Microsoft invierte mil millones de dólares anualmente en ciberseguridad y gran parte de esa cantidad va destinada a hacer que Microsoft Azure sea la plataforma en la nube más confiable. La estricta seguridad de los centros de datos físicos, la garantía de la privacidad de los datos, el cifrado de los datos en reposo y en tránsito, los nuevos usos del aprendizaje automático para la detección de amenazas y la utilización de rigurosos controles del ciclo de vida del desarrollo de software operativo hacen que Azure se encuentre a la vanguardia de la seguridad y la privacidad en la nube.

Hoy estoy encantado de anunciar que Microsoft Azure es la primera nube que ofrece nueva funcionalidad de seguridad de los datos con una colección de características y servicios denominada computación confidencial de Azure. Dicho de manera sencilla, la computación confidencial ofrece una protección que, hasta la fecha, ha faltado en las nubes públicas: el cifrado de los datos mientras están en uso. Esto significa que los datos se pueden procesar en la nube con la garantía de que siempre estarán bajo el control del cliente. El equipo de Azure, junto con los equipos de Microsoft Research, Intel, Windows y nuestro grupo de herramientas de desarrollo, lleva más de cuatro años trabajando en tecnologías de hardware y software de computación confidencial. Al final de esta entrada, se incluye una lista de los documentos de Microsoft Research relacionados con la computación confidencial. Hoy avanzamos un paso más en esa posición de vanguardia al ponerla a disposición de los clientes a través de un programa de acceso anticipado.

Prácticamente a diario nos encontramos con noticias de vulneración de datos, donde los atacantes han obtenido acceso a información de identificación personal, datos financieros y propiedad intelectual de empresas. Aunque muchas infracciones son el resultado de un control de acceso mal configurado, en la mayoría se puede hacer un seguimiento que indica que se ha accedido a los datos mientras estaban en uso, ya sea a través de cuentas administrativas o aprovechando claves en peligro para acceder a los datos cifrados. A pesar de las mitigaciones y los controles de ciberseguridad avanzados, algunos clientes son reacios a trasladar sus datos más confidenciales a la nube por temor a ataques cuando los datos están en uso. Con la computación confidencial, pueden mover los datos a Azure sabiendo que están protegidos no solo en reposo, sino también mientras se usan, frente a las siguientes amenazas:

• Usuarios internos malintencionados con privilegios administrativos o acceso directo al hardware en el que se están procesando los datos.
• Hackers y malware que aprovechan errores del sistema operativo, las aplicaciones o el hipervisor.
• Terceros que acceden a los datos sin permiso.

La computación confidencial garantiza que, cuando los datos están “al descubierto” (lo cual es necesario para un procesamiento eficiente), se mantienen protegidos dentro de un entorno de ejecución de confianza (TEE, también conocido como enclave). En la ilustración siguiente se muestra un ejemplo. Los entornos de ejecución de confianza garantizan que no hay forma de ver los datos ni las operaciones desde el exterior, ni siquiera con un depurador. Incluso aseguran que solo se permita el acceso a los datos al código autorizado. Si el código está alterado o modificado, se deniegan las operaciones y se deshabilita el entorno. El entorno de ejecución de confianza aplica estas protecciones durante todo el proceso de ejecución del código que contiene.

Con la computación confidencial de Azure, estamos desarrollando una plataforma que permite a los desarrolladores aprovechar diferentes entornos de ejecución de confianza (TEE) sin tener que cambiar el código. En principio, ofrecemos dos TEE: el modo seguro virtual e Intel SGX. El modo seguro virtual (VSM) es un TEE basado en software que se implementa con Hyper-V en Windows 10 y Windows Server 2016. Hyper-V evita que el código de administrador se ejecute en el equipo o servidor, y que los administradores locales y los administradores de servicios en la nube vean el contenido del enclave VSM y modifiquen su ejecución. También ofrecemos un TEE Intel SGX basado en hardware con los primeros servidores compatibles con SGX en la nube pública. Los clientes que quieran que su modelo de confianza no incluya nada de Azure ni Microsoft pueden aprovechar los TEE SGX. Estamos trabajando con Intel y otros asociados de hardware y software para desarrollar más TEE y los ofreceremos a medida que estén disponibles.

Microsoft ya usa enclaves para protegerlo todo, desde las operaciones financieras de cadena de bloques hasta los datos almacenados en SQL Server y nuestra propia infraestructura en Azure. Aunque ya hemos hablado de nuestro trabajo de cadena de bloques con la computación confidencial, lo que se conoce como Coco Framework, hoy anunciamos el uso de la misma tecnología para implementar el cifrado en uso para Azure SQL Database y SQL Server. Se trata de una mejora de nuestra funcionalidad Always Encrypted, que garantiza que los datos confidenciales de una base de datos SQL estén cifrados en todo momento sin poner en peligro la funcionalidad de las consultas SQL. Para conseguirlo, Always Encrypted delega el proceso de los datos confidenciales en un enclave, donde los datos se descifran y procesan de forma segura. Seguimos usando enclaves en los productos y servicios de Microsoft para garantizar que, sea cual sea el lugar donde sea necesario procesar información confidencial, pueda estar protegida mientras esté en uso.

Además de SQL Server, vemos una extensa aplicación de la computación confidencial de Azure en muchos sectores, como el financiero, la asistencia sanitaria, la inteligencia artificial, etc. En el sector financiero, por ejemplo, los datos de las carteras personales y las estrategias de administración patrimonial ya no estarían visibles fuera de un TEE. Las organizaciones de asistencia sanitaria pueden colaborar compartiendo los datos privados de sus pacientes, como las secuencias genómicas, para obtener información más precisa usando el aprendizaje automático con varios conjuntos de datos sin riesgo de que se filtren datos a otras organizaciones. En el sector del petróleo y el gas, y en los escenarios de IoT, los datos sísmicos confidenciales que representan la propiedad intelectual básica de una corporación se pueden mover a la nube para procesarlos, pero con la protección que ofrece la tecnología de cifrado en uso. 

Los clientes pueden probar la computación confidencial de Azure a través de nuestro programa de acceso anticipado, que incluye el acceso a máquinas virtuales de Azure habilitadas con SGX y VSM, así como herramientas, SDK y soporte técnico de Windows y Linux para que cualquier aplicación en la nube pueda proteger sus datos mientras estén en uso.

Regístrese para participar en el programa de acceso anticipado de la computación confidencial de Azure.

Espero verle en Ignite, donde haré una demostración de los enclaves de Azure. Hay tantas oportunidades y tantos casos de uso que podemos proteger juntos con la nube de Azure, el hardware de Intel y las tecnologías, los servicios y los productos de Microsoft. 

Hoy comienza una nueva y emocionante era de computación segura. Únase a nosotros en Azure mientras creamos este futuro.

- Mark

 

Documentos de Microsoft Research relacionados con la computación confidencial:

• Protección de las aplicaciones frente a una nube no confiable con Haven 
• VC3: Análisis de datos de confianza en la nube con SGX
• Aprendizaje automático que usa varios orígenes y olvida los datos en procesadores de confianza 
• Una metodología de diseño y verificación para regiones aisladas seguras

Vea cómo encaja la computación confidencial dentro de la amplia estrategia de seguridad en la nube de Microsoft en este capítulo de Microsoft Story Labs: Protección de la nube.