昨天，Linux基金會(huì)宣布多家巨頭企業(yè)組建“機(jī)密計(jì)算聯(lián)盟”（Confidential Computing Consortium），該基金將負(fù)責(zé)對(duì)聯(lián)盟活動(dòng)進(jìn)行監(jiān)督。機(jī)密計(jì)算聯(lián)盟專門(mén)針對(duì)云服務(wù)及硬件生態(tài)，致力于保護(hù)計(jì)算數(shù)據(jù)安全。聯(lián)盟創(chuàng)始成員包括阿里巴巴、Arm、百度、谷歌云、IBM、英特爾、微軟、紅帽、瑞士通和騰訊，不包括全球最大的云服務(wù)器運(yùn)營(yíng)商亞馬遜。
隨著云計(jì)算及人工智能技術(shù)的發(fā)展，云辦公、云筆記、圖文云處理等應(yīng)用使人們的工作和生活更加便捷。同時(shí)，人們對(duì)于數(shù)據(jù)隱私的擔(dān)憂也由此升級(jí)。越來(lái)越多的商業(yè)機(jī)密、人臉指紋等特征數(shù)據(jù)被存儲(chǔ)在云上，這能讓我們長(zhǎng)久放心嗎？
機(jī)密計(jì)算聯(lián)盟致力于解決這一問(wèn)題。該聯(lián)盟積極尋求基于硬件和軟件的技術(shù)解決方案，用以在處理計(jì)算機(jī)內(nèi)存時(shí)隔離用戶數(shù)據(jù)。通過(guò)機(jī)密計(jì)算方案，敏感數(shù)據(jù)能免于被暴露給其他應(yīng)用程序、操作系統(tǒng)或者服務(wù)器租用者。
目前，聯(lián)盟主要的策略方法是可信執(zhí)行環(huán)境（Trusted Execution Environment，簡(jiǎn)稱TEE）技術(shù)方案。英特爾、微軟、紅帽還圍繞此方案共享了開(kāi)源工具。
一、用可信執(zhí)行環(huán)境技術(shù)保護(hù)計(jì)算安全
支持機(jī)密計(jì)算實(shí)踐的最簡(jiǎn)單方法是利用TEE，TEE是相對(duì)于普通執(zhí)行環(huán)境（RichExecution Environment，簡(jiǎn)稱REE）來(lái)說(shuō)的。
REE包括運(yùn)行在通用的嵌入式處理器上的普通操作系統(tǒng)及其上的客戶端應(yīng)用程序。盡管人們?cè)赗EE中采取了很多諸如設(shè)備訪問(wèn)控制、設(shè)備數(shù)據(jù)加密機(jī)制、應(yīng)用運(yùn)行時(shí)的隔離機(jī)制、基于權(quán)限的訪問(wèn)控制等安全措施，仍無(wú)法保證敏感數(shù)據(jù)的安全性。
TEE是運(yùn)行于普通操作系統(tǒng)之外的獨(dú)立運(yùn)行環(huán)境，其向一般操作系統(tǒng)提供安全服務(wù)并且與普通操作系統(tǒng)隔離。普通操作系統(tǒng)及其上的應(yīng)用程序無(wú)法直接訪問(wèn)TEE的硬件和軟件資源。TEE技術(shù)方案可以為不安全的操作系統(tǒng)提供安全的服務(wù)。
TEE技術(shù)通常用于云計(jì)算。在云計(jì)算中，一臺(tái)服務(wù)器會(huì)被多個(gè)客戶分享，面對(duì)數(shù)據(jù)處理的風(fēng)險(xiǎn)，云服務(wù)提供商用TEE技術(shù)來(lái)保護(hù)這些數(shù)據(jù)。
其實(shí)，除了云計(jì)算，許多普通的應(yīng)用程序也可以使用TEE技術(shù)方案。例如，如果想保護(hù)智能手機(jī)上的機(jī)密數(shù)據(jù)，可以用TEE技術(shù)來(lái)隔離指紋的采集、存儲(chǔ)、驗(yàn)證等過(guò)程，即使手機(jī)被越獄或Root，攻擊者也無(wú)法獲取指紋數(shù)據(jù)。
推進(jìn)TEE技術(shù)的使用將是機(jī)密計(jì)算聯(lián)盟的主要目標(biāo)之一。通過(guò)為T(mén)EE技術(shù)提供開(kāi)源工具、建立監(jiān)管標(biāo)準(zhǔn)以及在其客戶和開(kāi)發(fā)人員社區(qū)中開(kāi)展教育活動(dòng)，聯(lián)盟成員都可以幫聯(lián)盟實(shí)現(xiàn)目標(biāo)。
二、英特爾、微軟、紅帽共享開(kāi)源工具
除了宣布機(jī)密計(jì)算聯(lián)盟的成立，英特爾、微軟和紅帽將為聯(lián)盟共享三種開(kāi)源工具。多年以來(lái)，這幾個(gè)工具一直是開(kāi)放的開(kāi)源項(xiàng)目。但是據(jù)稱，在這些開(kāi)源工具貢獻(xiàn)出來(lái)之后，它們的開(kāi)發(fā)主導(dǎo)權(quán)就屬于聯(lián)盟，而不是原主人了。這三款工具分別是：
1、英特爾軟件保護(hù)擴(kuò)展開(kāi)發(fā)套件（Intel? Software Guard Extensions Software Development Kit）。這款套件是為了幫助應(yīng)用開(kāi)發(fā)者保護(hù)所選擇的代碼和數(shù)據(jù)，避免代碼和數(shù)據(jù)在硬件層次被泄露或修改。
2、微軟開(kāi)放飛地軟件開(kāi)發(fā)套件（Microsoft Open Enclave SDK）?！帮w地”也是TEE技術(shù)的別稱。這是一個(gè)開(kāi)源框架，允許開(kāi)發(fā)者通過(guò)建立抽象的TEE技術(shù)，進(jìn)而一次構(gòu)建跨多個(gè)TEE體系結(jié)構(gòu)運(yùn)行的應(yīng)用程序。
3、紅帽Enarx。為T(mén)EE方案提供一個(gè)虛擬的平臺(tái)，以支持創(chuàng)建和運(yùn)行“私有”、“可替換”、“無(wú)服務(wù)器備份”的應(yīng)用程序。
作為云計(jì)算領(lǐng)域的專家，中宜云控專注于大數(shù)據(jù)價(jià)值服務(wù)平臺(tái)建設(shè)，致力于保護(hù)企業(yè)的數(shù)據(jù)安全，促進(jìn)產(chǎn)業(yè)升級(jí)，為經(jīng)濟(jì)增長(zhǎng)注入新動(dòng)力！
聯(lián)系客服
