Проверка подлинности узлов Конфиденциального реестра Azure

Проверка подлинности узлов Конфиденциального реестра Azure может осуществляться с помощью примеров кода или пользователями.

Примеры кода

При инициализации примеры кода получают сертификат узла, запрашивая службу идентификации. После получения сертификата узла пример кода выполняет запрос к сети Конфиденциального реестра, чтобы получить цитату, которая затем проверяется с использованием двоичных файлов проверки узла. Если проверка прошла успешно, пример кода переходит к операциям Конфиденциального реестра.

Пользователи

Пользователи могут проверять подлинность узлов Конфиденциального реестра для подтверждения того, что они действительно взаимодействуют с его анклавом. Установить доверие к узлам Конфиденциального реестра можно несколькими способами, причем их можно сочетать, чтобы повысить общий уровень доверия. Шаги 1–2 помогают создать уверенность в том, что анклав Конфиденциального реестра участвует в первоначальном подтверждении TLS и проверке подлинности в рамках функциональных рабочих процессов. Помимо этого, между клиентом пользователя и Конфиденциальным реестром поддерживается постоянное соединение.

  • Подтверждение узла Конфиденциального реестра: достигается путем запроса к службе идентификации, размещаемой корпорацией Майкрософт. Она предоставляет сетевой сертификат и, таким образом, позволяет проверить наличие в узле Конфиденциального реестра сертификата, который был подтвержден или подписан сетевым сертификатом для данного экземпляра. Как и в случае с HTTPS на основе PKI, сертификат сервера подписывается известным или промежуточным центром сертификации (ЦС). В случае с Конфиденциальным реестром сертификат ЦС возвращается службой идентификации в виде сетевого сертификата. Это важная мера по формированию доверия для пользователей Конфиденциального реестра. Если этот сертификат узла не подписан возвращенным сетевым сертификатом, клиентское подключение должно завершаться сбоем (как в примере кода).
  • Проверка анклава Конфиденциального реестра: Конфиденциальный реестр работает в анклаве Intel® SGX, представленном цитатой, то есть BLOB-объектом данных, созданным внутри этого анклава. Он может использоваться любой другой сущностью для проверки того, что цитата была создана в приложении, работающем под защитой Intel® SGX. Структура цитаты обеспечивает простую проверку. Она содержит утверждения, помогающие определить различные свойства анклава и работающее в нем приложение. Это важный механизм формирования доверия для пользователей Конфиденциального реестра. Для получения цитаты анклава можно вызвать интерфейс API функционального рабочего процесса. Если цитата недопустима, клиентское подключение должно завершиться ошибкой. Полученную цитату затем можно проверить с помощью средства open_enclaves Host_Verify. Дополнительные сведения см. здесь.

Дальнейшие шаги