Google представи поверителни виртуални машини за Google Cloud Confidential Computing

В Google вярваме, че бъдещето на изчислителните облаци все повече ще се измества към частни, криптирани услуги, които дават на потребителите пълна увереност в поверителността на техните данни.

Google Cloud вече криптира клиентските данни при пренос и в покой, но те все още трябва да бъдат декриптирани, за да бъдат обработени. Поверителни изчисления е революционна технология, използвана за криптиране на данни по време на обработка. Поверителните компютърни среди ви позволяват да съхранявате криптирани данни в RAM и други места извън процесора (CPU).

Confidential VMs в момента е в бета тестване и е първият продукт в линията Google Cloud Confidential Computing. Ние вече използваме различни техники за изолация и пясъчник в нашата облачна инфраструктура, за да гарантираме сигурността на архитектура с множество наематели. Поверителните виртуални машини издигат сигурността на следващото ниво, като предлагат криптиране в паметта за по-нататъшно изолиране на техните работни натоварвания в облака, помагайки на нашите клиенти да защитят чувствителните данни. Смятаме, че това ще бъде от особен интерес за тези, които работят в регулирани индустрии (може би относно GDPR и други свързани неща, прибл. преводач).

Отваряне на нови възможности

Още с Asylo, платформата с отворен код за поверителни изчисления, ние се фокусирахме върху това да направим поверителни изчислителни среди лесни за внедряване и използване, предлагайки висока производителност и приложение за всяко работно натоварване, което решите да изпълнявате в облака. Вярваме, че не е нужно да правите компромис с използваемостта, гъвкавостта, производителността и сигурността.

С поверителни виртуални машини, навлизащи в бета версия, ние сме първият голям доставчик на облак, който предлага това ниво на сигурност и изолация – и предоставя на клиентите проста, лесна за използване опция както за нови приложения, така и за „пренесени“ (вероятно за приложения, които може да се изпълнява в облака без значителни промени, прибл. преводач). Ние осигуряваме:

• Несравнима поверителност: Клиентите могат да защитят поверителността на своите чувствителни данни в облака, дори докато се обработват. Поверителните виртуални машини използват функцията за защитена криптирана виртуализация (SEV) на процесорите AMD EPYC от второ поколение. Вашите данни остават криптирани по време на употреба, индексиране, заявки и обучение. Ключовете за криптиране се създават в хардуера отделно за всяка виртуална машина и никога не напускат хардуера.

• Подобрена иновация: Поверителното изчисление може да отвори сценарии за обработка, които преди това не бяха възможни. Компаниите вече могат да споделят класифицирани набори от данни и да си сътрудничат при изследвания в облака, като същевременно запазват секретност.

• Поверителност за пренесени работни натоварвания: Нашата цел е да опростим поверителното изчисление. Преходът към поверителни виртуални машини е безпроблемен – всички работни натоварвания в GCP, работещи във виртуални машини, могат да мигрират към поверителни виртуални машини. Просто е - просто поставете отметка в едно поле.

• Усъвършенствана защита от заплахи: Поверителното изчисление се основава на защитата на екранирани виртуални машини срещу руткитове и буткитове, като помага да се гарантира целостта на операционната система, избрана да работи в поверителната виртуална машина.

Основи на поверителни виртуални машини

Поверителните виртуални машини работят на N2D виртуални машини, които работят на процесори AMD EPYC от второ поколение. Функцията SEV на AMD осигурява висока производителност при най-взискателните изчислителни натоварвания, като същевременно поддържа RAM на виртуалната машина криптирана с ключ за всяка виртуална машина, генериран и управляван от процесора EPYC. Ключовете се създават от копроцесора AMD Secure Processor при създаването на виртуалната машина и се намират изключително в нея, което ги прави недостъпни както за Google, така и за други виртуални машини, работещи на същия възел.

В допълнение към вграденото хардуерно RAM криптиране, ние изграждаме конфиденциални виртуални машини върху екранирани виртуални машини, за да осигурим устойчивост на подправяне на изображението на операционната система, като проверяваме целостта на фърмуера, бинарните файлове на ядрото и драйверите. Изображенията, предлагани от Google, включват Ubuntu 18.04, Ubuntu 20.04, Container Optimized OS (COS v81) и RHEL 8.2. Работим върху Centos, Debian и други, за да предложим други изображения на операционна система.

Ние също работим в тясно сътрудничество с инженерния екип на AMD Cloud Solution, за да гарантираме, че криптирането на паметта на виртуалната машина няма да повлияе на производителността. Добавихме поддръжка за нови OSS драйвери (nvme и gvnic), за да обработваме заявки за съхранение и мрежов трафик при по-висока пропускателна способност от по-старите протоколи. Това направи възможно да се провери дали показателите за ефективност на Confidential VM са близки до тези на обикновените виртуални машини.

Сигурната криптирана виртуализация, вградена във второто поколение процесори AMD EPYC, предоставя иновативна хардуерна функция за сигурност, която помага за защитата на данните във виртуализирана среда. За да поддържаме новите поверителни виртуални машини на GCE N2D, ние работихме с Google, за да помогнем на клиентите да защитят своите данни и да гарантират ефективността на техните работни натоварвания. Много сме доволни да видим, че конфиденциалните виртуални машини осигуряват същото ниво на висока производителност при работни натоварвания като типичните N2D виртуални машини.

Рагу Намбиар, вицепрезидент, Екосистема на центъра за данни, AMD

Технология, променяща играта

Поверителното изчисление може да помогне за промяна на начина, по който предприятията обработват данни в облака, като същевременно поддържат поверителност и сигурност. Също така, наред с други предимства, компаниите ще могат да работят заедно, без да компрометират поверителността на наборите от данни. Такова сътрудничество от своя страна може да доведе до разработването на още по-трансформиращи технологии и идеи, като например способността за бързо създаване на ваксини и лечение на болести в резултат на такова сигурно сътрудничество.

Нямаме търпение да видим възможностите, които тази технология отваря за вашата компания. Виж тукза да разберете повече.

PS Не за първи път и да се надяваме не за последен, Google пуска технология, която променя света. Както се случи с Kubernetes съвсем наскоро. Ние поддържаме и разпространяваме технологиите на Goggle по най-добрия начин и обучаваме ИТ специалисти в Русия. Нашата фирма е една от 3-те Kubernetes сертифициран доставчик на услуги и единственият Партньор за обучение на Kubernetes в Русия. Ето защо провеждаме интензивни тренировки по Kubernetes всяка пролет и есен. Следващите интензивни курсове ще се проведат на 28-30 септември База Kubernetes и 14–16 октомври Kubernetes Mega.

Източник: www.habr.com