Microsoft ščiti enklave Azure z zaščitami strojne opreme

Microsoft postavlja strojno opremo, ki skrbi za zaščito podatkov v Azure, da bi se stranke počutile samozavestne glede deljenja podatkov s pooblaščenimi strankami v okolju oblaka. Podjetje je ta teden na svoji konferenci Ignite 2022 izdalo vrsto obvestil o varnosti strojne opreme, da bi poudarilo zaupne računalniške ponudbe Azure.

Zaupno računalništvo vključuje ustvarjanje zaupanja vrednega izvajalskega okolja (TEE), v bistvu črne skrinjice za shranjevanje šifriranih podatkov. V procesu, imenovanem atestiranje, lahko pooblaščene strani vstavijo kodo v škatlo za dešifriranje in dostop do informacij, ne da bi morali podatke najprej premakniti iz zaščitenega prostora. Enklava, zaščitena s strojno opremo, ustvarja zaupanja vredno okolje, v katerem so podatki zaščiteni pred posegi, podatki pa niso dostopni niti tistim, ki imajo fizični dostop do strežnika, hipervizorja ali celo aplikacije.

»To je res nekakšen ultimativni način varovanja podatkov,« je pri Ignite dejal Mark Russinovich, glavni tehnološki direktor Microsoft Azure.

Na krovu z AMD-jevim Epyc

Več Microsoftovih novosti varnostne plasti strojne opreme izkoristite funkcije na čipu, vključene v Epyc – strežniški procesor podjetja Advanced Micro Devices, ki je nameščen v Azure.

Ena taka funkcija je SEV-SNP, ki šifrira podatke AI, ko so v CPE. Aplikacije za strojno učenje neprekinjeno prenašajo podatke med CPE, pospeševalniki, pomnilnikom in shrambo. AMD-jev SEV-SNP zagotavlja varnost podatkov znotraj CPE okolja, hkrati pa blokira dostop do teh informacij, ko gredo skozi cikel izvajanja.

AMD-jeva funkcija SEV-SNP zapolnjuje kritično vrzel, tako da so podatki varni na vseh ravneh med bivanjem ali premikanjem v strojni opremi. Drugi izdelovalci čipov so se v veliki meri osredotočili na šifriranje podatkov med shranjevanjem in med prenosom v komunikacijskih omrežjih, vendar funkcije AMD varujejo podatke med obdelavo v CPE.

To ponuja številne prednosti in podjetja bodo lahko mešala lastniške podatke z nabori podatkov tretjih oseb, ki se nahajajo v drugih varnih enklavah v Azure. Funkcije SEV-SNP uporabljajo potrdilo za zagotovitev, da so vhodni podatki v natančni obliki od a zanašajoča stranka in se mu lahko zaupa.

»To omogoča neto nove scenarije in zaupno računalništvo, ki prej ni bilo mogoče,« je povedal Amar Gowda, glavni produktni vodja pri Microsoft Azure, med spletno oddajo Ignite.

Banke bodo na primer lahko delile zaupne podatke brez strahu, da bi jih kdo ukradel. Funkcija SEV-SNP bo prinesla šifrirane bančne podatke v varno enklavo tretjih oseb, kjer se lahko pomešajo z nizi podatkov iz drugih virov.

»Zaradi tega potrdila ter zaščite pomnilnika in zaščite integritete ste lahko prepričani, da podatki ne zapustijo meja v napačnih rokah. Celotna stvar je v tem, kako omogočiti nove ponudbe na vrhu te platforme,« je dejal Gowda.

Varnost strojne opreme na virtualnih strojih

Microsoft je prav tako dodal dodatno varnost za delovne obremenitve, ki izvirajo iz oblaka, šifrirni ključi, ki jih ni mogoče izvoziti, ustvarjeni z uporabo SEV-SNP, pa so logični primerni za enklave, kjer so podatki prehodni in se ne hranijo, je povedal James Sanders, glavni analitik za oblak, infrastrukturo in kvantne podatke. CCS Insight, pravi v pogovoru za Dark Reading.

»Za navidezno namizje Azure SEV-SNP dodaja dodatno plast varnosti za primere uporabe navideznega namizja, vključno z delovnimi mesti s pripelji svojo napravo, oddaljenim delom in grafično intenzivnimi aplikacijami,« pravi Sanders.

Nekatere delovne obremenitve se niso preselile v oblak zaradi omejitev predpisov in skladnosti, povezanih z zasebnostjo in varnostjo podatkov. Varnostne plasti strojne opreme bodo podjetjem omogočile selitev takšnih delovnih obremenitev brez ogrožanja njihove varnostne drže, je med konferenco dejal Run Cai, glavni vodja programa pri Microsoftu.

Microsoft je tudi objavil, da je bilo virtualno namizje Azure z zaupnim navideznim računalnikom v javnem predogledu, ki bo lahko zagnalo potrditev sistema Windows 11 na zaupnih navideznih strojih.

»Uporabite lahko varen oddaljeni dostop z Windows Hello in tudi varen dostop do aplikacij Microsoft Office 365 znotraj zaupnih virtualnih strojev,« je dejal Cai.

Microsoft se je od začetka tega leta ukvarjal z uporabo AMD-jevega SEV-SNP v navideznih strojih za splošne namene, kar je bil dober začetek, pravi Sanders iz CCS Insight.

Sprejetje SEV-SNP je tudi pomembna potrditev za AMD med strankami podatkovnih centrov in oblakov, saj so prejšnja prizadevanja za zaupno računalništvo temeljila na delnih varnih enklavah in ne na zaščiti celotnega gostiteljskega sistema.

»Tega ni bilo preprosto konfigurirati in Microsoft je partnerjem prepustil zagotavljanje varnostnih rešitev, ki izkoriščajo varnostne funkcije v siliciju,« pravi Sanders.

Russinovich iz Microsofta je dejal, da prihajajo storitve Azure za upravljanje strojne opreme in uvajanje kode za zaupno računalništvo. Mnoge od teh upravljanih storitev bodo temeljile na Confidential Consortium Framework, ki je odprtokodno okolje za zaupno računalništvo, ki ga je razvil Microsoft.

»Upravljana storitev je v predogledni obliki ... imamo stranke, ki se nanjo nagibajo,« je dejal Russinovich.