Linux基金会 关于成立财团 ，旨在开发与安全内存处理和机密计算相关的开放技术和标准。阿里巴巴、Arm、百度、谷歌、IBM、英特尔、腾讯和微软等公司已经加入了该联合项目，它们打算在一个中立的平台上合作，开发在计算过程中隔离内存数据的技术。
最终目标是提供支持加密形式数据处理的整个周期的方法，而无需在各个阶段查找开放形式的信息。该联盟感兴趣的领域主要包括与在计算过程中使用加密数据相关的技术，即隔离飞地的使用、 、操纵内存中的加密数据以及完全隔离内存中的数据（例如，防止主机系统管理员访问客户系统内存中的数据）。
以下项目已作为机密计算联盟的一部分转移进行独立开发：
- 英特尔移交继续联合开发
使用技术的组件 Linux 上的（Software Guard Extensions），包括带有一组工具和库的 SDK。 SGX建议使用一组特殊的处理器指令将私有内存区域分配给用户级应用程序，其内容被加密，即使内核和运行在ring0、SMM和VMM模式下的代码也无法读取或修改； - 微软移交框架 ，允许您使用单个 API 和抽象 enclave 表示为各种 TEE（可信执行环境）架构创建应用程序。使用 Open Enclav 准备的应用程序可以在具有不同 enclave 实现的系统上运行。在 TEE 中，当前仅支持 Intel SGX。支持 ARM TrustZone 的代码正在开发中。关于支持 、AMD PSP（平台安全处理器）和AMD SEV（安全加密虚拟化）未报告。
- 红帽移交项目 ，它提供了一个抽象层，用于创建通用应用程序在支持各种TEE环境的飞地中运行，独立于硬件架构并允许使用各种编程语言（使用基于WebAssembly的运行时）。该项目目前支持 AMD SEV 和 Intel SGX 技术。
在被忽视的类似项目中，我们可以注意到框架 ，主要是由Google工程师开发的，但是 官方支持的 Google 产品。该框架允许您轻松调整应用程序，将一些需要增强保护的功能移至受保护的飞地一侧。 Asylo 的硬件隔离机制中，仅支持 Intel SGX，但也可以使用基于虚拟化形成 enclave 的软件机制。
回想一下，飞地（，可信执行环境）涉及处理器提供一个特殊的隔离区域，它允许您将应用程序和操作系统的部分功能移动到一个单独的环境中，其中的内存内容和可执行代码无法从主处理器访问系统，无论可用的权限级别如何。为了执行它们，各种加密算法的实现、用于处理私钥和密码的函数、身份验证过程以及用于处理机密数据的代码可以移动到飞地。
如果主系统遭到破坏，攻击者将无法确定存储在 enclave 中的信息，并且仅限于外部软件接口。可以将硬件飞地的使用视为使用基于硬件飞地的方法的替代方案 加密或 ，但与这些技术不同的是，飞地实际上对机密数据的计算性能没有影响，并且显着简化了开发。
来源： opennet.ru