El pasado mes de septiembre, tuve el privilegio de anunciar públicamente nuestro trabajo de computación confidencial en Azure, con lo que Microsoft Azure se convirtió en la primera plataforma en la nube en habilitar nuevas características de seguridad que protegen los datos de los clientes mientras están en uso. El equipo de Azure, Microsoft Research, Intel, Windows y nuestro grupo de herramientas de desarrollo han estado trabajando juntos para incorporar entornos de ejecución de confianza (TEE), como Intel SGX y la seguridad basada en la virtualización (VBS, antes conocida como el modo seguro virtual) en la nube. Los entornos de ejecución de confianza (TEE) protegen los datos que se procesan frente al acceso desde fuera del TEE. Ahora podemos compartir más detalles sobre nuestra visión de nube confidencial y el trabajo que hemos realizado desde aquel anuncio.

Muchas empresas están moviendo sus datos y cargas de trabajo críticas a la nube y, en muchos casos, las ventajas de seguridad que proporcionan las nubes públicas están acelerando esa adopción. International Data Corporation (IDC) llevó a cabo el estudio 2017 CloudView, donde detectó que la “mejora de la seguridad” era uno de los principales impulsores para que las empresas migraran a la nube. Sin embargo, la preocupación por la seguridad sigue siendo un impedimento frecuente para mover escenarios de datos e IP extremadamente confidenciales a la nube. La Alianza de Seguridad en la Nube (CSA, por sus siglas en inglés) publicó recientemente la versión más reciente de su informe Doce amenazas traicioneras de la informática en la nube. No es de extrañar que la vulneración de datos estuviera entre las principales amenazas de la nube. Además, incluyeron tres preocupaciones más relacionadas con la seguridad de los datos, en concreto, las vulneraciones causadas por vulnerabilidades del sistema, usuarios internos malintencionados y vulnerabilidades de la tecnología compartida.

La computación confidencial de Azure tiene como objetivo proteger los datos mientras se procesan en la nube. Es la piedra angular de nuestra visión de “nube confidencial”, que incluye los siguientes principios:

• Se mitigan las principales amenazas de vulneración de datos.
• Los datos están totalmente bajo el control del cliente, independientemente de si están en reposo, en tránsito o en uso, e incluso si la infraestructura no lo está.
• El código que se ejecuta en la nube está protegido y el cliente puede comprobarlo.
• Los datos y el código son opacos para la plataforma en la nube o, dicho de otro modo, la plataforma en la nube está fuera de la base de computación de confianza.

Aunque actualmente esta tecnología se puede aplicar a un subconjunto de escenarios de procesamiento de datos, tenemos previsto que, a medida que avance, se convierta en el nuevo estándar para todo el procesamiento de datos, tanto en la nube como en el perímetro.

Para hacer realidad esta visión, debemos innovar en el hardware, el software y los servicios que admiten la computación confidencial:

1. Hardware: en los últimos años, hemos colaborado estrechamente con asociados fabricantes de microchips para agregar características que aíslen las aplicaciones durante el proceso y para que estén accesibles en varios sistemas operativos. Gracias a esta estrecha colaboración, podemos poner a disposición de los clientes las últimas innovaciones en enclaves seguros de Intel a medida que están listas.

   Nos complace anunciar la disponibilidad de la última generación de procesadores Intel Xeon con la tecnología Intel SGX en la región Este de EE. UU. de Azure. Tendrá acceso a características basadas en hardware y funcionalidad en la nube antes de que estén disponibles de forma general en el entorno local.

2. Proceso: hemos ampliado nuestra plataforma de proceso de Azure para implementar y administrar las instancias de proceso que se habiliten con entornos TEE.

   Hemos incorporado una nueva familia de máquinas virtuales (serie DC) que incluyen la última generación de procesadores Intel Xeon con la tecnología Intel SGX. Con esta versión, puede ejecutar en la nube aplicaciones habilitadas para SGX con el fin de proteger la confidencialidad y la integridad del código y los datos.

3. Desarrollo: estamos trabajando en estrecha colaboración con asociados para impulsar una API para Windows y Linux que es coherente entre diversos TEE, basados tanto en hardware como en software, de modo que el código confidencial de las aplicaciones sea portable. Además, estamos trabajando en la funcionalidad de las herramientas y la depuración para desarrollar y probar aplicaciones confidenciales.

   Puede crear aplicaciones de C/C++ con el SDK de Intel SGX y API de enclaves adicionales.

4. Atestación: la comprobación de la identidad del código que se ejecuta en TEEs es necesaria para establecer la confianza con ese código para determinar si se van a liberar los secretos. Estamos colaborando con fabricantes de microchips para diseñar y hospedar servicios de atestación que hagan que la verificación sea sencilla y de alta disponibilidad.

5. Servicios y casos de uso: las máquinas virtuales constituyen el bloque de creación sobre el que se habilitan nuevos escenarios y casos de uso empresariales seguros. En todo Microsoft trabajamos activamente para desarrollar servicios y productos que aprovechen la computación confidencial, como los siguientes:
   1. Protección de la confidencialidad e integridad de los datos con la característica Always Encrypted de SQL Server.
   2. Creación de una red distribuida de confianza entre un conjunto de participantes que no son de confianza con el marco Confidential Consortium Blockchain Framework, para obtener redes de cadena de bloques altamente escalables y confidenciales.
   3. Combinación confidencial de varios orígenes de datos para habilitar escenarios de aprendizaje automático con varios orígenes.

6. Investigación: Microsoft Research trabaja en estrecha colaboración con el equipo de Azure y asociados fabricantes de microchips para identificar y evitar vulnerabilidades en los entornos de ejecución de confianza (TEE). Por ejemplo, estamos investigando activamente técnicas avanzadas para proteger la aplicación de TEE con el fin de evitar la filtración de información fuera del TEE, ya sea de forma directa o indirecta. Comercializaremos el resultado de esta investigación en forma de herramientas y entornos de ejecución para el desarrollo de código confidencial.

Puede registrarse hoy mismo para acceder a la versión preliminar y empezar a trabajar con nuestra plataforma, el software, las herramientas y la comunidad de desarrolladores de computación confidencial.  Únase a nosotros en la creación de aplicaciones y servicios en la nube que mitiguen las “amenazas traicioneras de la informática en la nube”. Esperamos recibir sus comentarios y colaborar con usted para construir el futuro de la computación confidencial en la nube.