• 3 min read

Azure Confidential Computing

By Mark Russinovich, Chief Technology Officer and Technical Fellow, Microsoft Azure
Letzten September durfte ich mit großer Freude „Azure Confidential Computing“ öffentlich ankündigen. Hiermit wurde Microsoft Azure zur ersten Cloudplattform, die neue Funktionen für die Datensicherheit bietet, die...

Letzten September durfte ich mit großer Freude Azure Confidential Computing öffentlich ankündigen. Hiermit wurde Microsoft Azure zur ersten Cloudplattform, die neue Funktionen für die Datensicherheit bietet, die Kundendaten schützen, während diese verwendet werden. Das Azure-Team hat sich mit Microsoft Research, Intel, Windows und unserer Gruppe für die Entwicklertools zusammengeschlossen, um Trusted Execution Environments (TEEs) wie Intel SGX und die virtualisierungsbasierte Sicherheit (VBS, früher als virtueller sicherer Modus bezeichnet) in der Cloud verfügbar zu machen. TEEs schützen Daten während der Verarbeitung vor Zugriffen von außerhalb der TEE. Nun möchten wir die Gelegenheit ergreifen und mehr über unsere Vision einer vertraulichen Cloud sowie über die Bereiche erzählen, an denen wir seit der letzten Ankündigung gearbeitet haben.

Viele Unternehmen verlagern ihre unternehmenskritischen Workloads und Daten in die Cloud, und die Sicherheitsvorteile, die öffentliche Clouds bieten, beschleunigen diesen Trend oftmals. In der Studie „CloudView“ aus dem Jahr 2017 hat die International Data Corporation (IDC) herausgefunden, dass eine höhere Sicherheit für Unternehmen eine der häufigsten Motivationen hinter einer Migration in die Cloud war. Ebenso stellen Sicherheitsbedenken jedoch weiterhin eines am häufigsten genannten Hindernisse für eine Cloudmigration von geistigem Eigentum und Daten dar, wenn die Inhalte als höchstvertraulich eingestuft werden. Die Cloud Security Alliance (CSA) veröffentlichte vor Kurzem die neueste Version des Berichts Die tückischen 12 Bedrohungen für das Cloud Computing. Es überrascht kaum, dass Datenpannen darin neben Sicherheitsverletzungen aufgrund von systemischen Sicherheitsrisiken, Insiderangriffen und Sicherheitsrisiken durch freigegebene Technologien zu den größten Cloudbedrohungen gezählt werden.

Azure Confidential Computing ist drauf ausgelegt, Daten während der Verarbeitung in der Cloud zu schützen, und stellt somit den Eckpfeiler unserer Vision einer vertraulichen Cloud dar, die u. a. auf den folgenden Prinzipien basiert:

  • Die größten Bedrohungen in Form von Datenpannen werden gemindert.
  • Die Datenkontrolle liegt vollständig beim Kunden. Hierfür ist irrelevant, ob die Daten ruhen, übertragen oder verwendet werden und ob die Infrastruktur ebenfalls vom Kunden kontrolliert wird.
  • Der in der Cloud ausgeführte Code ist geschützt und kann vom Kunden überprüft werden.
  • Daten und Code sind für die Cloudplattform nicht transparent. Anders gesagt: Die Cloudplattform liegt außerhalb der Trusted Computing Base.

Zurzeit kann diese Technologie zwar nur auf wenige Datenverarbeitungsszenarios angewendet werden, wir sind jedoch überzeugt, dass sie sich mit zunehmender technischer Reife zum neuen Standard der Datenverarbeitung entwickeln wird, sowohl für die Cloud als auch den Edge.

Die Umsetzung dieser Vision erfordert, dass wir im Hardware-, Software- und Dienstbereich Innovationen vorantreiben, die das vertrauliche Computing unterstützen:

  1. Hardware: In den letzten Jahren haben wir eng mit unseren Hardwarepartnern zusammengearbeitet, um Features zu entwickeln, die Anwendungen während der Berechnung isolieren und diese für mehrere Betriebssysteme zugänglich zu machen. Durch unsere enge Partnerschaft können wir unseren Kunden die neuesten Innovationen von Intel für sichere Enklaven zur Verfügung stellen, sobald diese fertig sind.

