IBM, Google, Microsoft dhe Intel formuan një aleancë për zhvillimin e teknologjive të hapura për mbrojtjen e të dhënave

Linux Foundation njoftoi për krijimin e një konsorciumi Confidential Computing Consortium, i orientuar në zhvillimin e teknologjive dhe standardeve të hapura që lidhen me përpunimin e sigurt të të dhënave në kujtesë dhe llogaritjet e besueshme. Në projektin e përbashkët janë bashkuar kompani si Alibaba, Arm, Baidu, Google, IBM, Intel, Tencent dhe Microsoft, të cilat kanë për qëllim të zhvillojnë së bashku në një platformë neutrale teknologjitë për izolimin e të dhënave në kujtesë gjatë procesit të llogaritjes.

Qëllimi përfundimtar është ofrimi i mjeteve për mbështetje të ciklit të plotë të përpunimit të të dhënave në formë të enkriptuar, pa pasjen e informacionit në formë të hapur në etapa të veçanta. Në fushën e interesave të konsorciumit bien përparësi teknologjitë që lidhen me përdorimin e të dhënave të enkriptuara gjatë procesit të llogaritjes, sidomos, aplikimi i enklavave të izoluara, protokolle për llogaritjet shumëpalëshe, manipulimin e të dhënave të enkriptuara në kujtesë dhe izolimin e plotë të të dhënave në kujtesë (për shembull, për të parandaluar aksesin e administratorëve të sistemit të hostit në të dhënat në kujtesën e sistemeve mysafirë).

Për zhvillimin e pavarur në kuadër të Confidential Computing Consortium, janë transferuar projektet e mëposhtme:

• Kompania Intel ka transferuar për vazhdimin e zhvillimit të përbashkët komponentet e hapura më parë
  për përdorimin e teknologjisë SGX (Software Guard Extensions) në Linux, duke përfshirë SDK me një grup mjetesh dhe bibliotekash. SGX ofron përdorimin e një grupi të veçantë të instrukcioneve të procesorit për të ndarë aplikacioneve të nivelit përdorues hapësira të mbyllura në kujtesë, përmbajtja e të cilave është e enkriptuar dhe nuk mund të lexohet dhe ndryshohet as nga bërthama dhe kodi që ekzekutohet në mënyrat ring0, SMM dhe VMM;
• Microsoft ka transferuar frameworkun Open Enclav, i cili lejon krijimin e aplikacioneve për arkitektura të ndryshme TEE (Trusted Execution Environment), duke përdorur një API të vetëm dhe një përfaqësim abstrakt të enklavës. Një aplikacion i përgatitur me ndihmën e Open Enclav mund të ekzekutohet në sisteme me realizime të ndryshme të enklavave. Aktualisht, vetëm Intel SGX mbështetet nga TEE. Një kod për mbështetje të ARM TrustZone është në zhvillim. As për mbështetje Keystone, AMD PSP (Platform Security Processor) as AMD SEV (Secure Encryption Virtualization) nuk ka asnjë informacion.
• Kompania Red Hat ka transferuar projektin Enarx, duke ofron një shtresë abstraktizimi për të krijuar aplikacione universale për t'u ekzekutuar në enklava, duke mbështetur mjedise të ndryshme TEE, të pavarura nga arkitekturat harduerike dhe duke lejuar përdorimin e gjuhëve të ndryshme programimi (përdoret runtime mbi bazën e WebAssembly). Aktualisht, projekti mbështet teknologjitë AMD SEV dhe Intel SGX.

Nga projektet e ngjashme që janë lënë pas dore, mund të përmendet çadre Asylo, e cila po zhvillohet kryesisht nga inxhinierët e Google, por nuk është është një produkt i mbështetur zyrtarisht nga Google. Çadra lejon të adaptohen lehtësisht aplikacionet për të transferuar një pjesë të funksionalitetit, që kërkon mbrojtje të lartë, në anën e enklavës të mbrojtur. Nga mekanizmat harduerike të izolimit, në Asylo mbështetet vetëm Intel SGX, por është i disponueshëm edhe një mekanizëm softuerik për formimin e enklavave duke përdorur virtualizimin.

Kujtojmë se një enklavë (TEE, Mjedisi i Ekzekutimit të Besueshëm) nënkupton ofrimin nga procesori të një zone të veçantë të izoluar, e cila lejon transferimin e një pjesë të funksionalitetit të aplikacioneve dhe sistemit operativ në një mjedis të veçantë, përmbajtja e memories dhe kodi i ekzekutuar në të cilin nuk janë të qasshëm nga sistemi kryesor, pavarësisht nga niveli i privilegjeve të disponueshme. Për ekzekutimin e tij në enklavë, mund të transferohen implementime të algoritmeve të ndryshme të enkriptimit, funksione të përpunimit të çelësave të mbyllur dhe fjalëkalimeve, procedura autentifikimi, kod për të punuar me të dhënat konfidenciale.

Në rastin e kompromitimit të sistemit kryesor, një sulmues nuk do të jetë në gjendje të përcaktojë informacionin e ruajtur në enklavë dhe do të jetë i kufizuar vetëm në ndërfaqen e jashtme programore. Përdorimi i enklavave harduerike mund të konsiderohet si një alternativë për mbrojtjen e llogaritjeve me metoda të bazuara në enkriptimin homoformativ apoprotokollin e llogaritjeve konfidenciale

Burimi: opennet.ru