel de paquete o sistema en un chip (SoC)" con Caliptra, escribió Parthasarathy Ranganathan, vicepresidente y miembro técnico de Google. , en un Entrada de blog publicado durante el evento Google Cloud Next que tuvo lugar a mediados de octubre.

Google ya tiene su propia tecnología informática confidencial llamada AbiertoTitan, que se centra principalmente en proteger el sector de arranque.

Los esfuerzos anteriores de Microsoft en materia de informática confidencial se basaban en enclaves parciales en lugar de proteger todo el sistema anfitrión, afirma Sanders de CCS Insight. Sin embargo, este mes la compañía anunció Máquinas virtuales de Azure con informática confidencial basado en la tecnología integrada en Epyc, un procesador de servidor de AMD. SNP-SEV de AMD cifra los datos cuando se cargan en una CPU o GPU, lo que protege los datos mientras se procesan.

Despejando el camino hacia el cumplimiento en el mundo real

Para las empresas, la informática confidencial ofrece la posibilidad de proteger datos en la nube pública como lo exigen regulaciones como el Reglamento General de Protección de Datos de Europa y la Ley de Responsabilidad y Portabilidad de Seguros Médicos de Estados Unidos, dicen los analistas.

"La disponibilidad de cifrado a prueba de administradores en la nube socava uno de los puntos de conversación anti-nube más antiguos, ya que proteger las cargas de trabajo del operador de la plataforma en la nube elimina efectivamente la mayor fuente restante de riesgo que impide la adopción de la nube pública", dice Sanders.

La tecnología AMD apareció en máquinas virtuales de uso general a principios de este año, pero los anuncios en Ignite extienden la tecnología al servicio Azure Kubernetes, que proporciona seguridad adicional para cargas de trabajo nativas de la nube. La tecnología AMD en Azure también está diseñada para su uso en lugares de trabajo en los que se puede traer su propio dispositivo, trabajo remoto y aplicaciones con uso intensivo de gráficos.