Organizzazione Linux Foundation sull'istituzione del consorzio , focalizzato sullo sviluppo di tecnologie e standard aperti relativi all'elaborazione sicura dei dati in memoria e ai calcoli riservati. All'iniziativa hanno già aderito aziende come Alibaba, Arm, Baidu, Google, IBM, Intel, Tencent e Microsoft, che intendono collaborare in uno spazio neutro per sviluppare tecnologie per l'isolamento dei dati in memoria durante l'elaborazione.
L'obiettivo finale è fornire strumenti per mantenere l'intero ciclo di elaborazione dei dati in forma crittografata, senza che le informazioni siano visibili nella loro forma aperta in fasi distinte. Gli interessi del consorzio riguardano principalmente le tecnologie legate all'uso dei dati crittografati nell'elaborazione, in particolare, l'utilizzo di enclave isolate, protocolli per , manipolazione dei dati crittografati in memoria e completa isolazione dei dati in memoria (ad esempio, per prevenire l'accesso dell'amministratore del sistema host ai dati in memoria dei sistemi guest).
Per lo sviluppo indipendente nell'ambito del Confidential Computing Consortium sono stati trasferiti i seguenti progetti:
- Intel ha trasferito per il proseguimento dello sviluppo congiunto
componenti per l'utilizzo della tecnologia (Software Guard Extensions) in Linux, inclusi SDK con un insieme di strumenti e librerie. SGX offre un insieme di istruzioni speciali del processore per l'allocazione di aree di memoria protette a livello utente, il cui contenuto è crittografato e non può essere letto o modificato nemmeno dal kernel e dal codice eseguito in modalità ring0, SMM e VMM; - Microsoft ha trasferito il framework , che consente di creare applicazioni per diverse architetture TEE (Trusted Execution Environment) utilizzando una singola API e una rappresentazione astratta dell'enclave. L'applicazione preparata con Open Enclav può essere eseguita su sistemi con diverse implementazioni di enclave. Attualmente, è supportato solo Intel SGX. È in fase di sviluppo il codice per supportare ARM TrustZone. Non ci sono informazioni sul supporto di , AMD PSP (Platform Security Processor) e AMD SEV (Secure Encryption Virtualization).
- Red Hat ha trasferito il progetto , fornisce uno strato di astrazione per la creazione di applicazioni universali da eseguire in enclave che supportano diversi ambienti TEE, indipendenti dall'architettura hardware e consentendo l'uso di diversi linguaggi di programmazione (utilizza un runtime basato su WebAssembly). Attualmente, il progetto supporta le tecnologie AMD SEV e Intel SGX.
Tra i progetti simili trascurati, possiamo menzionare il framework , che è principalmente sviluppato da ingegneri Google, ma è un prodotto ufficialmente supportato da Google. Questo framework permette di adattare facilmente le applicazioni per il trasferimento di parte delle funzionalità che richiedono una maggiore protezione, verso un enclave sicuro. Tra i meccanismi hardware di isolamento, Asylo supporta solo Intel SGX, ma è disponibile anche un meccanismo software di creazione di enclave utilizzando la virtualizzazione.
Ricordiamo che l'enclave (, l'Environment di Esecuzione Fidato) implica la fornitura da parte del processore di un'area isolata speciale, che consente di trasferire parte delle funzionalità delle applicazioni e del sistema operativo in un ambiente separato, la cui memoria e codice in esecuzione non sono accessibili dal sistema principale, indipendentemente dal livello di privilegi esistenti. Per il suo funzionamento, nel' enclava possono essere spostate implementazioni di vari algoritmi di crittografia, funzioni di gestione di chiavi private e password, procedure di autenticazione, codice per la gestione di dati riservati.
In caso di compromissione del sistema principale, un aggressore non sarà in grado di determinare le informazioni memorizzate nell'enclave e sarà limitato solo dall'interfaccia di programmazione esterna. L'uso di enclave hardware può essere considerato come un'alternativa all'applicazione di metodi basati sulla protezione dei calcoli crittografia o , ma a differenza di queste tecnologie, l'enclave non ha praticamente alcun impatto sulle prestazioni dei calcoli riguardanti dati riservati e semplifica notevolmente lo sviluppo.
Fonte: opennet.ru
