Google ນຳສະເໜີ VMs ທີ່ເປັນຄວາມລັບສຳລັບ Google Cloud Confidential Computing

ຢູ່ Google, ພວກເຮົາເຊື່ອວ່າອະນາຄົດຂອງຄອມພິວເຕີ້ຟັງຄລາວຈະຫັນໄປສູ່ການບໍລິການສ່ວນຕົວ, ການເຂົ້າລະຫັດລັບທີ່ໃຫ້ຜູ້ໃຊ້ມີຄວາມໝັ້ນໃຈຢ່າງຄົບຖ້ວນໃນຄວາມເປັນສ່ວນຕົວຂອງຂໍ້ມູນຂອງເຂົາເຈົ້າ.

Google Cloud ໄດ້ເຂົ້າລະຫັດຂໍ້ມູນລູກຄ້າໃນການຂົນສົ່ງ ແລະ ສ່ວນທີ່ເຫຼືອ, ແຕ່ມັນຍັງຕ້ອງໄດ້ຮັບການຖອດລະຫັດເພື່ອປະມວນຜົນ. ການ ຄຳ ນວນຂໍ້ມູນລັບ ເປັນເທກໂນໂລຍີປະຕິວັດທີ່ໃຊ້ໃນການເຂົ້າລະຫັດຂໍ້ມູນໃນລະຫວ່າງການປະມວນຜົນ. ສະພາບແວດລ້ອມຄອມພິວເຕີທີ່ເປັນຄວາມລັບຊ່ວຍໃຫ້ທ່ານສາມາດເກັບຂໍ້ມູນທີ່ເຂົ້າລະຫັດໄວ້ໃນ RAM ແລະບ່ອນອື່ນໆທີ່ຢູ່ນອກໂຮງງານຜະລິດ (CPU).

ປະຈຸບັນ VMs ທີ່ເປັນຄວາມລັບກຳລັງຢູ່ໃນການທົດສອບເບຕ້າ ແລະເປັນຜະລິດຕະພັນທຳອິດໃນສາຍ Google Cloud Confidential Computing. ພວກເຮົາໃຊ້ເຕັກນິກການໂດດດ່ຽວ ແລະ sandboxing ຕ່າງໆໃນໂຄງລ່າງຄລາວຂອງພວກເຮົາ ເພື່ອຮັບປະກັນຄວາມປອດໄພຂອງສະຖາປັດຕະຍະກຳຜູ້ເຊົ່າຫຼາຍບ່ອນ. VMs ທີ່ເປັນຄວາມລັບເອົາຄວາມປອດໄພໄປສູ່ລະດັບຕໍ່ໄປໂດຍສະເຫນີການເຂົ້າລະຫັດໃນຫນ່ວຍຄວາມຈໍາເພື່ອແຍກວຽກຂອງເຂົາເຈົ້າຢູ່ໃນຄລາວຕື່ມອີກ, ຊ່ວຍໃຫ້ລູກຄ້າຂອງພວກເຮົາປົກປ້ອງຂໍ້ມູນທີ່ລະອຽດອ່ອນ. ພວກເຮົາຄິດວ່ານີ້ຈະມີຄວາມສົນໃຈໂດຍສະເພາະຜູ້ທີ່ເຮັດວຽກຢູ່ໃນອຸດສາຫະກໍາທີ່ມີການຄວບຄຸມ (ບາງທີກ່ຽວກັບ GDPR ແລະສິ່ງທີ່ກ່ຽວຂ້ອງອື່ນໆ, ປະມານ ນັກແປ).

ເປີດໂອກາດໃໝ່

ແລ້ວກັບ Asylo, ແພລະຕະຟອມແຫຼ່ງເປີດສໍາລັບຄອມພິວເຕີ້ທີ່ເປັນຄວາມລັບ, ພວກເຮົາໄດ້ສຸມໃສ່ການເຮັດໃຫ້ສະພາບແວດລ້ອມຄອມພິວເຕີທີ່ເປັນຄວາມລັບງ່າຍຕໍ່ການນໍາໃຊ້ແລະນໍາໃຊ້, ສະເຫນີປະສິດທິພາບສູງແລະຄໍາຮ້ອງສະຫມັກສໍາລັບວຽກງານໃດຫນຶ່ງທີ່ທ່ານເລືອກທີ່ຈະດໍາເນີນການໃນຄລາວ. ພວກເຮົາເຊື່ອວ່າທ່ານບໍ່ຈໍາເປັນຕ້ອງປະນີປະນອມໃນການນໍາໃຊ້, ຄວາມຍືດຫຍຸ່ນ, ປະສິດທິພາບແລະຄວາມປອດໄພ.

