Noi di Google crediamo che in futuro il cloud computing si orienterà sempre più verso servizi privati e crittografati, garantendo agli utenti la completa sicurezza nel controllo della segretezza dei dati.
Google Cloud già cripta i dati dei clienti trasmessi e memorizzati, ma per l'elaborazione devono comunque essere decrittografati. Computazione riservata — è una tecnologia rivoluzionaria utilizzata per crittografare i dati durante l'elaborazione. Gli ambienti basati sulla computazione riservata consentono di memorizzare dati crittografati nella memoria RAM e in altri luoghi al di fuori del processore (CPU).
Le VM riservate sono attualmente in fase di beta testing e rappresentano il primo prodotto della linea Google Cloud Confidential Computing. Stiamo già implementando vari metodi di isolamento e sandbox nella nostra infrastruttura cloud per garantire la sicurezza dell'architettura multiutente. Le VM riservate portano la sicurezza a un nuovo livello, offrendo la crittografia della memoria RAM per un'ulteriore isolazione dei carichi di lavoro nel cloud, aiutando i nostri clienti a proteggere i dati sensibili. Riteniamo che ciò interesserà particolarmente coloro che operano in settori regolamentati (probabilmente vi rientrano GDPR e altre tematiche correlate. nota del traduttore).
Apriamo nuove opportunità
Già con Asylo, la piattaforma open source per la computazione riservata, ci siamo concentrati sul garantire semplicità di distribuzione e utilizzo degli ambienti per la computazione riservata, offrendo elevate prestazioni e applicazioni per qualsiasi carico di lavoro scelto da voi per l'esecuzione nel cloud. Crediamo che non dobbiate scendere a compromessi su facilità d'uso, flessibilità, prestazioni e sicurezza.
Con il passaggio delle VM riservate alla fase beta, siamo diventati il primo grande fornitore di servizi cloud a offrire un tale livello di sicurezza e isolamento — e forniamo ai clienti un'opzione semplice e facile da usare, sia per nuove applicazioni che per quelle "portate" (probabilmente si tratta di applicazioni che possono essere eseguite nel cloud senza modifiche significative. nota del traduttore). Garantiamo:
Massima riservatezza: i clienti possono proteggere la riservatezza dei propri dati sensibili nel cloud anche durante l'elaborazione. Le VM riservate utilizzano la funzione Secure Encrypted Virtualization (SEV) di seconda generazione dei processori AMD EPYC. I tuoi dati rimangono crittografati durante l'utilizzo, l'indicizzazione, la richiesta e l'apprendimento. Le chiavi di crittografia vengono create in hardware separatamente per ogni macchina virtuale e non lasciano mai l'hardware.
Innovazioni migliorate: il computing riservato può aprire scenari di elaborazione che prima erano impossibili. Le aziende possono ora scambiarsi set di dati riservati e collaborare su ricerche nel cloud, mantenendo comunque la riservatezza.
Riservatezza per i carichi di lavoro "portati": il nostro obiettivo è semplificare il computing riservato. La transizione verso VM riservate è fluida: tutti i carichi di lavoro in GCP, eseguiti su macchine virtuali, possono passare a VM riservate. È semplice: basta impostare un "flag".
Protezione da minacce avanzate: il computing riservato si basa sulla protezione delle VM blindate contro rootkit e bootkit, contribuendo a garantire l'integrità del sistema operativo scelto per l'esecuzione nella VM riservata.
Fondamenti delle VM riservate
Le VM riservate funzionano su macchine virtuali N2D, che sono basate su processori AMD EPYC di seconda generazione. Grazie alla funzionalità AMD SEV, offrono elevate prestazioni per la maggior parte dei carichi di lavoro computazionali intensivi, mantenendo la memoria della macchina virtuale crittografata con una chiave separata per ogni macchina virtuale, creata e gestita dal processore EPYC. Le chiavi sono create dal coprocessore AMD Secure Processor al momento della creazione della macchina virtuale e sono esclusivamente all'interno di esso, rendendole inaccessibili sia a Google che ad altre macchine virtuali che operano sullo stesso nodo.
In aggiunta alla crittografia hardware incorporata della memoria, stiamo creando VM riservate sopra le VM blindate, per garantire la resistenza alle manomissioni dell'immagine del sistema operativo, la verifica dell'integrità del firmware, dei file binari del kernel e dei driver. Le immagini offerte da Google includono Ubuntu 18.04, Ubuntu 20.04, Container Optimized OS (COS v81) e RHEL 8.2. Stiamo lavorando su Centos, Debian e altri, per offrire ulteriori immagini di sistemi operativi.
Collaboriamo anche strettamente con il team di ingegneri di AMD Cloud Solution per garantire che la crittografia della memoria delle macchine virtuali non influisca sulle prestazioni. Abbiamo aggiunto il supporto per i nuovi driver OSS (nvme e gvnic) per gestire le richieste al sistema di storage e al traffico di rete con una larghezza di banda superiore rispetto ai protocolli precedenti. Questo ha permesso di confermare che le prestazioni delle Confidential VMs sono comparabili a quelle delle normali macchine virtuali.
Grazie a Secure Encrypted Virtualization, integrata nella seconda generazione di processori AMD EPYC, viene fornita una funzione di sicurezza hardware innovativa che protegge i dati in ambienti virtualizzati. Per supportare le nuove GCE Confidential VMs N2D, abbiamo collaborato con Google per aiutare i clienti a proteggere i loro dati e garantire le prestazioni delle loro workload. Siamo molto felici di vedere che le Confidential VMs mostrano un livello simile di alte prestazioni per carichi di lavoro diversi, come le macchine virtuali N2D standard.
Raghu Nambiar, Vicepresidente, Data Center Ecosystem, AMD
Una tecnologia che cambia le regole del gioco
Il confidential computing può aiutare a cambiare il modo in cui le aziende gestiscono i dati nel cloud, mantenendo segretezza e sicurezza. Inoltre, tra i vari vantaggi, le aziende potranno collaborare senza compromettere la riservatezza dei set di dati. Tale collaborazione, a sua volta, potrebbe portare allo sviluppo di tecnologie e idee ancora più trasformative; immaginate, ad esempio, la possibilità di creare rapidamente vaccini e trattamenti per malattie grazie a tale collaborazione sicura.
Non vediamo l'ora di scoprire le opportunità che questa tecnologia offre alla tua azienda. Guarda , per saperne di più.
P.S. Non è la prima e, spero, non sarà nemmeno l'ultima volta che Google lancia una tecnologia che cambia il mondo. Come è avvenuto di recente con Kubernetes. Facciamo del nostro meglio per supportare e diffondere le tecnologie Google — formiamo specialisti IT in Russia. La nostra azienda è uno dei 3 Kubernetes Certified Service Provider e l'unico Kubernetes Training Partner in Russia. Pertanto, ogni primavera e autunno organizziamo corsi intensivi di formazione su Kubernetes. I prossimi corsi si svolgeranno dal 28 al 30 settembre e dal 14 al 16 ottobre .
Fonte: habr.com
