СУПЕРКОМП’ЮТЕРИ 2022 — Як уберегти зловмисників від деяких із найшвидших у світі комп’ютерів, які зберігають деякі з найбільш конфіденційних даних?
Це викликало все більше занепокоєння на конференції Supercomputing 2022 минулого місяця. Досягнення найшвидшої продуктивності системи було гарячою темою, як і кожного року. Але гонитва за швидкістю обійшлася ціною захисту деяких із цих систем, які виконують критичні робочі навантаження в науці, моделюванні погоди, економічному прогнозуванні та національній безпеці.
Впровадження безпеки у вигляді апаратного чи програмного забезпечення зазвичай призводить до зниження продуктивності, що сповільнює загальну продуктивність системи та результати обчислень. Поштовх до збільшення потужності суперкомп’ютерів змусив безпеку забути.
«Здебільшого мова йде про високопродуктивні обчислення. І іноді деякі з цих механізмів безпеки знижуватимуть вашу продуктивність, оскільки ви робите певні стримування та противаги», — говорить Джефф Маквей, віце-президент і генеральний менеджер Super Compute Group в Intel.
«Існує також «Я хочу переконатися, що я отримую найкращу можливу продуктивність, і якщо я зможу застосувати інші механізми для контролю того, як це безпечно виконується, я це зроблю», — каже Маквей.
Безпека потребує стимулювання
Продуктивність і безпека даних — це постійна боротьба між постачальниками, що продають високопродуктивні системи, та операторами, які запускають установку.
«Багато постачальників не бажають вносити ці зміни, якщо вони негативно впливають на продуктивність системи», — сказав Ян Го, комп’ютерний науковець із Національного інституту стандартів і технологій (NIST), під час панельна сесія на Supercomputing 2022.
Відсутність ентузіазму щодо забезпечення високопродуктивних обчислювальних систем спонукала уряд США втрутитися, і NIST створив робочу групу для вирішення проблеми. Го очолює робочу групу NIST HPC, яка зосереджена на розробці вказівок, схем і гарантій безпеки системи та даних.
Робоча група HPC була створена в січні 2016 року на основі документу тодішнього президента Барака Обами. Розпорядження 13702, яка започаткувала Національну стратегічну обчислювальну ініціативу. Активність групи пожвавилася після хвилі атаки на суперкомп'ютери в Європі, деякі з яких брали участь у дослідженнях COVID-19.
Безпека HPC є складною
Безпека у високопродуктивних обчисленнях не така проста, як встановлення антивірусу та сканування електронної пошти, сказав Го.
Високопродуктивні комп’ютери є спільними ресурсами, де дослідники бронюють час і підключаються до систем для проведення розрахунків і моделювання. Вимоги до безпеки відрізнятимуться залежно від архітектур HPC, деякі з яких можуть надавати пріоритет контролю доступу або обладнання, як-от сховище, швидші ЦП або більше пам’яті для обчислень. За словами Го, основна увага приділяється захисту контейнера та дезінфекції обчислювальних вузлів, які стосуються проектів високопродуктивних обчислень.
Урядові установи, що працюють із надсекретними даними, застосовують підхід у стилі Форт-Нокс до захисту систем, відключаючи звичайну мережу або бездротовий доступ. Підхід із «повітряним проміжком» допомагає гарантувати, що зловмисне програмне забезпечення не вторгнеться в систему, і що лише авторизовані користувачі з допуском мають доступ до таких систем.
В університетах також є суперкомп’ютери, які доступні для студентів і науковців, які проводять наукові дослідження. Адміністратори цих систем у багатьох випадках мають обмежений контроль над безпекою, якою керують постачальники систем, які хочуть похвалитися створенням найшвидших у світі комп’ютерів.
Коли ви передаєте керування системами в руки постачальників, вони нададуть пріоритет гарантіям певних можливостей продуктивності, сказав Рікі Грегг, менеджер програми кібербезпеки Міністерства оборони США. Програма модернізації високопродуктивних обчислень, під час панелі.
«Однією з речей, про які я дізнався багато років тому, було те, що чим більше грошей ми витрачаємо на безпеку, тим менше грошей у нас на продуктивність. Ми намагаємося переконатися, що у нас є цей баланс», – сказав Грегг.