ດ້ວຍ VMs ທີ່ເປັນຄວາມລັບເຂົ້າໄປໃນເບຕ້າ, ພວກເຮົາເປັນຜູ້ໃຫ້ບໍລິການຟັງໃຫຍ່ທໍາອິດທີ່ສະເຫນີຄວາມປອດໄພແລະຄວາມໂດດດ່ຽວລະດັບນີ້ - ແລະໃຫ້ລູກຄ້າມີທາງເລືອກທີ່ງ່າຍດາຍ, ງ່າຍຕໍ່ການນໍາໃຊ້ສໍາລັບທັງສອງແອັບພລິເຄຊັນໃຫມ່ແລະ "ported" (ອາດຈະກ່ຽວກັບຄໍາຮ້ອງສະຫມັກທີ່. ສາມາດດໍາເນີນການຢູ່ໃນຟັງໄດ້ໂດຍບໍ່ມີການປ່ຽນແປງທີ່ສໍາຄັນ, ປະມານ ນັກແປ). ພວກເຮົາສະຫນອງ:

• ຄວາມເປັນສ່ວນຕົວທີ່ບໍ່ກົງກັນ: ລູກຄ້າສາມາດປົກປ້ອງຄວາມເປັນສ່ວນຕົວຂອງຂໍ້ມູນທີ່ລະອຽດອ່ອນຂອງເຂົາເຈົ້າຢູ່ໃນຄລາວ, ເຖິງແມ່ນວ່າມັນຈະຖືກປະມວນຜົນ. VMs ທີ່ເປັນຄວາມລັບໃຊ້ຄຸນສົມບັດ Secure Encrypted Virtualization (SEV) ຂອງໂປເຊດເຊີ AMD EPYC ລຸ້ນທີສອງ. ຂໍ້​ມູນ​ຂອງ​ທ່ານ​ຍັງ​ຄົງ​ຖືກ​ເຂົ້າ​ລະ​ຫັດ​ໃນ​ລະ​ຫວ່າງ​ການ​ນໍາ​ໃຊ້​, ການ​ດັດ​ແກ້​, ການ​ສອບ​ຖາມ​, ແລະ​ການ​ຝຶກ​ອົບ​ຮົມ​. ກະແຈການເຂົ້າລະຫັດຖືກສ້າງຢູ່ໃນຮາດແວແຍກຕ່າງຫາກສໍາລັບແຕ່ລະເຄື່ອງ virtual ແລະບໍ່ເຄີຍອອກຈາກຮາດແວ.

• ການປັບປຸງນະວັດຕະກໍາທີ່ດີຂຶ້ນ: ຄອມພິວເຕີທີ່ເປັນຄວາມລັບສາມາດເປີດສະຖານະການປະມວນຜົນທີ່ບໍ່ເປັນໄປໄດ້ໃນເມື່ອກ່ອນ. ໃນປັດຈຸບັນບໍລິສັດສາມາດແບ່ງປັນຊຸດຂໍ້ມູນທີ່ຖືກຈັດປະເພດແລະເຮັດວຽກຮ່ວມກັນໃນການຄົ້ນຄວ້າໃນຄລາວໃນຂະນະທີ່ຮັກສາຄວາມລັບ.

• ຄວາມ​ເປັນ​ສ່ວນ​ຕົວ​ສໍາ​ລັບ​ການ​ບັນ​ທຸກ​ການ​ສົ່ງ​ອອກ​: ເປົ້າ​ຫມາຍ​ຂອງ​ພວກ​ເຮົາ​ແມ່ນ​ເພື່ອ​ເຮັດ​ໃຫ້​ຄວາມ​ງ່າຍ​ຂອງ​ການ​ຄິດ​ໄລ່​ຄວາມ​ລັບ​. ການຫັນປ່ຽນໄປສູ່ VMs ທີ່ເປັນຄວາມລັບແມ່ນບໍ່ມີຮອຍຕໍ່ - ວຽກງານທັງໝົດໃນ GCP ທີ່ແລ່ນຢູ່ໃນເຄື່ອງສະເໝືອນສາມາດເຄື່ອນຍ້າຍໄປຫາ VMs ທີ່ເປັນຄວາມລັບ. ມັນງ່າຍດາຍ - ພຽງແຕ່ກວດເບິ່ງຫນຶ່ງກ່ອງ.

