Organisation Linux fundament om bildandet av ett konsortium , som syftar till att utveckla öppna tekniker och standarder relaterade till säker bearbetning i minnet och konfidentiell datoranvändning. Det gemensamma projektet har redan fått sällskap av företag som Alibaba, Arm, Baidu, Google, IBM, Intel, Tencent och Microsoft, som har för avsikt att arbeta tillsammans på en neutral plattform för att utveckla teknologier för att isolera data i minnet under beräkningsprocessen.
Det slutliga målet är att tillhandahålla medel för att stödja hela cykeln av databehandling i krypterad form, utan att hitta information i öppen form i enskilda steg. Konsortiets intresseområde omfattar i första hand teknologier relaterade till användningen av krypterad data i beräkningsprocessen, nämligen användningen av isolerade enklaver, protokoll för , manipulering av krypterad data i minnet och fullständig isolering av data i minnet (till exempel för att förhindra värdsystemadministratören från att komma åt data i gästsystems minne).
Följande projekt har överförts för oberoende utveckling som en del av Confidential Computing Consortium:
- Intel lämnade över för fortsatt gemensam utveckling
komponenter för att använda teknik (Software Guard-tillägg) i Linux, inklusive ett SDK med en uppsättning verktyg och bibliotek. SGX erbjuder en uppsättning speciella processorinstruktioner för att allokera privata minnesområden till applikationer på användarnivå. Innehållet i dessa områden är krypterat och kan inte läsas eller modifieras ens av kärnan och kod som körs i ring0-, SMM- och VMM-lägen. - Microsoft överlämnade ramverket , så att du kan skapa applikationer för olika TEE-arkitekturer (Trusted Execution Environment) med ett enda API och abstrakt enklavrepresentation. En applikation förberedd med Open Enclav kan köras på system med olika enklavimplementationer. Av TEE:erna stöds för närvarande endast Intel SGX. Kod för att stödja ARM TrustZone är under utveckling. Om support , AMD PSP (Platform Security Processor) och AMD SEV (Secure Encryption Virtualization) rapporteras inte.
- Red Hat lämnade över projektet , som tillhandahåller ett abstraktionslager för att skapa universella applikationer för att köras i enklaver som stöder olika TEE-miljöer, oberoende av hårdvaruarkitekturer och tillåter användning av olika programmeringsspråk (WebAssembly-baserad körtid används). Projektet stöder för närvarande AMD SEV- och Intel SGX-teknologier.
Bland de förbisedda liknande projekten kan vi notera ramverket , som huvudsakligen utvecklas av Googles ingenjörer, men en officiellt stödd Google-produkt. Ramverket låter dig enkelt anpassa applikationer för att flytta en del av den funktionalitet som kräver ökat skydd till sidan av en skyddad enklav. Av hårdvaruisoleringsmekanismerna i Asylo är det bara Intel SGX som stöds, men en mjukvarumekanism för att bilda enklaver baserade på användandet av virtualisering är också tillgänglig.
Kom ihåg att enklaven (, Trusted Execution Environment) innebär att processorn tillhandahåller ett speciellt isolerat område, vilket gör att du kan flytta en del av funktionaliteten hos applikationer och operativsystem till en separat miljö, där minnesinnehållet och den körbara koden är otillgängliga från huvudet. systemet, oavsett nivån på tillgängliga privilegier. För deras exekvering kan implementeringar av olika krypteringsalgoritmer, funktioner för behandling av privata nycklar och lösenord, autentiseringsprocedurer och kod för att arbeta med konfidentiell data flyttas till enklaven.
Om huvudsystemet äventyras kommer angriparen inte att kunna avgöra vilken information som lagras i enklaven och begränsas endast till det externa mjukvarugränssnittet. Användningen av hårdvaruenklaver kan övervägas som ett alternativ till användningen av metoder baserade på kryptering eller , men till skillnad från dessa teknologier har enklaven praktiskt taget ingen effekt på prestandan för beräkningar med konfidentiella data och förenklar utvecklingen avsevärt.
Källa: opennet.ru
