Microsoft protege enclaves do Azure com protetores de hardware

A Microsoft está encarregando o hardware da proteção de dados no Azure para ajudar os clientes a se sentirem confiantes sobre o compartilhamento de dados com partes autorizadas no ambiente de nuvem. A empresa fez uma série de anúncios de segurança de hardware em sua conferência Ignite 2022 esta semana para destacar as ofertas de computação confidencial do Azure.

Computação confidencial envolve a criação de um Trusted Execution Environment (TEE), essencialmente uma caixa preta para armazenar dados criptografados. Em um processo chamado atestado, as partes autorizadas podem colocar código dentro da caixa para descriptografar e acessar as informações sem antes ter que mover os dados para fora do espaço protegido. O enclave protegido por hardware cria um ambiente confiável no qual os dados são à prova de adulteração, e os dados não são acessíveis nem mesmo para aqueles com acesso físico ao servidor, um hipervisor ou até mesmo um aplicativo.

“É realmente o máximo em proteção de dados”, disse Mark Russinovich, diretor de tecnologia do Microsoft Azure, na Ignite.

A bordo do Epyc da AMD

Vários dos novos produtos da Microsoft camadas de segurança de hardware aproveite os recursos no chip incluídos no Epyc — o processador de servidor da Advanced Micro Devices implantado no Azure.

Um desses recursos é o SEV-SNP, que criptografa dados de IA quando em uma CPU. Os aplicativos de aprendizado de máquina movem dados continuamente entre uma CPU, aceleradores, memória e armazenamento. O SEV-SNP da AMD garante segurança de dados dentro do ambiente da CPU, enquanto bloqueia o acesso a essas informações durante o ciclo de execução.

O recurso SEV-SNP da AMD fecha uma lacuna crítica para que os dados fiquem seguros em todas as camadas enquanto residem ou se movem no hardware. Outros fabricantes de chips se concentraram amplamente em criptografar dados enquanto estão armazenados e em trânsito em redes de comunicação, mas os recursos da AMD protegem os dados enquanto são processados ​​na CPU.

Isso oferece vários benefícios e as empresas poderão misturar dados proprietários com conjuntos de dados de terceiros que residem em outros enclaves seguros no Azure. Os recursos do SEV-SNP usam atestado para garantir que os dados recebidos estejam em sua forma exata de um parte confiável e pode ser confiável.

“Isso está permitindo novos cenários e computação confidencial que não era possível antes”, disse Amar Gowda, principal gerente de produto do Microsoft Azure, durante um webcast do Ignite.

Por exemplo, os bancos poderão compartilhar dados confidenciais sem medo de que alguém os roube. O recurso SEV-SNP trará dados bancários criptografados para o enclave seguro de terceiros, onde poderão se misturar com conjuntos de dados de outras fontes.

“Devido a esse atestado e proteção de memória e proteção de integridade, você pode ter certeza de que os dados não deixarão os limites nas mãos erradas. A coisa toda é sobre como você habilita novas ofertas em cima desta plataforma”, disse Gowda.

Segurança de hardware em máquinas virtuais

A Microsoft também adicionou segurança adicional para cargas de trabalho nativas da nuvem, e as chaves de criptografia não exportáveis ​​geradas usando SEV-SNP são um ajuste lógico para enclaves onde os dados são transitórios e não retidos, James Sanders, analista principal de nuvem, infraestrutura e quantum da CCS Insight, diz em uma conversa com Dark Reading.

“Para a Área de Trabalho Virtual do Azure, o SEV-SNP adiciona uma camada adicional de segurança para casos de uso de área de trabalho virtual, incluindo locais de trabalho do tipo traga seu próprio dispositivo, trabalho remoto e aplicativos com uso intensivo de gráficos”, diz Sanders.

Algumas cargas de trabalho não foram movidas para a nuvem devido a limitações de regulamentação e conformidade vinculadas à privacidade e segurança dos dados. As camadas de segurança de hardware permitirão que as empresas migrem essas cargas de trabalho sem comprometer sua postura de segurança, disse Run Cai, principal gerente de programas da Microsoft, durante a conferência.

A Microsoft também anunciou que a área de trabalho virtual do Azure com VM confidencial estava em pré-visualização pública, que poderá executar o atestado do Windows 11 em VMs confidenciais.

“Você pode usar o acesso remoto seguro com Windows Olá e também acesso seguro aos aplicativos do Microsoft Office 365 em VMs confidenciais”, disse Cai.

A Microsoft vem se interessando pelo uso do SEV-SNP da AMD em VMs de uso geral desde o início deste ano, o que foi um bom começo, diz Sanders da CCS Insight.

A adoção do SEV-SNP também é uma validação importante para a AMD entre os clientes de data center e nuvem, pois os esforços anteriores em computação confidencial dependiam de enclaves parciais seguros, em vez de proteger todo o sistema host.

“Isso não foi fácil de configurar, e a Microsoft deixou para os parceiros fornecer soluções de segurança que aproveitassem os recursos de segurança em silício”, diz Sanders.

Russinovich, da Microsoft, disse que os serviços do Azure para gerenciar hardware e implantação de código para computação confidencial estão chegando. Muitos desses serviços gerenciados serão baseados no Confidential Consortium Framework, que é um ambiente de código aberto desenvolvido pela Microsoft para computação confidencial.

“O serviço gerenciado está em forma de prévia… temos clientes que estão chutando os pneus”, disse Russinovich.