Конфиденциальные вычисления (Confidential Computing) предназначены для защиты используемых данных с помощью аппаратной доверенной среды выполнения (Trusted Execution Environments, TEE). Это быстрорастущий сектор безопасности данных, к которому в последнее время приковано повышенное внимание. Директор по маркетингу и по продукту компании StorMagic, поставщика виртуальных SAN, Брюс Корнфилд рассказывает на портале eWeek об особенностях данной технологии.
В вычислительной среде данные существуют в трех состояниях: в пути, в состоянии покоя и когда их используют. «В пути» означает, что данные перемещаются по сети, «в состоянии покоя» — что они находятся в хранилищах, а «в состоянии применения» они находятся тогда, когда их обрабатывают. По мере того, как предприятиям удается успешно противостоять кибератакам на сети и устройства хранения, где находятся данные в состоянии покоя или в пути, злоумышленники переключили свое внимание на используемые данные. Общие векторы атак включают сканирование памяти (memory scraping), атаки по сторонним каналам CPU (side-channel attack) и внедрение вредоносного ПО.
Конфиденциальные вычисления — это защита данных, находящихся в обработке, с помощью доверенных аппаратных сред. TEE — это среда, которая гарантирует определенный уровень сохранности, конфиденциальности данных и целостности кода. Стратегии безопасности должны предусматривать все уровни возможного вторжения. Если один уровень скомпрометирован (например, обрабатываемые данные), то это может повлиять на другие уровни (данные в состоянии покоя, данные в движении). Конфиденциальные вычисления закрывают последнюю «дыру» для проникновения злоумышленников и могут значительно укрепить общую стратегию безопасности организации.
Confidential Computing на подъеме
Организации десятилетиями стремились защитить данные с помощью множества стратегий безопасности, и конфиденциальные вычисления — это первое решение такого рода, которое позволит усилить стратегию защиты данных организации, укрепив одно из ее направлений. Достижения в области проектирования процессоров и микросхем памяти открывают путь для встраивания большего числа функций в стандартные чипсеты и, таким образом, способствует количественному и качественному росту решений конфиденциальных вычислений.
Типично выход на рынок каждой новой технологии поначалу вызывает сложности, но затем разъяснительная работа, которую проводит техническое сообщество и отраслевые эксперты, способствует ее популяризации. На данном этапе конфиденциальные вычисления все еще находятся на ранней стадии реализации, поэтому для них отсутствует общепринятая схема внедрения. Многие поставщики позиционируют их по-разному, что может ввести в заблуждение ИБ-специалистов.
Что касается скорости адаптации технологии, то в качестве хорошего примера можно привести аналогию из области управления ключами. Если бы не существовало протокола совместного управления ключами (Key management interoperability protocol, KMIP), то чтобы развернуть любое решение для шифрования предприятию потребовался бы отдельный протокол для связи с той или иной формой диспетчера ключей. Поначалу KMIP казалась излишне сложной технологией, но в конечном итоге проблемы были устранены. В итоге имеющиеся на рынке решения для управления ключами, которые задействуют KMIP, недорогие, не вызывают сложностей при развертывании и дальнейшей эксплуатации. Как ожидается, внедрение конфиденциальных вычислений пойдет по тому же пути, который прошла KMIP и многие другие технологии до нее.
По мере развития в ближайшие несколько лет рынок конфиденциальных вычислений ожидают значительные изменения. Первоначально для каждого варианта его реализации, вероятно, потребуется собственное оборудование на уровне микросхем, а также ПО для управления им. Есть все основания полагать, что растущий потребительский спрос вынудит производителей чипов стандартизировать их, чтобы у конечных пользователей был единый метод защиты обрабатываемых данных. Это также подтолкнет софтверную индустрию к скорейшему внедрению инноваций для улучшения управляемости и совместимости конфиденциальных вычислений с другими системами для управления безопасностью.
Что нужно знать при внедрении Confidential Computing
Поскольку конфиденциальным вычислениям еще только предстоит покорить рынок, ИБ-специалистам следует изучить способы развертывания TEE для критически важных корпоративных приложений, понимая, что они будут различаться в зависимости от оборудования, которое требуется для реализации того или иного решения. Например, если TEE запускается в дата-центре, средства управления средой должны предоставляться поставщиком оборудования, который является партнером предприятия. Для работы такого типа TEE применяются методы с аппаратной поддержкой — защищенные анклавы, которые дают повышенные гарантии безопасности для выполнения кода и защиты данных. Примерами аппаратных анклавов являются Trusted Platform Modules (TPM), Intel Secure Guard Extensions (SGX), ARM Trustzone и AMD Secure Encrypted Virtualization (SEV). Однако компании, которые пользуются облачными сервисами, как правило задействуют TEE, предоставляемые поставщиком в виде услуги. К ним относятся Azure Confidential Computing на базе Intel SGX и Google Cloud Confidential Computing.
Несмотря на то, что аппаратные модули безопасности (hardware security module, HSM) могут использовать преимущества конфиденциальных вычислений, они по-прежнему являются обособленной частью сложного и дорогостоящего оборудования, которым необходимо управлять. В то же время программные менеджеры ключей могут работать на любом оборудовании, которое предлагается в рамках имеющейся TEE, что позволяет воспользоваться преимуществами конфиденциальных вычислений, которые по качеству защиты сравнимы с аппаратными решениями, но обходятся дешевле.
Безопасность всегда являлась основой ИТ-стратегии, и Confidential Computing станет той технологией, за развитием которой в ближайшее время стоит понаблюдать.
