揭秘机密计算：弥补最后一个入侵 “漏洞”

作者：包永刚 2020-12-13 11:09:58

云计算 在计算中，数据以三种状态存在：传输、静止和使用中。跨网络传输的数据状态是 “传输中”，保存在某种类型存储中的数据状态是 “静止的”，正在处理的数据状态是 “使用中”。

在计算中，数据以三种状态存在：传输、静止和使用中。跨网络传输的数据状态是 “传输中”，保存在某种类型存储中的数据状态是 “静止的”，正在处理的数据状态是 “使用中”。

针对网络和存储设备的网络威胁越来越多，随着适用于传输和静止数据保护手段的加强，攻击者已将重点转移到了使用中数据上。常见的攻击包括内存抓取、CPU 旁道攻击和植入恶意软件。

机密计算(Confidential Computing，也译作保密计算)是通过基于硬件的可信执行环境(TEE)对使用中的数据进行保护。TEE 被定义为提供一定级别的数据完整性、数据机密性和代码完整性保证的环境。

安全策略必须考虑可能被入侵的所有层面。如果一层受到损害(例如正在使用的数据)，那么其他层(静止数据，使用中的数据)可能会受到影响。机密计算正在弥补入侵者可能利用的最后一个 “漏洞”，并将大大加强系统的整体安全策略。

机密计算的兴起

数十年来，尽管业界一直在努力通过多种安全策略来保护数据，但是机密计算是同类解决方案中的第一个，没有其他替代方案。这是一种创新的方法，可以弥补数据保护策略中的潜在弱点。处理器和内存芯片设计的重大进步使标准处理芯片组可以内置更多功能，这推动了机密计算解决方案的兴起和应用。

任何新技术刚进入市场时，通常都很复杂，但很快就被业界和特定领域的专家使用。机密计算仍处于早期应用的阶段，缺乏标准的实现方法。不同的公司以不一样的方式来实现它，这可能会使普通的安全IT专业人员感到困惑，但同时又令人兴奋。

密钥管理空间中可以找到一个很好的安全类比，它概述了类似的采用速度。在引入密钥管理互操作性协议(KMIP)之前，部署的每个加密解决方案都需要集成到某种形式的转悠加密密钥管理器中。尽管最初这很复杂且令人困惑，但这最终能够解决。

采用 KMIP 的当前密钥管理解决方案现在易于实现和使用，并且价格更便宜。像密钥管理和之前的许多其他技术一样，机密计算技术的应用有望遵循类似的道路。

随着机密计算市场的发展，我们将在未来三到五年内看到重大变化。最初，每个应用都可能会有不同的实现，这需要在芯片级别拥有自己的硬件以及对其进行管理的软件。

在这段时间内，可以预期客户需求将迫使芯片制造商实现机密计算的标准化，以便最终用户拥有一种统一的保护使用中数据的方法。这也将迫使软件行业快速创新，并改善机密计算的可管理性和兼容性，使其更容易适应现有的安全管理框架并变得更容易获得。

如何进入机密计算空间

由于机密计算刚刚成为当下关注的焦点，因此IT安全专业人员应该研究为最关键的公司或政府应用程序部署 TEE 的方法，并明白他们可能必须处理多种不同的实现方式，具体取决于用于特定应用程序的硬件供应商。

例如，如果 TEE 在数据中心中运行，则管理将需要由硬件供应商提供。这些 TEE 使用硬件支持的技术(例如安全保护区)为该环境中的代码执行和数据保护提供增强的安全保证。

基于硬件的飞地的示例包括可信平台模块(TPM)，英特尔的 Secure Guard 扩展(SGX)，ARM 的 Trustzone 和 AMD 的安全加密虚拟化(SEV)。但是，使用云的公司通常需要转向由其云提供商托管服务的不同 TEE。其中包括使用英特尔 SGX 的 Azure 机密计算和 Google Cloud 机密计算。

虽然 HSM 可以利用机密计算的优势，但它们仍然需要管理单独的复杂且昂贵的硬件。基于软件的密钥管理器可以在提供 TEE 的任何硬件上运行，仅花费一小部分成本即可提供机密计算的价值，但都来自硬件解决方案的保护。

安全性是任何IT战略的重中之重，而机密计算将是未来数月和数年中值得关注的新技术。