IBM, Google, Microsoft und Intel haben ein Bündnis zur Entwicklung offener Datensicherheitstechnologien gegründet.

Die Linux Foundation hat bekannt gegeben über die Gründung des Konsortiums Confidential Computing Consortium, das sich auf die Entwicklung offener Technologien und Standards für die sichere Verarbeitung von Daten im Speicher und vertrauliche Berechnungen konzentriert. Zu dem gemeinsamen Projekt haben sich bereits Unternehmen wie Alibaba, Arm, Baidu, Google, IBM, Intel, Tencent und Microsoft angeschlossen, die beabsichtigen, gemeinsam auf einer neutralen Plattform Technologien zur Isolierung von Daten im Speicher während der Berechnungen zu entwickeln.

Das endgültige Ziel ist es, Mittel zur Unterstützung eines vollständigen Datenverarbeitungszyklus in verschlüsselter Form bereitzustellen, ohne dass Informationen zu irgendeinem Zeitpunkt in offener Form vorliegen. Zu den Interessengebieten des Konsortiums gehören insbesondere Technologien, die den Einsatz von verschlüsselten Daten während der Berechnung betreffen, wie die Anwendung isolierter Enklaven und Protokolle für multilaterale Berechnungen, die Manipulation verschlüsselter Daten im Speicher sowie die vollständige Isolation der Daten im Speicher (zum Beispiel zur Verhinderung des Zugriffs des Administrators des Host-Systems auf die Daten im Speicher der Gast-Systeme).

Für die unabhängige Entwicklung wurden im Rahmen des Confidential Computing Consortium folgende Projekte übergeben:

• Das Unternehmen Intel hat zur Fortsetzung der gemeinsamen Entwicklung übergeben zuvor veröffentlichten
  Komponenten zur Nutzung der Technologie SGX (Software Guard Extensions) in Linux, einschließlich SDK mit einem Satz von Tools und Bibliotheken. SGX bietet einen Satz spezieller Prozessoranweisungen zur Abtrennung von benutzerebenen Anwendungen in geschützte Speicherbereiche, deren Inhalt verschlüsselt ist und selbst vom Kernel und von Code, der in den Modi ring0, SMM und VMM ausgeführt wird, nicht gelesen oder verändert werden kann;
• Microsoft hat das Framework Open Enclav, das die Erstellung von Anwendungen für verschiedene TEE-Architekturen (Trusted Execution Environment) mit einer einheitlichen API und einer abstrakten Darstellung des Enklaven ermöglicht. Eine mit Open Enclav erstellte Anwendung kann auf Systemen mit unterschiedlichen Enklave-Implementierungen ausgeführt werden. Derzeit wird nur Intel SGX in TEE unterstützt. Der Code zur Unterstützung von ARM TrustZone ist in Entwicklung. Über die Unterstützung von Keystone, AMD PSP (Platform Security Processor) und AMD SEV (Secure Encryption Virtualization) liegen keine Informationen vor.
• Das Unternehmen Red Hat hat das Projekt Enarx, der eine Abstraktionsschicht für die Erstellung universeller Anwendungen bereitstellt, die in Enklaven ausgeführt werden, die verschiedene TEE-Umgebungen unterstützen und unabhängig von Hardwarearchitekturen sind, sowie die Verwendung verschiedener Programmiersprachen ermöglichen (basierend auf einem runtime mit WebAssembly). Aktuell unterstützt das Projekt die Technologien AMD SEV und Intel SGX.

Unter den übersehenen ähnlichen Projekten ist das Framework Asylo, das hauptsächlich von Ingenieuren bei Google entwickelt wird, aber kein offiziell unterstütztes Produkt von Google ist. Das Framework erleichtert die Anpassung von Anwendungen, um Teile der Funktionalität, die einen höheren Schutz erfordert, auf die Seite des sicheren Enklaven zu verlagern. Von den Hardware-Isolierungsmechanismen unterstützt Asylo nur Intel SGX, bietet jedoch auch eine softwarebasierte Methode zur Erstellung von Enklaven durch Virtualisierung.

Wir erinnern daran, dass eine Enklave (TEE, Trusted Execution Environment) bezeichnet einen speziellen, isolierten Bereich, der vom Prozessor bereitgestellt wird. Hier können Teile der Funktionalität von Anwendungen und Betriebssystemen in eine separate Umgebung ausgelagert werden, deren Speicherinhalte und ausgeführter Code aus dem Hauptsystem nicht zugänglich sind, unabhängig von den bestehenden Berechtigungen. In den Enklaven können Implementierungen verschiedener Verschlüsselungsalgorithmen, Funktionen zur Verarbeitung geheimer Schlüssel und Passwörter, Authentifizierungsprozeduren sowie Code zur Handhabung vertraulicher Daten ausgeführt werden.

Im Falle einer Kompromittierung des Hauptsystems kann ein Angreifer die im Enklave gespeicherten Informationen nicht ermitteln und ist lediglich auf die externe Programmierschnittstelle beschränkt. Der Einsatz hardwareunterstützter Enklaven kann als Alternative zu Methoden basierend auf homomorpher Verschlüsselung oder Protokollen für vertrauliche Berechnungen, bietet jedoch im Gegensatz zu diesen Technologien im Wesentlichen keinen Einfluss auf die Leistung von Berechnungen mit vertraulichen Daten und vereinfacht die Entwicklung erheblich.

Quelle: opennet.ru