Ochrona danych podczas używania
Firma Microsoft umożliwia klientom ochronę swoich danych w całym cyklu życia: magazynowanych, przesyłanych i używanych. Poufne przetwarzanie na platformie Azure umożliwia klientom zabezpieczenie swoich danych podczas przetwarzania ich w chmurze.
Poufne przetwarzanie na platformie Azure
Poufne przetwarzanie na platformie Azure to zestaw funkcji zabezpieczeń danych, które oferują szyfrowanie danych w czasie ich używania. Ten typ zabezpieczeń oznacza, że dane mogą być przetwarzane w chmurze z zapewnieniem, że są zawsze pod kontrolą klienta. Poufne przetwarzanie gwarantuje, że gdy dane są w stanie przejrzystym, co jest potrzebne do wydajnego przetwarzania danych w pamięci, dane są chronione wewnątrz sprzętowego zaufanego środowiska wykonawczego (TEE), znanego również jako enklawa. TeE pomaga zagwarantować, że nie ma możliwości wyświetlania danych ani operacji spoza enklawy. Tylko projektant aplikacji ma dostęp do danych TEE. Odmowa dostępu do wszystkich innych osób, w tym administratorów platformy Azure. TeE pomaga również zagwarantować, że dostęp do danych ma tylko autoryzowany kod. Jeśli kod zostanie zmieniony lub naruszony, operacje zostaną odrzucone, a środowisko zostanie wyłączone.
Maszyny wirtualne z serii Azure DCsv2 mają najnowszą generację procesorów Intel Xeon z technologią Intel Software Guard Extensions (SGX), która zapewnia sprzętowe TEE. Intel SGX izoluje część pamięci fizycznej w celu utworzenia enklawy, w której wybierany jest kod i dane chronione przed wyświetlaniem lub modyfikowaniem. Ochrona oferowana przez intel SGX, jeśli jest używana odpowiednio przez deweloperów aplikacji, może zapobiec naruszeniu z powodu ataków z uprzywilejowanego oprogramowania i wielu ataków opartych na sprzęcie. Aplikacja korzystająca z technologii Intel SGX musi być refaktoryzowana do zaufanych i niezaufanych składników. Niezaufana część aplikacji konfiguruje enklawę, umożliwiając uruchamianie zaufanej części wewnątrz enklawy. Żaden inny kod, niezależnie od poziomu uprawnień, ma dostęp do kodu wykonywanego w enklawie lub danych skojarzonych z kodem enklawy. Najlepsze rozwiązania dotyczące projektowania wymagają, aby zaufana partycja zawierała tylko minimalną ilość zawartości wymaganą do ochrony wpisów tajnych klienta.
Infografika z tytułem "TEE chroni przed:". Poniżej tytułu znajdują się dwie ikony wskazujące dwie grupy, przed którymi chroni teE, jedna oznaczona etykietą "Złośliwi testerzy" i druga oznaczona etykietą "Zewnętrzne osoby atakujące". Pod ikonami po lewej stronie infografiki znajdują się stos pięciu warstw pól. Górny wiersz ma obok siebie dwa pola, z których każda ma etykietę "Aplikacja". Następne cztery pola pod tym wierszem są oznaczone etykietą w kolejności malejącej", "System operacyjny", "Hypervisor", "CPU" i "Host". Po prawej stronie stosu pudełek znajduje się kolejne pole z dwoma ułożone wewnątrz polami, jedno oznaczone etykietą "Kod" i jedno z etykietą "Dane". Ikona blokady jest nakładana po prawej stronie pól "Kod" i "Dane". Po prawej stronie pola "Aplikacja" w prawym górnym rogu znajduje się prostokątny kontur obejmujący prawy koniec tego pola "Aplikacja". Podobny prostokątny kontur obejmuje prawy koniec pola "PROCESOR". Te dwa prostokątne kontury są połączone ze sobą przez połączenie linii. Od środka tej linii łączącej jest segment liniowy łączący się z polem zawierającym pola "Kod" i "Dane".
Oprócz maszyn wirtualnych korzystających z technologii Intel SGX poufne przetwarzanie na platformie Azure obejmuje również maszyny wirtualne oparte na procesorach AMD EPYC 3rd Gen, które obsługują scenariusze lift and shift bez zmieniania kodu. Dzięki technologii AMD EPYC 3rd Gen zawartość całej maszyny wirtualnej jest szyfrowana w czasie wykonywania, dzięki czemu jest nieprzezroczysta dla administratorów chmury na potrzeby bezpiecznych i izolowanych obliczeń.
Na podstawie opinii klientów firma Microsoft zaczęła inwestować w scenariusze wyższego poziomu na potrzeby przetwarzania poufnego na platformie Azure. Klienci mogą przejrzeć zalecenia dotyczące scenariusza jako punkt wyjścia do tworzenia własnych aplikacji przy użyciu usług i struktur przetwarzania poufnego.
Teraz podsuńmy zdobytą wiedzę z krótkim testem wiedzy.