Konfidentiell databehandling i Azure

Idag krypterar kunderna sina vilande data och under överföring, men inte när de används i minnet. Konsortium för konfidentiell databehandling (CCC), grundat av Microsoft, definierar konfidentiell databehandling som skydd av data som används med hjälp av maskinvarubaserade betrodda körningsmiljöer (TEE). Dessa tees förhindrar obehörig åtkomst eller ändring av program och data när de används, vilket ökar säkerhetsnivån för organisationer som hanterar känsliga och reglerade data. Tees är en betrodd miljö som ger en säkerhetsnivå för dataintegritet, datasekretess och kodintegritet. Hotmodellen för konfidentiell databehandling syftar till att ta bort eller minska möjligheten för en molnleverantörsoperatör och andra aktörer i klientorganisationens domän att komma åt kod och data medan de körs.

Tekniker som Intel Software Guard Extensions (Intel SGX) eller AMD Secure Encrypted Virtualization (SEV-SNP) är de senaste cpu-förbättringarna som stöder implementeringar av konfidentiell databehandling. Dessa tekniker är utformade som virtualiseringstillägg och tillhandahåller funktionsuppsättningar som minneskryptering och integritet, processortillståndssekretess och integritet samt attestering för att skapa hotmodellen för konfidentiell databehandling.

Graphic of three states of data protection, with confidential computing's data in use highlighted.

När den används med datakryptering i vila och under överföring eliminerar konfidentiell databehandling den enskilt största krypteringsbarriären – kryptering under användning – genom att skydda känsliga eller strikt reglerade datauppsättningar och programarbetsbelastningar på en säker offentlig molnplattform. Konfidentiell databehandling sträcker sig bortom generiskt dataskydd. TEE:er används också för att skydda egen affärslogik, analysfunktioner, maskininlärningsalgoritmer eller hela program.

Microsofts erbjudanden för konfidentiell databehandling sträcker sig från Infrastruktur som en tjänst (IaaS) till Plattform som en tjänst (PaaS) och samt utvecklarverktyg för att stödja din resa till data och kodsekretess i molnet.

Minska attackytan

Den betrodda databehandlingsbasen (TCB) refererar till alla systemkomponenter för maskinvara, inbyggd programvara och programvara som ger en säker miljö. Komponenterna i TCB anses vara "kritiska". Om en komponent i TCB komprometteras kan hela systemets säkerhet äventyras. En lägre TCB innebär högre säkerhet. Det finns mindre risk för exponering för olika sårbarheter, skadlig kod, attacker och skadliga personer. Azures konfidentiella databehandling syftar till att sänka TCB för dina molnarbetsbelastningar genom att erbjuda TEE:er.

Minska din TCB i Azure

När du distribuerar konfidentiella virtuella Azure-datorer kan du minska din TCB. För konfidentiella vm-distributionslösningar som körs på AMD SEV-SNP kan du lyfta och flytta befintliga arbetsbelastningar och skydda data från molnoperatören med sekretess på VM-nivå. Konfidentiella virtuella datorer med Intel SGX-program enklaver ger kodradskontroll i program för att minimera din TCB och skydda data från både molnoperatörer och dina operatörer. Programenverver med Intel SGX kan kräva vissa ändringar i konfigurationsprinciper eller programkod. Du kan också använda en ISV-partner (Independent Software Vendor) eller öppen källkod programvara (OSS) för att köra dina befintliga appar i en programenklav.

Förtroendestege

Azure erbjuder olika virtuella datorer för konfidentiell databehandling i IaaS-arbetsbelastningar och kunderna kan välja vad som är bäst för dem beroende på deras önskade säkerhetsstatus. Bilden "förtroendestege" visar vad kunderna kan förvänta sig ur ett säkerhetsställningsperspektiv på dessa IaaS-erbjudanden.

Screenshot of the Azure trust ladder, showing enclaves with Intel SGX at the top.

Azure-erbjudanden

Våra tjänster är för närvarande allmänt tillgängliga för allmänheten:

  • Konfidentiella virtuella datorer med Intel SGX-program enklaver. Azure erbjuder serien DCsv2, DCsv3 och DCdsv3 som bygger på Intel SGX-teknik för maskinvarubaserad skapande av enklaver. Du kan skapa säkra enklaverbaserade program som ska köras i en serie virtuella datorer för att skydda dina programdata och din kod som används.
  • Enklavermedvetna containrar som körs på Azure Kubernetes Service (AKS). Konfidentiella beräkningsnoder på AKS använder Intel SGX för att skapa isolerade enklavermiljöer i noderna mellan varje containerprogram.
  • Always Encrypted med säkra enklaver i Azure SQL. Sekretessen för känsliga data skyddas mot skadlig kod och obehöriga användare med hög behörighet genom att köra SQL frågor direkt i en TEE när SQL-instruktionen innehåller alla åtgärder på krypterade data som kräver användning av den säkra enklaven där databasmotorn körs.
  • Microsoft Azure attestering, en fjärrattesteringstjänst för validering av pålitligheten i flera betrodda körningsmiljöer (TEE) och verifiera integriteten för binärfilerna som körs i TEE:erna.
  • Azure Key Vault Managed HSM, en fullständigt hanterad, högtillgänglig molntjänst med en enda klient, standardkompatibel molntjänst som gör att du kan skydda kryptografiska nycklar för dina molnprogram med FIPS 140-2 Level 3-verifierade maskinvarusäkerhetsmoduler (HSM).
  • Azure IoT Edge stöder konfidentiella program som körs i säkra enklaver på en IoT-enhet (Internet of Things). IoT-enheter utsätts ofta för manipulering och förfalskning eftersom de är fysiskt tillgängliga för dåliga aktörer. Konfidentiella IoT Edge enheter lägger till förtroende och integritet vid gränsen genom att skydda åtkomsten till data som samlas in av och lagras på själva enheten innan de strömmas till molnet.

Andra tjänster är för närvarande i förhandsversion, inklusive:

  • Konfidentiella virtuella datorer baserade på AMD SEV-SNP-teknik är för närvarande i förhandsversion och tillgängliga för utvalda kunder.
  • Trusted Launch är tillgängligt på alla virtuella datorer i generation 2 med förstärkta säkerhetsfunktioner – säker start, virtuell betrodd plattformsmodul och övervakning av startintegritet – som skyddar mot startpaket, rootkits och skadlig kod på kernelnivå.
  • Azure Confidential Ledger. ACL är ett manipuleringssäkert register för lagring av känsliga data för arkivering och granskning eller för datatransparens i scenarier med flera parter. Den erbjuder garantier för att skriva en gång och läsa många, vilket gör data icke-raderbara och icke-ändringsbara. Tjänsten bygger på Microsoft Researchs konfidentiella konsortiumramverk.
  • Konfidentiell slutsatsdragning ONNX Runtime, en Machine Learning (ML) slutsatsdragningsserver som begränsar ML värdpart från att komma åt både slutsatsdragningsbegäran och motsvarande svar.

Nästa steg