• ການປົກປ້ອງໄພຂົ່ມຂູ່ແບບພິເສດ: ຄອມພິວເຕີທີ່ເປັນຄວາມລັບສ້າງການປົກປ້ອງ VMs ປ້ອງກັນຈາກ rootkits ແລະ bootkits, ຊ່ວຍຮັບປະກັນຄວາມສົມບູນຂອງລະບົບປະຕິບັດການທີ່ເລືອກໃຫ້ແລ່ນຢູ່ໃນ Confidential VM.

ພື້ນຖານຂອງ VMs ທີ່ເປັນຄວາມລັບ

VMs ທີ່ເປັນຄວາມລັບແລ່ນຢູ່ໃນເຄື່ອງ virtual N2D ທີ່ແລ່ນຢູ່ໃນໂປເຊດເຊີ AMD EPYC ລຸ້ນທີສອງ. ຄຸນນະສົມບັດ SEV ຂອງ AMD ສະຫນອງປະສິດທິພາບສູງໃນການເຮັດວຽກຄອມພິວເຕີທີ່ຕ້ອງການຫຼາຍທີ່ສຸດໃນຂະນະທີ່ເກັບຮັກສາ RAM virtual machine encrypted ດ້ວຍກະແຈ per-VM ທີ່ຜະລິດແລະຄຸ້ມຄອງໂດຍໂປເຊດເຊີ EPYC. ກະແຈຖືກສ້າງຂື້ນໂດຍ AMD Secure Processor coprocessor ເມື່ອເຄື່ອງ virtual ຖືກສ້າງຂື້ນແລະຖືກຕັ້ງຢູ່ໃນມັນ, ເຊິ່ງເຮັດໃຫ້ມັນບໍ່ສາມາດເຂົ້າເຖິງໄດ້ທັງ Google ແລະເຄື່ອງ virtual ອື່ນໆທີ່ເຮັດວຽກຢູ່ໃນ node ດຽວກັນ.

ນອກເຫນືອໄປຈາກການເຂົ້າລະຫັດ RAM ຂອງຮາດແວໃນຕົວ, ພວກເຮົາສ້າງ VMs ທີ່ເປັນຄວາມລັບຢູ່ເທິງສຸດຂອງ Shielded VMs ເພື່ອສະຫນອງຄວາມຕ້ານທານກັບຮູບພາບຂອງລະບົບປະຕິບັດການ, ການກວດສອບຄວາມສົມບູນຂອງເຟີມແວ, ໄບນາຣີ kernel, ແລະໄດເວີ. ຮູບພາບທີ່ສະເໜີໃຫ້ໂດຍ Google ລວມມີ Ubuntu 18.04, Ubuntu 20.04, Container Optimized OS (COS v81) ແລະ RHEL 8.2. ພວກເຮົາກໍາລັງເຮັດວຽກຢູ່ໃນ Centos, Debian ແລະອື່ນໆເພື່ອສະເຫນີຮູບພາບຂອງລະບົບປະຕິບັດການອື່ນໆ.

ພວກເຮົາຍັງເຮັດວຽກຢ່າງໃກ້ຊິດກັບທີມງານວິສະວະກໍາ AMD Cloud Solution ເພື່ອຮັບປະກັນວ່າການເຂົ້າລະຫັດຫນ່ວຍຄວາມຈໍາ virtual ບໍ່ມີຜົນກະທົບປະສິດທິພາບ. ພວກເຮົາໄດ້ເພີ່ມການຮອງຮັບໄດເວີ OSS ໃໝ່ (nvme ແລະ gvnic) ເພື່ອຈັດການກັບຄຳຮ້ອງຂໍບ່ອນຈັດເກັບຂໍ້ມູນ ແລະ ການສັນຈອນຂອງເຄືອຂ່າຍທີ່ມີອັດຕາການສົ່ງຕໍ່ທີ່ສູງກວ່າໂປຣໂຕຄໍເກົ່າ. ນີ້ເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະກວດສອບວ່າຕົວຊີ້ວັດການປະຕິບັດຂອງ VMs ທີ່ເປັນຄວາມລັບແມ່ນຢູ່ໃກ້ກັບເຄື່ອງ virtual ປົກກະຕິ.

