关于数据安全:用安全计算保护关键业务

14次阅读

共计 2118 个字符，预计需要花费 6 分钟才能阅读完成。

Linux 基金会旗下的平安计算联盟对平安计算下了一个定义：

Confidential Computing protects data in use by performing computation in a hardware-based Trusted Execution Environment.
Confidential Computing Consortium

在这个定义中强调了这么几点：

1. 平安计算爱护的是运算过程中的数据安全;
2. 平安计算须要借助硬件的能力。

上面就对这两点做一个论述：
在云计算场景，咱们能够把云计算简化为三个局部：数据的传输，数据的运算和数据的存储。

这个三个局部的平安解决方案的残缺度是有差异的。在数据的传输环节，业界有很残缺的平安规范和实现比方 SSL，TLS。在数据存储环节，密码学也提供了十分好的解决方案，咱们能够将数据用失当的形式加密当前保留，避免在存储环节泄密。在数据的运算环节，还没有和其余两个环节那样残缺的解决方案。平安计算正是以解决这个问题为指标的。

咱们以英特尔的 SGX 技术为例来看一下具体的技术计划。

英特尔的 SGX 技术是将 CPU 作为运算的信赖终点，在应用程序中构建平安的运算环境（飞地）。从计算机创造的那一天起，咱们就假如 CPU 会依照软件的指令正确地执行，只是没有强调这一点。在软件大倒退的明天，各种软件在一台硬件上合作运行，整个生态越来越简单，恶意软件也呈现了。为了避免恶意软件的毁坏，CPU 为须要爱护的利用隔离出一个独立的飞地环境。飞地外的利用既不能察看也不能批改飞地中的代码和数据，从而保障了飞地中的数据安全。CPU 对飞地的爱护十分强，即便是领有高特权的操作系统和虚拟化管理软件也无奈冲破这种爱护。事实上，不仅仅能够防软件的攻打，哪怕是外围硬件提供者（比方：主板制造者，内存提供者）都无奈冲破这个爱护。

英特尔 SGX 是目前最成熟的平安计算产品，但并不是惟一的平安计算产品。其余硬件厂商如 AMD，ARM，Nvidia 都在推出平安计算产品。所有这些产品都是软硬件一体的解决方案，总结起来有以下这些特点：

在理解了平安计算的概念后，介绍一些平安计算的典型场景：

有了平安计算环境，用户能够释怀地将利用放到共有云计算环境中，计算中用到的数据和计算的后果都能够加密传输。这样能够对立基础设施的架构，防止简单的混合云部署形式。

云上的数据交易和数据服务也成为了可能。数据领有方和算法提供方能够别离提供数据和算法至平安计算平台实现计算而不必放心秘密泄露的问题。

平安计算也能够促成更多的数据单干。各方数据能够在一个平安的环境中做交融运算，让数据产生更大的价值。

在边缘计算场景中，计算节点部署在非常复杂的环境中，机器不受控。平安计算能够无效地爱护用户数据和隐衷。

平安计算这么多的利用场景，为什么还没有看到大规模部署呢？这是因为平安计算目前还有一个十分大的短板：易用性不强。具体表现为 3 点：

利用宰割难： 将一个现有的利用革新为一个平安计算利用的革新难度很大。须要做代码宰割。

场景部署难： 平安计算是要依靠于硬件的。在理论部署中须要对利用调度零碎做革新。

平安剖析难： 一个利用应用了平安计算是不是就肯定平安了呢？答案是不确定。这须要对整个利用做十分粗疏的平安剖析。

针对这些难题，蚂蚁团体和阿里巴巴团体的工程师提出了独到的解决方案。
首先是解决利用宰割难的问题。

蚂蚁团体开源的 Occlum 我的项目在飞地中开发了 LibOS 适配层，让 Linux 下的利用能够无批改地运行在 SGX 环境中，彻底解决了利用宰割的问题。Occlum 应用 Rust 语言开发，保障内存了安全性；反对多过程和加密文件系统，利用无需批改。
例如：基于蚂蚁团体金融级云原生框架 SOFABoot 开发的利用能够齐全无批改的运行在 Occlum 环境中。

👇网站链接🔗：
https://github.com/occlum/occlum/tree/master/demos/sofaboot

针对部署难的问题，阿里云推出了 Inclavare 开源我的项目。

Inclavare 基于 Occlum，为用户提供了平安计算容器。用户只需将关注的重点放在利用自身即可，Inclavare 会将计算调度至适合的计算节点。
针对平安剖析难，蚂蚁团体的 MORSE 多方平安计算引擎和 MYTF 区块链计算平台别离为不同的计算场景提供了解决方案。用户无需再承当昂扬的平安剖析老本。

蚂蚁团体在平安计算畛域继续投入，用科技的力量来爱护数据安全，爱护用户隐衷，给用户提供更平安的服务。蚂蚁团体开源了 TEE 平安 LibOS Occlum。
用户能够在 https://github.com/occlum/occlum 找到所有的实现代码。用户既能够审查 Occlum 的源代码，以确保整体计划的安全性；也能够参考已有的 demo 来学习 Occlum 的应用办法，疾速上手平安计算。