IBM、Google、微軟和英特爾結盟開發開放資料保護技術

Linux基金會 宣布了 關於成立財團 機密計算聯盟，旨在開發與安全記憶體處理和機密計算相關的開放技術和標準。 阿里巴巴、Arm、百度、谷歌、IBM、英特爾、騰訊和微軟等公司已經加入了這個聯合項目，它們打算在一個中立的平台上合作，開發在計算過程中隔離記憶體資料的技術。

最終目標是提供支援加密形式資料處理的整個週期的方法，而無需在各個階段查找開放形式的資訊。 該聯盟感興趣的領域主要包括與在計算過程中使用加密資料相關的技術，即隔離飛地的使用、 多方計算、操縱記憶體中的加密資料以及完全隔離記憶體中的資料（例如，防止主機系統管理員存取客戶系統記憶體中的資料）。

以下項目已作為機密計算聯盟的一部分轉移進行獨立開發：

• 英特爾移交繼續聯合開發 以前打開過
  使用技術的組件 SGX Linux 上的（Software Guard Extensions），包括帶有一組工具和庫的 SDK。 SGX建議使用一組特殊的處理器指令將私有記憶體區域分配給用戶級應用程序，其內容被加密，即使核心和運行在ring0、SMM和VMM模式下的程式碼也無法讀取或修改；

• 微軟移交框架 開放飛地，允許您使用單一 API 和抽象 enclave 表示為各種 TEE（可信任執行環境）架構建立應用程式。 使用 Open Enclav 準備的應用程式可以在具有不同 enclave 實作的系統上運行。 在 TEE 中，目前僅支援 Intel SGX。 支援 ARM TrustZone 的程式碼正在開發中。 關於支持 拱心石、AMD PSP（平台安全處理器）和AMD SEV（安全加密虛擬化）未報告。
• 紅帽移交項目 埃納爾克斯，它提供了一個抽象層，用於創建通用應用程式在支援各種 TEE 環境的 enclave 中運行，獨立於硬體架構並允許使用各種程式語言（使用基於 WebAssembly 的運行時）。 該專案目前支援 AMD SEV 和 Intel SGX 技術。

在被忽視的類似項目中，我們可以注意到框架 庇護，主要是由Google工程師開發的，但是 不是 官方支援的 Google 產品。 該框架可讓您輕鬆調整應用程序，將一些需要增強保護的功能移至受保護的飛地一側。 Asylo 的硬體隔離機制中，僅支援 Intel SGX，但也可以使用基於虛擬化形成 enclave 的軟體機制。

回想一下，飛地（三通，可信任執行環境）涉及處理器提供一個特殊的隔離區域，它允許您將應用程式和作業系統的部分功能移動到一個單獨的環境中，其中的記憶體內容和可執行程式碼無法從主處理器訪問系統，無論可用的權限等級為何。 為了執行它們，各種加密演算法的實作、用於處理私鑰和密碼的函數、身份驗證過程以及用於處理機密資料的程式碼可以移動到飛地。

如果主系統遭到破壞，攻擊者將無法確定儲存在 enclave 中的信息，並且僅限於外部軟體介面。 硬體飛地的使用可以被視為使用基於硬體飛地的方法的替代方案 同態 加密或 機密計算協議，但與這些技術不同的是，飛地實際上對機密資料的運算效能沒有影響，並且顯著簡化了開發。

來源： opennet.ru