MÄs Google uzÅÄmumÄ ticam, ka nÄkotnÄ mÄkoÅdatoÅ”ana arvien vairÄk pÄrvÄrsÄ«sies uz privÄtiem, Å”ifrÄtiem pakalpojumiem, kas garantÄ lietotÄjiem pilnÄ«gu pÄrliecÄ«bu par datu konfidencialitÄtes kontroli.
Google Cloud jau Å”ifrÄ pÄrsÅ«tÄ«tus un uzglabÄtus klientu datus, taÄu to apstrÄdes laikÄ tie joprojÄm ir jÄatÅ”ifrÄ. KonfidenciÄla datorkomplekts ā revolucionÄra tehnoloÄ£ija, kas tiek izmantota datu Å”ifrÄÅ”anai to apstrÄdes laikÄ. KonfidenciÄla datorkomplektu bÄzes vidÄs ir iespÄjams uzglabÄt Å”ifrÄtus datus operatÄ«vajÄ atmiÅÄ un citÄs vietÄs Ärpus procesora (CPU).
KonfidenciÄlÄs virtuÄlÄs maŔīnas Å”obrÄ«d ir beta testÄÅ”anas posmÄ un ir pirmais produkts Google Cloud KonfidenciÄlÄs datorkomplekta rindÄ. MÄs jau izmantojam dažÄdas izolÄcijas un smilÅ”u kastes metodes mÅ«su mÄkoÅu infrastruktÅ«rÄ, lai nodroÅ”inÄtu droŔību daudzlietotÄju arhitektÅ«rÄ. KonfidenciÄlÄs virtuÄlÄs maŔīnas pacel droŔību jaunÄ lÄ«menÄ«, piedÄvÄjot operatÄ«vÄs atmiÅas Å”ifrÄÅ”anu papildu izolÄcijai savu slodžu laikÄ mÄkoÅÄ«, palÄ«dzot mÅ«su klientiem aizsargÄt konfidenciÄlus datus. MÄs domÄjam, ka tas Ä«paÅ”i var interesÄt tos, kas strÄdÄ regulÄtÄs nozarÄs (iespÄjams, tas attiecas uz GDPR un citÄm saistÄ«tÄm lietÄm, piezÄ«me tulkotÄjam).
Atveram jaunas iespÄjas
Ar Asylo, atvÄrta koda platformu konfidenciÄlai datorkomplektai, mÄs esam koncentrÄjuÅ”ies uz vienkÄrŔības nodroÅ”inÄÅ”anu konfidenciÄlÄs datorkomplekta vides izveidÄ un izmantoÅ”anÄ, piedÄvÄjot augstu veiktspÄju un pielietojumu jebkurai slodzei, ko izvÄlaties izpildÄ«t mÄkoÅa vidÄ. MÄs uzskatÄm, ka jums nevajadzÄtu piekÄpties attiecÄ«bÄ uz lietojamÄ«bu, elastÄ«bu, veiktspÄju un droŔību.
PÄrejot uz beta fÄzi, KonfidenciÄlÄs virtuÄlÄs maŔīnas kļuva par pirmo lielo mÄkoÅpakalpojumu sniedzÄju, kas piedÄvÄ tÄdu droŔības un izolÄcijas lÄ«meni, un sniedz klientiem vienkÄrÅ”u un lietoÅ”anÄ draudzÄ«gu variantu, gan jaunÄm lietotnÄm, gan Ā«portÄtÄmĀ» (iespÄjams, Å”ajÄ gadÄ«jumÄ domÄjot par lietotnÄm, kuras var palaist mÄkoÅÄ« bez bÅ«tiskÄm izmaiÅÄm, piezÄ«me tulkotÄjam). MÄs nodroÅ”inÄm:
NepÄrspÄjama konfidencialitÄte: klienti var aizsargÄt savu jÅ«tÄ«go datu konfidencialitÄti mÄkonÄ« pat to apstrÄdes laikÄ. KonfidenciÄlÄs VM izmanto AMD EPYC otrÄs paaudzes procesoru Secure Encrypted Virtualization (SEV) funkcionalitÄti. JÅ«su dati paliek Å”ifrÄti to lietoÅ”anas, indeksÄÅ”anas, pieprasÄ«Å”anas un apmÄcÄ«bas laikÄ. Å ifrÄÅ”anas atslÄgas tiek veidotas aparatÅ«rÄ atseviŔķi katrai virtuÄlajai maŔīnai un nekad nepÄrsniedz aparatÅ«ru.
Uzlabotas inovÄcijas: konfidenciÄlÄ datu apstrÄde var atklÄt apstrÄdes scenÄrijus, kas iepriekÅ” bija neiespÄjami. Tagad uzÅÄmumi var apmainÄ«ties ar slepeno datu kopÄm un kopÄ«gi strÄdÄt pie pÄtniecÄ«bas mÄkonÄ«, saglabÄjot konfidencialitÄti.
KonfidencialitÄte āportÄtÄmā darba slodzÄm: mÅ«su mÄrÄ·is ir vienkÄrÅ”ot konfidenciÄlo datu apstrÄdi. PÄreja uz KonfidenciÄlÄm VM ir bezÅ”uvÄ«ga - visas GCP darba slodzes, kas darbojas virtuÄlajÄs maŔīnÄs, var pÄriet uz KonfidenciÄlÄm VM. Viss ir vienkÄrÅ”i - pietiek ar vienu 'atzÄ«mÄjumu'.
AizsardzÄ«ba pret uzlabotÄm apdraudÄjumiem: konfidenciÄlÄ datu apstrÄde balstÄs uz Shielded VM aizsardzÄ«bu pret rootkit un bootkit apdraudÄjumiem, palÄ«dzot nodroÅ”inÄt operÄtÄjsistÄmas integritÄti, kas izvÄlÄta darbÄ«bai KonfidenciÄlÄ VM.
