Linux Stichting over de oprichting van een consortium , gericht op de ontwikkeling van open technologieën en standaarden met betrekking tot veilige verwerking in het geheugen en vertrouwelijk computergebruik. Bedrijven als Alibaba, Arm, Baidu, Google, IBM, Intel, Tencent en Microsoft hebben zich al bij het gezamenlijke project aangesloten, die van plan zijn samen te werken aan een neutraal platform om technologieën te ontwikkelen voor het isoleren van gegevens in het geheugen tijdens het computerproces.
Het uiteindelijke doel is om de middelen te verschaffen om de volledige cyclus van gegevensverwerking in gecodeerde vorm te ondersteunen, zonder dat er in afzonderlijke fasen informatie in open vorm wordt aangetroffen. Het interessegebied van het consortium omvat voornamelijk technologieën die verband houden met het gebruik van gecodeerde gegevens in het computerproces, namelijk het gebruik van geïsoleerde enclaves, protocollen voor , manipulatie van gecodeerde gegevens in het geheugen en volledige isolatie van gegevens in het geheugen (bijvoorbeeld om te voorkomen dat de hostsysteembeheerder toegang krijgt tot gegevens in het geheugen van gastsystemen).
De volgende projecten zijn overgedragen voor onafhankelijke ontwikkeling als onderdeel van het Confidential Computing Consortium:
- Intel overgedragen voor verdere gezamenlijke ontwikkeling
componenten voor het gebruik van technologie (Software Guard Extensions) op Linux, inclusief een SDK met een set tools en bibliotheken. SGX stelt voor om een reeks speciale processorinstructies te gebruiken om privégeheugengebieden toe te wijzen aan applicaties op gebruikersniveau, waarvan de inhoud gecodeerd is en niet gelezen of gewijzigd kan worden, zelfs niet door de kernel en code die draait in ring0-, SMM- en VMM-modi; - Microsoft heeft het raamwerk overhandigd , waardoor u toepassingen kunt maken voor verschillende TEE-architecturen (Trusted Execution Environment) met behulp van één enkele API en abstracte enclave-representatie. Een applicatie die is voorbereid met Open Enclav kan draaien op systemen met verschillende enclave-implementaties. Van de TEE's wordt momenteel alleen Intel SGX ondersteund. Code ter ondersteuning van ARM TrustZone is in ontwikkeling. Over ondersteuning , AMD PSP (Platform Security Processor) en AMD SEV (Secure Encryption Virtualization) worden niet gerapporteerd.
- Red Hat heeft het project overgedragen , die een abstractielaag biedt voor het creëren van universele applicaties die kunnen worden uitgevoerd in enclaves die verschillende TEE-omgevingen ondersteunen, onafhankelijk van hardware-architecturen en die het gebruik van verschillende programmeertalen mogelijk maken (er wordt gebruik gemaakt van WebAssembly-gebaseerde runtime). Het project ondersteunt momenteel AMD SEV- en Intel SGX-technologieën.
Onder de over het hoofd geziene soortgelijke projecten kunnen we het raamwerk opmerken , dat voornamelijk is ontwikkeld door Google-ingenieurs, maar een officieel ondersteund Google-product. Met het raamwerk kunt u eenvoudig toepassingen aanpassen om een deel van de functionaliteit die verhoogde bescherming vereist, naar de zijkant van een beschermde enclave te verplaatsen. Van de hardware-isolatiemechanismen in Asylo wordt alleen Intel SGX ondersteund, maar er is ook een softwaremechanisme beschikbaar voor het vormen van enclaves op basis van het gebruik van virtualisatie.
Bedenk dat de enclave (, Trusted Execution Environment) omvat het aanbieden door de processor van een speciaal geïsoleerd gebied, waarmee u een deel van de functionaliteit van applicaties en het besturingssysteem naar een aparte omgeving kunt verplaatsen, waarbij de geheugeninhoud en uitvoerbare code niet toegankelijk zijn vanaf de hoofdomgeving systeem, ongeacht het beschikbare privilegeniveau. Voor de uitvoering ervan kunnen implementaties van verschillende versleutelingsalgoritmen, functies voor het verwerken van privésleutels en wachtwoorden, authenticatieprocedures en code voor het werken met vertrouwelijke gegevens naar de enclave worden verplaatst.
Als het hoofdsysteem wordt aangetast, kan de aanvaller de informatie die in de enclave is opgeslagen niet achterhalen en is hij alleen beperkt tot de externe software-interface. Het gebruik van hardware-enclaves kan worden beschouwd als een alternatief voor het gebruik van methoden die daarop zijn gebaseerd encryptie of , maar in tegenstelling tot deze technologieën heeft de enclave vrijwel geen effect op de prestaties van berekeningen met vertrouwelijke gegevens en vereenvoudigt het de ontwikkeling aanzienlijk.
Bron: opennet.ru