Secure Encrypted Virtualization, ສ້າງຢູ່ໃນໂປເຊດເຊີ AMD EPYC ລຸ້ນທີສອງ, ສະຫນອງຄຸນສົມບັດຄວາມປອດໄພຂອງຮາດແວທີ່ສ້າງສັນທີ່ຊ່ວຍປົກປ້ອງຂໍ້ມູນໃນສະພາບແວດລ້ອມ virtualized. ເພື່ອຮອງຮັບ GCE Confidential VMs N2D ໃໝ່, ພວກເຮົາໄດ້ເຮັດວຽກກັບ Google ເພື່ອຊ່ວຍລູກຄ້າປົກປ້ອງຂໍ້ມູນຂອງເຂົາເຈົ້າ ແລະຮັບປະກັນປະສິດທິພາບຂອງວຽກຂອງເຂົາເຈົ້າ. ພວກເຮົາດີໃຈຫຼາຍທີ່ເຫັນວ່າ VMs ທີ່ເປັນຄວາມລັບໃຫ້ລະດັບດຽວກັນຂອງປະສິດທິພາບສູງໃນທົ່ວວຽກເປັນ N2D VMs ປົກກະຕິ.

Raghu Nambiar, ຮອງປະທານ, ລະບົບນິເວດສູນຂໍ້ມູນ, AMD

ເກມ ເຕັກໂນໂລຊີການປ່ຽນແປງ

ຄອມພິວເຕີທີ່ເປັນຄວາມລັບສາມາດຊ່ວຍປ່ຽນວິທີທີ່ວິສາຫະກິດປະມວນຜົນຂໍ້ມູນໃນຄລາວ ໃນຂະນະທີ່ຮັກສາຄວາມເປັນສ່ວນຕົວ ແລະຄວາມປອດໄພ. ນອກຈາກນີ້, ໃນບັນດາຜົນປະໂຫຍດອື່ນໆ, ບໍລິສັດຈະສາມາດເຮັດວຽກຮ່ວມກັນໂດຍບໍ່ມີການປະນີປະນອມຄວາມລັບຂອງຊຸດຂໍ້ມູນ. ການຮ່ວມມືດັ່ງກ່າວ, ໃນທາງກັບກັນ, ສາມາດນໍາໄປສູ່ການພັດທະນາຂອງເຕັກໂນໂລຢີແລະແນວຄວາມຄິດທີ່ມີການປ່ຽນແປງຫຼາຍກວ່າເກົ່າ, ເຊັ່ນ: ຄວາມສາມາດໃນການສ້າງວັກຊີນແລະການປິ່ນປົວພະຍາດຢ່າງໄວວາເປັນຜົນມາຈາກການຮ່ວມມືທີ່ປອດໄພດັ່ງກ່າວ.

ພວກເຮົາບໍ່ສາມາດລໍຖ້າເບິ່ງໂອກາດທີ່ເທັກໂນໂລຢີນີ້ເປີດໃຫ້ບໍລິສັດຂອງເຈົ້າ. ເບິ່ງ ທີ່ນີ້ເພື່ອຊອກຫາເພີ່ມເຕີມ.

PS ບໍ່ແມ່ນຄັ້ງທໍາອິດ, ແລະຫວັງວ່າບໍ່ແມ່ນຄັ້ງສຸດທ້າຍ, Google ເປີດຕົວເຕັກໂນໂລຢີທີ່ປ່ຽນແປງໂລກ. ດັ່ງທີ່ເກີດຂື້ນກັບ Kubernetes ຂ້ອນຂ້າງບໍ່ດົນມານີ້. ພວກເຮົາສະໜັບສະໜຸນ ແລະແຈກຢາຍເທັກໂນໂລຍີ Goggle ໃຫ້ກັບຄວາມສາມາດທີ່ດີທີ່ສຸດຂອງພວກເຮົາ ແລະຝຶກອົບຮົມຜູ້ຊ່ຽວຊານດ້ານໄອທີໃນລັດເຊຍ. ບໍລິສັດຂອງພວກເຮົາແມ່ນຫນຶ່ງໃນ 3 ຜູ້ໃຫ້ບໍລິການທີ່ໄດ້ຮັບການຮັບຮອງ Kubernetes ແລະອັນດຽວ ຄູ່ຮ່ວມງານການຝຶກອົບຮົມ Kubernetes ໃນລັດເຊຍ. ນັ້ນແມ່ນເຫດຜົນທີ່ພວກເຮົາດໍາເນີນການຝຶກອົບຮົມ Kubernetes ທີ່ເຂັ້ມງວດໃນທຸກໆພາກຮຽນ spring ແລະລະດູໃບໄມ້ປົ່ງ. ຫຼັກສູດເລັ່ງລັດຄັ້ງຕໍ່ໄປຈະຈັດຂຶ້ນໃນວັນທີ 28-30 ກັນຍາ ຖານ Kubernetes ແລະ ວັນທີ 14–16 ຕຸລາ Kubernetes Mega.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com