两大处理器厂商陆续投入机密运算.docx

《两大处理器厂商陆续投入机密运算.docx》由会员分享，可在线阅读，更多相关《两大处理器厂商陆续投入机密运算.docx（7页珍藏版）》请在第一文库网上搜索。

1、OperationaAdminWiI1notQCCWBaSedon: Trust(externa1 Visibi1ity(audit Contro1(crypto.andifwewou1dycpu11thep1ug.DataServiceAdminaObjectsOtects岛CustomerTechContro1s两大处理器厂商陆续投入机密运算在2018年1月，Goog1e的ProjectZero团队揭露震惊IT界的信息安全漏洞，那就是目前许多处理选普遍采用的推测执行技术(specu1ativeexecution),虽然用于改善运算效能，但可能会导致严重的信息安全漏洞，也就是众所周知的SPe

2、etre与MeItdOwn,而这项漏洞影响的处理器匚商，主要有英特尔、AMDArm,其中又以英特尔受到最大的责难压力。这几年以来，虽然三家厂商都在持续关注与修补，直到2023年下半，相关风波才逐渐平息，但从此之后，处理器是否具有信息安全漏洞、如何缓解，已成为IT界发展各式应用的重大隐忧。而这样的漏洞危机，在2019年9月，也促使机密运算联盟(Confidentia1ComputingConsortium)的成立。Technica1AssuranceitAdminCannotaccessyourdataBaSedon: Technica1proof DataEncryption RuntimeI

3、so1ation.andweprovethatitistechnica11yimpossib1e.【机密运算下的IT角色变化】右侧是传统的IT服务模式，系统管理人员在面对IT基础架构时，着重的是维运，对于数据存取的保证，是基于信任、透明度、控制；左侧则是机密运算所要达成的目标，为了因应数据外泄日益严重的态势，系统管理人员可以从技术的角度来确保他们无法接触到数据内容。两大处理器厂商陆续投入机密运算在爆发上述漏洞危机前，处理器厂商已陆续发展出相关的硬件防护技术，希望实现可信任执行环境(TrUS生dExecutionEnvironment,TEE)J。英特尔SGX英特尔在2013年推出的软件防护扩充

4、指令集（SoftwareGuardExtensions,SGX）,首度应用的产品,是2015年登场的SkyIake架构第6代Core桌面计算机与笔电处理器，以及工作站与服务器等级的处理器Xeor1E3v5系列，同年11月开始支持Wi支OWS1O操作系统。来年英特尔推出SGXSDKfor1inUXOS15版，提供1inUX操作系统支持，而2017年及A信息安全大会期间，英特尔也发布消息，强调SGX可以保护正在使用的资料（Datainuse）o后续推出的XeonE系列也内建SGX2018年11月推出XeonE-2100系列，2019年11月初推出XeonE-2200系列）。到了2019年2月举行的

5、RSA大会，英特尔展出专属适配卡产品SGXCardo在2023年4月发表的第三代XeOnSCaIabIe系列，全面支持SGX,象征该公司的机密运算技术，跻身主流服务器平台，可望带动更多云端服务业者、软件厂商、企业的研发与建置使用。AMDSEV另一家处理器厂商AMD,则是在2013、2014年推出的APU处理器，增添了平台安全处理器（PIatformSecurityProcessor,PSP）,而能以此支持可信任执行环境的应用方式PSP是基于AnnCorte-A5核心而成，里面提供了TrustZone进阶数据防护技术。到了2017年以后，他们推出Zen架构的PC与服务器处理器，又增添了硬件内存加

6、密技术在处理器当中，包含了嵌入内存控制器的AES-128硬件加密引擎，以及专属的安全处理器AMDSecureProcessor（AMD-SP,也就是上述的PSP）,而结合两者之后，也促成了安全内存加密（SME）,以及安全加密虚拟化（SEV）这两大新防护技术。以服务器处理器为例，AMD在2017年6月发表的第一代EPYC（7001系列）开始内建SME与SEV。两种技术有何异同？共通点在于，应用程序不需修改即可使用，而两者的差异在于：SME用于单支密钥的防护，在系统开机时产生密钥，若需启用这项防护，是从B皿或操作系统来着手；SEV是用于多支密钥的防护（每台虚拟机或每个虚拟化平台配置单支密钥），由A

