Microsoft suojaa Azure-enklaavit laitteistosuojilla

Microsoft asettaa laitteiston vastuulle Azuren tietosuojasta, jotta asiakkaat voivat luottaa siihen, että he voivat jakaa tietoja valtuutettujen osapuolten kanssa pilviympäristössä. Yhtiö teki tällä viikolla Ignite 2022 -konferenssissaan sarjan laitteiston tietoturvailmoituksia korostaakseen Azuren luottamuksellisia tietotekniikkatarjouksia.

Luottamuksellinen tietojenkäsittely Luotettavan suoritusympäristön (TEE, Trusted Execution Environment) luominen on lähinnä musta laatikko salattujen tietojen säilyttämiseksi. Todennusprosessissa valtuutetut osapuolet voivat sijoittaa koodin laatikon sisään salauksen purkamiseksi ja tietojen saamiseksi ilman, että heidän tarvitsee ensin siirtää tietoja pois suojatusta tilasta. Laitteistosuojattu erillisalue luo luotettavan ympäristön, jossa tiedot ovat väärentämisen estäviä, eivätkä tiedot ole saatavilla edes niille, joilla on fyysinen pääsy palvelimelle, hypervisorille tai edes sovellukselle.

"Se on todella äärimmäistä tietosuojaa", Mark Russinovich, Microsoft Azuren teknologiajohtaja, sanoi Ignitessä.

Mukana AMD:n Epycin kanssa

Useita Microsoftin uusia laitteiston suojauskerrokset Hyödynnä Epycissä – Azuressa käyttöönotetun Advanced Micro Devicesin palvelinprosessorin – sisäisiä ominaisuuksia.

Yksi tällainen ominaisuus on SEV-SNP, joka salaa AI-tiedot, kun se on suorittimessa. Koneoppimissovellukset siirtävät tietoja jatkuvasti prosessorin, kiihdyttimien, muistin ja tallennustilan välillä. AMD:n SEV-SNP varmistaa tietoturva CPU-ympäristön sisällä, samalla kun estetään pääsy tietoihin, kun ne kulkevat suoritussyklin läpi.

AMD:n SEV-SNP-ominaisuus sulkee kriittisen aukon, joten tiedot ovat turvassa kaikilla tasoilla, kun ne oleskelevat tai liikkuvat laitteistossa. Muut siruvalmistajat ovat keskittyneet suurelta osin tietojen salaamiseen tallennuksen aikana ja tiedonsiirtoverkoissa siirrettäessä, mutta AMD:n ominaisuuksia on suojattu data, kun niitä käsitellään prosessorissa.

Tämä tarjoaa useita etuja, ja yritykset voivat sekoittaa omaa dataa kolmannen osapuolen tietojoukkojen kanssa, jotka sijaitsevat muissa Azuren suojatuissa erillisalueissa. SEV-SNP-ominaisuudet käyttävät todistusta varmistaakseen, että saapuvat tiedot ovat tarkassa muodossaan alkaen a luottavainen puolue ja siihen voi luottaa.

"Tämä mahdollistaa uusien skenaarioiden ja luottamuksellisen laskennan, joka ei ollut mahdollista aiemmin", sanoi Microsoft Azuren päätuotepäällikkö Amar Gowda Igniten webcast-lähetyksen aikana.

Esimerkiksi pankit voivat jakaa luottamuksellisia tietoja ilman pelkoa, että joku varastaa ne. SEV-SNP-ominaisuus tuo salatut pankkitiedot suojattuun kolmannen osapuolen erillisalueeseen, jossa se voi sekoittua muista lähteistä peräisin olevien tietojoukkojen kanssa.

”Tämän todistuksen ja muistin suojauksen ja eheyssuojan ansiosta voit olla varma, että tiedot eivät jätä rajoja vääriin käsiin. Koko asia liittyy siihen, kuinka voit ottaa käyttöön uusia tarjouksia tämän alustan päällä”, Gowda sanoi.

Virtuaalikoneiden laitteistosuojaus

Microsoft lisäsi myös lisäsuojausta pilvipohjaisiin työkuormiin, ja SEV-SNP:n avulla luodut ei-vietävät salausavaimet sopivat loogisesti erillisalueille, joissa data on ohimenevää eikä säilytetä, James Sanders, pilvi-, infrastruktuuri- ja kvanttialan pääanalyytikko. CCS Insight, sanoo keskustelussa Dark Readingin kanssa.

"Azure Virtual Desktopille SEV-SNP lisää ylimääräisen suojauskerroksen virtuaalisen työpöydän käyttötapauksiin, mukaan lukien tuo oma laite -työpaikat, etätyö ja grafiikkaa vaativat sovellukset", Sanders sanoo.

Jotkut työmäärät eivät ole siirtyneet pilveen tietosuojaan ja tietoturvaan liittyvien sääntely- ja vaatimustenmukaisuusrajoitusten vuoksi. Laitteiston suojauskerrokset antavat yrityksille mahdollisuuden siirtää tällaisia ​​työkuormia vaarantamatta tietoturva-asentoaan, Run Cai, Microsoftin pääohjelmapäällikkö, sanoi konferenssin aikana.

Microsoft ilmoitti myös, että Azure-virtuaalinen työpöytä luottamuksellisella virtuaalikoneella oli julkisessa esikatselussa, joka pystyy suorittamaan Windows 11 -todistuksen luottamuksellisissa virtuaalikoneissa.

"Voit käyttää suojattua etäkäyttöä Windows Hei ja myös suojata pääsy Microsoft Office 365 -sovelluksiin luottamuksellisissa virtuaalikoneissa", Cai sanoi.

Microsoft on harrastanut AMD:n SEV-SNP:n käyttöä yleiskäyttöisissä virtuaalikoneissa aiemmin tänä vuonna, mikä oli hyvä alku, CCS Insightin Sanders sanoo.

SEV-SNP:n käyttöönotto on myös tärkeä vahvistus AMD:lle datakeskus- ja pilviasiakkaiden keskuudessa, koska aiemmat luottamuksellisen tietojenkäsittelyn ponnistelut perustuivat osittaisiin suojattuihin erillisalueisiin koko isäntäjärjestelmän suojaamisen sijaan.

"Tämän määrittäminen ei ollut yksinkertaista, ja Microsoft jätti kumppaneidensa tehtäväksi tarjota tietoturvaratkaisuja, jotka hyödyntävät piin sisäisiä suojausominaisuuksia", Sanders sanoo.

Microsoftin Russinovich sanoi, että Azure-palvelut laitteiston hallintaan ja luottamuksellisen tietojenkäsittelyn koodin käyttöönottoon ovat tulossa. Monet näistä hallituista palveluista perustuvat Confidential Consortium Frameworkiin, joka on Microsoftin kehittämä avoimen lähdekoodin ympäristö luottamuksellista tietojenkäsittelyä varten.

"Hallinnoitu palvelu on esikatselumuodossa... meillä on asiakkaita, jotka potkivat renkaita siihen", Russinovich sanoi.