Під час сесії запитань і відповідей після панелі деякі системні адміністратори висловили розчарування контрактами з постачальниками, які надають пріоритет продуктивності в системі та позбавляють пріоритету безпеки. Системні адміністратори заявили, що впровадження власних технологій безпеки буде рівнозначно розриву контракту з постачальником. Це тримало їхню систему відкритою.
Деякі учасники дискусії сказали, що контракти можуть бути змінені з формулюванням, у якому постачальники передають безпеку персоналу на місці після певного періоду часу.
Різні підходи до безпеки
На виставковому майданчику SC були присутні державні установи, університети та постачальники, які говорили про суперкомп’ютери. Розмови про безпеку велися здебільшого за зачиненими дверима, але природа суперкомп’ютерних установок дозволила побачити різні підходи до систем безпеки з висоти пташиного польоту.
На стенді Техаського університету в Техаському розширеному обчислювальному центрі (TACC) в Остіні, де розміщено кілька суперкомп’ютерів у Список 500 найкращих найшвидших у світі суперкомп’ютерів у центрі уваги були продуктивність і програмне забезпечення. За словами представників, суперкомп’ютери TACC регулярно скануються, і центр має інструменти для запобігання вторгненням і двофакторну аутентифікацію для авторизації законних користувачів.
Міністерство оборони більше нагадує підхід «огороженого саду», коли користувачі, робочі навантаження та суперкомп’ютерні ресурси сегментовані в прикордонній зоні DMZ із потужним захистом і моніторингом усіх комунікацій.
Массачусетський технологічний інститут (MIT) використовує підхід нульової довіри до безпеки системи, позбавляючись кореневого доступу. Замість цього він використовує запис командного рядка під назвою Суду для надання привілеїв root інженерам HPC. Команда sudo забезпечує відстеження дій, які інженери HPC здійснюють у системі, сказав Альберт Ройтер, старший співробітник Суперкомп’ютерного центру MIT Lincoln Laboratory, під час панельної дискусії.
«Те, що ми справді прагнемо, — це аудит того, хто був за клавіатурою, хто був цією людиною», — сказав Рейтер.
Покращення безпеки на рівні постачальника
Загальний підхід до високопродуктивних обчислень не змінювався протягом десятиліть, і в значній мірі покладалися на гігантські локальні інсталяції з взаємопов’язаними стійками. Це різко контрастує з комерційним комп’ютерним ринком, який переміщується за межі підприємства до хмари. Учасники шоу висловили занепокоєння щодо безпеки даних після того, як вони покинуть локальні системи.
AWS намагається модернізувати HPC, перенісши його в хмару, яка може збільшити продуктивність за запитом, зберігаючи вищий рівень безпеки. У листопаді компанія представила HPC7g, набір хмарних екземплярів для високопродуктивних обчислень на Elastic Compute Cloud (EC2). EC2 використовує спеціальний контролер під назвою Nitro V5, який забезпечує конфіденційний обчислювальний рівень для захисту даних під час їх зберігання, обробки або передачі.
«Ми використовуємо різні апаратні доповнення до типових платформ, щоб керувати такими речами, як безпека, контроль доступу, мережева інкапсуляція та шифрування», — сказав під час панелі Лоуелл Воффорд, головний архітектор спеціалізованих рішень AWS для високопродуктивних обчислень. Він додав, що апаратні методики забезпечують як безпеку, так і продуктивність віртуальних машин.
Intel будує конфіденційні обчислювальні функції як Software Guard Extensions (SGX), заблокований анклав для виконання програм, у свої найшвидші серверні мікросхеми. За словами Маквея з Intel, млявий підхід операторів спонукає виробника чіпів йти вперед у забезпеченні високопродуктивних систем.
«Я пам’ятаю, коли безпека не була важливою в Windows. А потім вони зрозуміли: «Якщо ми зробимо це відкритим, і щоразу, коли хтось щось зробить, вони будуть хвилюватися, що інформацію про їхню кредитну картку вкрадуть», — сказав Маквей. «Отже, тут докладено багато зусиль. Я вважаю, що ті самі речі повинні застосовуватися [у HPC]».
