Microsoft защищает анклавы Azure с помощью аппаратных средств защиты

Microsoft предоставляет аппаратное обеспечение для защиты данных в Azure, чтобы клиенты чувствовали себя уверенно при обмене данными с авторизованными сторонами в облачной среде. На этой неделе на конференции Ignite 2022 компания сделала серию заявлений по безопасности оборудования, чтобы привлечь внимание к предложениям Azure для конфиденциальных вычислений.

Конфиденциальные вычисления включает в себя создание Trusted Execution Environment (TEE), по сути, черного ящика для хранения зашифрованных данных. В процессе, называемом аттестацией, авторизованные стороны могут поместить внутрь коробки код для расшифровки и доступа к информации без предварительного перемещения данных из защищенного пространства. Анклав с аппаратной защитой создает надежную среду, в которой данные защищены от несанкционированного доступа и недоступны даже для тех, кто имеет физический доступ к серверу, гипервизору или даже приложению.

«Это действительно непревзойденная защита данных, — сказал в Ignite Марк Руссинович, главный технический директор Microsoft Azure.

На борту AMD Epyc

Несколько новых продуктов Microsoft аппаратные уровни безопасности Воспользуйтесь встроенными функциями, включенными в Epyc — серверный процессор от Advanced Micro Devices, развернутый в Azure.

Одной из таких функций является SEV-SNP, которая шифрует данные ИИ, когда они находятся в ЦП. Приложения машинного обучения непрерывно перемещают данные между ЦП, ускорителями, памятью и хранилищем. AMD SEV-SNP обеспечивает безопасность данных внутри среды ЦП, блокируя доступ к этой информации по мере ее выполнения.

Функция AMD SEV-SNP закрывает критический пробел, поэтому данные защищены на всех уровнях при хранении или перемещении в оборудовании. Другие производители чипов в основном сосредоточились на шифровании данных при хранении и передаче по сетям связи, но функции AMD защищают данные во время их обработки в ЦП.

Это дает множество преимуществ, и компании смогут смешивать собственные данные со сторонними наборами данных, находящимися в других безопасных анклавах в Azure. Функции SEV-SNP используют аттестацию, чтобы гарантировать, что входящие данные находятся в их точной форме из доверяющая сторона и можно доверять.

«Это позволяет использовать новые сетевые сценарии и конфиденциальные вычисления, которые раньше были невозможны», — сказал Амар Гауда, главный менеджер по продуктам Microsoft Azure, во время веб-трансляции Ignite.

Например, банки смогут обмениваться конфиденциальными данными, не опасаясь их кражи. Функция SEV-SNP переносит зашифрованные банковские данные в безопасный сторонний анклав, где они могут смешиваться с наборами данных из других источников.

«Благодаря этой аттестации, защите памяти и защите целостности вы можете быть уверены, что данные не покинут границы в чужие руки. Все дело в том, как вы включаете новые предложения поверх этой платформы», — сказал Гауда.

Аппаратная безопасность на виртуальных машинах

Microsoft также добавила дополнительную защиту для облачных рабочих нагрузок, а неэкспортируемые ключи шифрования, сгенерированные с помощью SEV-SNP, логически подходят для анклавов, где данные являются временными и не сохраняются, — Джеймс Сандерс, главный аналитик по облачным технологиям, инфраструктуре и квантовым вычислениям в CCS Insight, — говорится в разговоре с Dark Reading.

«Для виртуального рабочего стола Azure SEV-SNP добавляет дополнительный уровень безопасности для вариантов использования виртуальных рабочих столов, включая рабочие места с собственными устройствами, удаленную работу и приложения с интенсивным использованием графики», — говорит Сандерс.

Некоторые рабочие нагрузки не были перенесены в облако из-за нормативных требований и ограничений, связанных с конфиденциальностью и безопасностью данных. Уровни аппаратной безопасности позволят компаниям переносить такие рабочие нагрузки без ущерба для своей системы безопасности, заявил на конференции Рун Цай, главный программный менеджер Microsoft.

Microsoft также объявила, что виртуальный рабочий стол Azure с конфиденциальной виртуальной машиной находится в общедоступной предварительной версии, что позволит выполнять аттестацию Windows 11 на конфиденциальных виртуальных машинах.

«Вы можете использовать безопасный удаленный доступ с Windows Hello а также безопасный доступ к приложениям Microsoft Office 365 на конфиденциальных виртуальных машинах», — сказал Цай.

По словам Сандерса из CCS Insight, Microsoft экспериментировала с использованием AMD SEV-SNP в виртуальных машинах общего назначения с начала этого года, и это было хорошим началом.

Принятие SEV-SNP также является важной проверкой AMD среди заказчиков центров обработки данных и облачных вычислений, поскольку предыдущие усилия по обеспечению конфиденциальности вычислений основывались на частичных безопасных анклавах, а не на защите всей хост-системы.

«Это было непросто настроить, и Microsoft предоставила своим партнерам возможность предоставлять решения по обеспечению безопасности, в которых используются встроенные функции безопасности», — говорит Сандерс.

Руссинович из Microsoft сказал, что вскоре появятся службы Azure для управления оборудованием и развертывания кода для конфиденциальных вычислений. Многие из этих управляемых служб будут основаны на Confidential Consortium Framework, разработанной Microsoft среде с открытым исходным кодом для конфиденциальных вычислений.

«Управляемый сервис находится в стадии предварительного просмотра… у нас есть клиенты, которые пинают шины на нем», — сказал Руссинович.