7、MD-SP与HyPerViSor来管理密钥，若需启用这项防护，是从HyPerViSor与虚拟机执行的操作系统来着手。同年11月，1inux系统核心4.14版开始支持SEV。2019年8月AMD推出第二代EPYC（7002系列），公有云业者GCP看好SEV,而在来年7月运用这款处理器，推出该公司首款机密VM服务N2D系列。而由于第二代EPYC增设了安全加密虚拟化一加密状态技术（SEV-ES）,相较于SEV是针对虚拟机的内存存取提供加密保护，SEV-ES则会进一步对CPU的缓存器执行加密，为此，AMD也寻求与其他IT厂商合作，希望能够发展相关应用。结果率先支持的是VMWare,在2023年9月，他

8、们宣布服务器虚拟化平台vSphere的7.OUpdate1版,将支援SEV-ES；2023年3月VSPhere7.0Update2登场，VMware运用SEV-ES来提供Confidentia1vSpherePod的功能，可促使虚拟机内存持续处于加密状态，以便防护从HyPerViSOr层发动的恶意存取行为。2023年3月他们发表第三代EPYC（7003系列），GCP也宣布将基于这款处理器推出C2D系列实例服务，并比照现行的N2D系列，使其同时支持一般用途与机密运算的VM服务。此外，第三代EPYC处理器又继续扩充SEV技术阵容，AMD加入安全加密虚拟化一安全巢状内存分页技术（SEV-SNP）,当

9、中新增内存完整性防护功能，可针对从HyPerViSor层建立隔离执行环境的恶意攻击手法，提供预防机制。但截至目前为止，尚无公有云与系统软件针对这项新特色提供应用上的支持与合作。而在上述x86平台之外，IBM大型主机系统、Arm等处理器平台，也强化机密运算相关功能，希望能以此延伸或扩大应用场景。Privacy-PreservingComputationHomomorphicEncryptionMu1ti-PartyComputation/TrustedExecutionEnvironmentsHardwareTEEs【机密运算相关技术涵盖与区分】关于各种保护正在使用的数据(Datainuse)J

10、的技术，由多家IT厂商组成的机密运算联盟针对产业的相关用语做了相关调查，产生了上面的关系图。而这样的呈现，也显示大家看待机密运算应用的不同与共通角度。公有云陆续推出机密运算服务，期吩大幅提升数据安全发展与推动机密运算技术的最主的理由，在于保护正在使用的数据，而拥有庞大、多样工作负载的公有云服务环境，毫无意外地，成为当前投入态度最为积极的应用场域。像是微软AZUre、IBMC1oud、GCP,都陆续推出实例服务，他们搭配的运算平台，大多是上述的英特尔内建SGX的Xeon处理器，以及AMDEPYC处理器，而这些都是可以支持一般用途的服务器处理器平台。这意味着，其他云端服务业者也能跟进这样的策略，推

11、出同类型服务，而随着基础系统软件平台的支持，这些业者若要推出机密运算实例服务，应该不会有太高的进入门坎。因此，各家云服务业者应该要思考的是，如何突显本身技术对于支持这类应用的竞争优势，甚至是必须发展更多元的周边延伸应用，或以此来替旗下其他云服务与数据处理软件加值。以目前来看，微软在这方面的发展，己做出不错的示范。而在运算平台的多样性而言，我们看到IBMC1OUe1由于身兼大型主机系统厂商，因此，他们先是发展与提供基于这种架构的机密运算保护机制，后续也与其他机密运算应用厂商合作，搭配回ISGX来提供解决方案，在2023年11月，也展示红帽OpenShift与AMDSEV之间的整合应用。而此举让我

12、们想到，另一家公有云业者GCP也有类似举动，在2023年10月,他们宣布推出Confidentia1GKENOdeS预览版,显然容器、Kubernetes会是下一个兵家必争之地。至于公有云业者的龙头AWS,作法与众不同，在2023年10月，他们推出NitroEnCIaVeS的延伸应用，用户可以此针对基于NitrOSystem而成的EC2实例，建立隔离环境，运作上，NitroEnCIaVeS会从原本的EC2实例当中，透过额外的处理器与内存分割来提供隔离区。GENERA11YAVAI1AB1EHardwareEnc1aveswithInte1SGX7justtrustmyappcodeandthe

13、chip.n1IMITEDPREVIEWHardwareConfidentia1VMswitAMDSev-SNPuMicrosoftcannottouchmystuffinmyVM.99PUB1ICPREVIEWTrusted1aunchVMsuOn1yknown,trustedcodeIsrunningonmyVM.n【微软提供3种机密运算VM,横跨两大处理器平台】微软发布他们可提供的3种机密运算实例服务，当中囊括IrIteISGX、AMDSEV等两大内存加密技术。关于这类服务的应用定位为何这样画分，微软表示，英特尔较早推出这类技术，目前功能涵盖更为周延，而AMD则是在特色与价格有所区隔。编辑：黄飞