Microsoft использует аппаратные функции безопасности в процессорах AMD Epyc для своих конфиденциальных контейнеров, работающих в Azure, в рамках своего продвижения к конфиденциальным вычислениям.
Конфиденциальные контейнеры в Azure Container Instances (ACI), бессерверной платформе конфиденциальных вычислений Microsoft, были выпущены для ограниченной предварительной версии в мае 2022 года, а на этой неделе компания перевела их в общедоступную предварительную версию, предоставив доступ более широкому кругу организаций.
Сервис использует технологию Secure Encrypted Virtualization и Secure Nested Paging (SEV-SNP) в серверных чипах AMD для защиты контейнерных рабочих нагрузок Linux.
«Клиенты Azure все чаще обращаются к облачным контейнерным приложениям для поддержки своих рабочих нагрузок, — написал в блоге Питер Погорски, старший менеджер по продуктам Azure Container. «Однако эти клиенты также ищут варианты облачного хостинга, которые предлагают высочайший уровень защиты данных, что часто требует сложного управления инфраструктурой и опыта».
Конфиденциальные вычисления направлены на защиту данных в то уязвимое время, когда они используются. Данные в состоянии покоя и в движении обычно шифруются; конфиденциальные вычисления шифруют его, когда он используется. Как мы писали в прошлом году, он изолирует конфиденциальные данные и код и предотвращает их доступ к остальной части хост-системы, но, что не менее важно, к внутренним угрозам, внешним злоумышленникам и скомпрометированным ядрам и гипервизорам.
Аппаратная безопасность играет центральную роль в конфиденциальных вычислениях, создавая аппаратную доверенную среду выполнения (TEE) для выполнения вычислений в зашифрованной памяти. Технология SEV-SNP изолирует контейнер от вредоносных гипервизоров и предоставляет управляемый аппаратным обеспечением ключ, уникальный для каждой группы контейнеров, для защиты от таких угроз, как воспроизведение данных, повреждение, переназначение и атаки на основе псевдонимов.
Платформа Microsoft ACI с помощью чипов AMD Epyc, обеспечивающих аппаратную TEE, которая обеспечивает защиту во время выполнения для защиты используемых данных и инициализируемого кода.
«Клиенты могут поднимать и перемещать свои контейнерные приложения Linux или создавать новые приложения для конфиденциальных вычислений, не прибегая к специализированным моделям программирования», — пишет Погорски. «Конфиденциальные контейнеры в ACI могут защитить используемые данные, обрабатывая данные в зашифрованной памяти».
С помощью ACI предприятия могут использовать поддающиеся проверке политики выполнения для проверки целостности рабочей нагрузки, чтобы гарантировать, что ненадежный код не запустится. Поддающиеся проверке политики инициализации гарантируют, что пользователи контролируют программное обеспечение и действия, разрешенные при запуске контейнера, для защиты от злоумышленников, создающих модификации приложений, которые могут привести к утечке данных, а организации могут создавать политики выполнения.
Также существует удаленная гостевая аттестация для проверки надежности группы контейнеров.
ACI обычно используется для таких рабочих нагрузок, как непрерывная интеграция, конвейеры обработки данных и пакетная обработка. Он написал, что с помощью конфиденциальных контейнеров ACI может браться за новостные задания, включая чистые комнаты данных для аналитики и обучения машинному обучению с участием нескольких групп и конфиденциального вывода.
Ожидается, что спрос на конфиденциальные вычисления будет быстро расти по мере роста числа, скорости и сложности кибератак. Об этом пишут аналитики Everest Group. [PDF] что общий адресный рынок в 2021 году составил 2 миллиарда долларов и может расти на 90-95 процентов каждый год до 2026 года, в значительной степени за счет регулируемых отраслей, таких как финансы, банковское дело, здравоохранение и государственный сектор. ®
