為了防堵資料外洩的各種可能性,關於機密運算(Confidential Computing)的議題,IT界已經探討了一段時間,其實我們在幾年前就想製作一篇專題報導,然而,個別廠商發布的消息是有的,但還是很難匯聚成系統化的發展脈絡。

但今年不太一樣,關鍵是Arm在3月底宣布推出的新世代v9架構當中,引進了機密運算架構(CCA)的設計,而目前觸角已涵蓋智慧型手機、物聯網設備、雲端服務、伺服器、個人電腦的Arm,若成功推動這樣的架構普及,勢必讓機密運算的覆蓋範圍大幅增加,而基於Arm的市占與影響力越來越大,這的確有可能實現。

另一個讓我們認為是時候談機密運算的事件,是英特爾今年4月發表第三代Xeon Scalable系列處理器,首度將他們發展已久的SGX保護技術,內建到主流伺服器級處理器產品,而競爭廠商AMD則是3月發表第三代EPYC處理器,硬體記憶體加密保護技術SEV的陣容也持續增加。

因此,原本我們製作的方向是,準備從這三大處理器平臺著手,不過,在整理廠商這幾年發表的消息之後,我們決定調整面向,增加雲端服務業者相關服務應用的內容,而Arm在6月接續發布更多關於CCA架構的消息,當然也是這個專題所不能忽略的部份,於是形塑了這個專題報導的面貌,你可以看到,我們對於雲服務業者推出的服務著墨較多,兩大處理器廠商的相關動態則融入其中,而後起之秀Arm我們則是獨立介紹。

在機密運算的應用上,我們也注意到許多廠商不斷提及:保護「正在使用的資料(Data in Use)」是重要的。但這類應用需求並非近期才有!早年資料外洩預防(DLP)解決方案當紅時,很多廠商經常提及資料的三種狀態:儲存中的資料(Data at Rest)、傳輸中的資料(Data in Motion)、使用中的資料(Data in Use),若導入這樣的資安防護系統,我們還有需要去發展機密運算嗎?

關於這個疑問,我們請教熟悉DLP產品的微軟資安產品行銷經理張士龍。他說,機密運算是一種硬體啟動式的加密技術,要透過唯一的Token才能夠使用,所以有可能限制普及性與便利性; DLP 主要是透過內容來進行偵測,所以沒有金鑰管理的問題,換言之,只要內容符合規範,都可以正常使用。關於這兩種形態的資料保護應用場景,他認為,對於固定服務或裝置,可用機密運算來保護;但對於資料變動程度較大或較難固定使用對象的狀況,DLP或許較適合。

而目前鼓吹機密運算的雲端服務廠商,之所以要側重保護正在使用的資料,其實,也是因為在公有雲環境當中,在儲存加密、網路連線加密的技術上,相對成熟而普及,但虛擬機器、容器這些工作負載的防護,大多都是操之在用戶手上,若有駭客或惡意程式趁機潛入其中,趁機取得高系統權限,就有可能窺伺或竄改其他執行個體、虛擬機器、容器所存取的資料。

面對人多手雜的問題,IBM Cloud提出的管理概念值得大家深思。他們認為,原本從維運上保證(Operational Assurance)用戶資料安全的傳統作法,應該要改為從技術上保證(Technical Assurance)去確保用戶資料安全,系統管理人員只能執行技術上的控制手段,而且要從技術上去反證自己看不見經手的資料內容,若要達成這樣的程度,企業對資料加密的應用勢必要更徹底,而且落實應用程式執行時期的隔離。

觀念上是如此,不論企業最終是否決定採用或認可機密運算,身為IT人員,我們還是必須想想已做到多少?所儲存的資料真的都有加密嗎?透過網路傳輸資料時,都有加密嗎?要如何堵住這些破口?單靠耳提面命宣導,恐怕效果有限,還是要設法從許多層面去縮減這些可能的風險。

 相關報導   機密運算大解析

專欄作者

熱門新聞

Advertisement