KonfidenciÄlo VM pamati
KonfidenciÄlÄs VM darbojas uz N2D virtuÄlajÄm maŔīnÄm, kas tiek iedarbinÄtas uz AMD EPYC otrÄs paaudzes procesoriem. AMD SEV funkcija nodroÅ”ina augstu veiktspÄju lielÄkajai daļai prasÄ«gu aprÄÄ·inu uzdevumu, vienlaikus saglabÄjot virtuÄlÄs maŔīnas operatÄ«vo atmiÅu Å”ifrÄtu ar atseviŔķu atslÄgu katrai virtuÄlajai maŔīnai, ko izveido un pÄrvalda EPYC procesors. AtslÄgas tiek veidotas, izmantojot AMD Secure Processor, kad tiek izveidota virtuÄlÄ maŔīna, un tÄs atrodas ekskluzÄ«vi tajÄ, kas padara tÄs nepieejamas gan Google, gan citÄm virtuÄlajÄm maŔīnÄm, kas darbojas uz tÄ paÅ”a mezgla.
Papildus iebÅ«vÄtajai aparatÅ«ras atmiÅas Å”ifrÄÅ”anai mÄs izveidojam KonfidenciÄlÄs VM virs Shielded VM, lai nodroÅ”inÄtu izturÄ«bu pret operÄtÄjsistÄmas attÄla uzlauÅ”anu, firmware integritÄtes pÄrbaudi, kodolu binÄro failu un draiveru pÄrbaudi. Google piedÄvÄtie attÄli ietver Ubuntu 18.04, Ubuntu 20.04, Container Optimized OS (COS v81) un RHEL 8.2. MÄs strÄdÄjam pie CentOS, Debian un citiem, lai piedÄvÄtu citus operÄtÄjsistÄmas attÄlus.
MÄs cieÅ”i sadarbojamies arÄ« ar AMD Cloud Solution inženieru komandu, lai nodroÅ”inÄtu, ka virtuÄlÄs maŔīnas atmiÅas Å”ifrÄÅ”ana neietekmÄ sniegumu. MÄs esam pievienojuÅ”i atbalstu jauniem OSS (nvme un gvnic) draiveriem, lai apstrÄdÄtu pieprasÄ«jumus uz uzglabÄÅ”anas apakÅ”sistÄmu un tÄ«kla trafiku ar augstÄku caurlaidspÄju nekÄ vecie protokoli. Tas ļÄva pÄrliecinÄties, ka Confidential VMs sniegums ir lÄ«dzÄ«gs parasto virtuÄlo maŔīnu rÄdÄ«tÄjiem.
Pateicoties Secure Encrypted Virtualization, kas ir iebÅ«vÄta otrÄs paaudzes AMD EPYC procesoros, tiek nodroÅ”inÄta inovatÄ«va aparatÅ«ras droŔības funkcija, kas ļauj aizsargÄt datus virtualizÄtÄ vidÄ. Lai atbalstÄ«tu jaunas GCE Confidential VMs N2D, mÄs sadarbojÄmies ar Google, lai palÄ«dzÄtu klientiem aizsargÄt viÅu datus un nodroÅ”inÄtu viÅu darba slodžu sniegumu. MÄs esam ļoti priecÄ«gi redzÄt, ka Confidential VMs sniedz tÄdu paÅ”u augstas veiktspÄjas lÄ«meni dažÄdÄm slodzÄm, kÄ tipiskÄs N2D virtuÄlÄs maŔīnas.
Raghu Nambiar, viceprezidents, Datu centra ekosistÄma, AMD
TehnoloÄ£ija, kas maina spÄles noteikumus
Confidential computing var mainÄ«t uzÅÄmumu datu apstrÄdes veidu mÄkoÅos, saglabÄjot noslÄpumainÄ«bu un droŔību. TurklÄt, cita starpÄ, uzÅÄmumiem bÅ«s iespÄja sadarboties, nepÄrkÄpjot datu kopu noslÄpumainÄ«bu. Å Äda sadarbÄ«ba, savukÄrt, var novest pie vÄl vairÄk pÄrvÄrtÄjoÅ”u tehnoloÄ£iju un ideju radÄ«Å”anas, piemÄram, iespÄjas Ätri izveidot vakcÄ«nas un ÄrstÄt slimÄ«bas Å”Äda droÅ”a sadarbÄ«bas rezultÄtÄ.
MÄs ar nepacietÄ«bu gaidÄm iespÄjas, kuras Ŕī tehnoloÄ£ija var sniegt jÅ«su uzÅÄmumam. Skatiet , lai uzzinÄtu vairÄk.
P.S. Ne pirmo reizi un, cerams, ne pÄdÄjo reizi Google izziÅo tehnoloÄ£iju, kas maina pasauli. TÄpat kÄ nesen ar Kubernetes. MÄs darÄm visu iespÄjamo, lai atbalstÄ«tu un izplatÄ«tu Google tehnoloÄ£ijas ā apmÄcÄm IT speciÄlistus KrievijÄ. MÅ«su uzÅÄmums ir viens no 3 Kubernetes Certified Service Provider un vienÄ«gais Kubernetes Training Partner KrievijÄ. TÄpÄc katru pavasari un rudeni mÄs rÄ«kojam Kubernetes apmÄcÄ«bas intensÄ«vus. NÄkamie intensÄ«vi notiks no 28. lÄ«dz 30. septembrim un no 14. lÄ«dz 16. oktobrim .
Avots: habr.com