    Wir freuen uns, die Verfügbarkeit der neuesten Generation von Intel Xeon-Prozessoren mit Intel SGX-Technologie für die Azure-Region „USA, Osten“ anzukündigen. Sie erhalten Zugriff auf hardwarebasierte Features und Funktionen in der Cloud, bevor diese lokal öffentlich verfügbar sind.

  1. Compute: Wir erweitern unsere Azure-Compute-Plattform, um TEE-fähige Compute-Instanzen bereitzustellen und zu verwalten.

    Wir führen eine neue VM-Familie ein (DC-Reihe), die durch die neueste Generation von Intel Xeon-Prozessoren mit Intel SGX-Technologie unterstützt wird. Mit diesem Release können Sie SGX-fähige Anwendungen in der Cloud ausführen, um die Vertraulichkeit und Integrität Ihres Codes und Ihrer Daten zu schützen.

  1. Entwicklung: Wir arbeiten eng mit Partnern zusammen, um eine TEE-übergreifend (hardware- und softwarebasiert) konsistente API für Windows und Linux zu schaffen, damit vertraulicher Anwendungscode portierbar wird. Außerdem arbeiten wir an Tools und Debuggingunterstützung für die Entwicklung und das Testen von vertraulichen Anwendungen.

    Sie können C/C++-Anwendungen mit dem Intel SGX SDK und zusätzlichen Enklaven-APIs erstellen.

  1. Nachweis: Die Identitätsüberprüfung von Code, der in TEEs ausgeführt wird, ist unabdingbar, um eine Vertrauensstellung gegenüber diesem Code aufzubauen und um zu entscheiden, ob diesem Code gegenüber Geheimnisse offengelegt werden. Zusammen mit unseren Hardwarepartnern entwerfen und hosten wir Dienste für den Identitätsnachweis, die eine solche Überprüfung einfach und hoch verfügbar machen.
  1. Dienste/Anwendungsfälle: VMs stellen die Bausteine dar, aus denen wir neue, sichere Geschäftsszenarios und Anwendungsfälle schaffen. Wir bei Microsoft arbeiten hoch motiviert an neuen Diensten und Produkten, die auf vertraulichem Computing basieren, zum Beispiel:
    1. Schutz der Datenvertraulichkeit und -integrität mithilfe von SQL Server Always Encrypted
    2. Erstellen eines vertrauenswürdigen verteilten Netzwerks für nicht vertrauenswürdige Benutzer mithilfe unseres Confidential Consortium Blockchain Framework für hochgradig skalierbare und vertrauliche Blockchainnetzwerke
    3. Vertrauliches Kombinieren von mehreren Datenquellen, um sichere Machine-Learning-Szenarios mit mehreren Parteien zu unterstützen
  1. Research: Microsoft Research hat eng mit dem Azure-Team und unseren Hardwarepartnern zusammengearbeitet, um TEE-Sicherheitsrisiken zu erkennen und zu mindern. Wir forschen beispielsweise mit Nachdruck an Techniken zur Härtung der TEE-Anwendung, um direkte und indirekte Informationsverluste außerhalb von TEEs zu verhindern. Unsere Forschungsergebnisse werden wir in Form von Tools und Runtimes auf den Markt bringen, damit Sie beim Entwickeln von vertraulichem Code davon profitieren können.

Sie können sich bereits heute für die Vorschauversion registrieren und Zugriff auf unsere vertrauliche Compute-Plattform, die Software, die Tools und die Entwickler-Community erhalten.  Unterstützen Sie uns bei der Entwicklung von Cloudanwendungen und -diensten, die Benutzer vor Cyberangriffen schützen. Wir sind gespannt auf Ihr Feedback und freuen uns darauf, mit Ihnen zusammen die Zukunft des vertraulichen Cloud Computing zu gestalten.

Letzten September durfte ich mit großer Freude Azure Confidential Computing öffentlich ankündigen. Hiermit wurde Microsoft Azure zur ersten Cloudplattform, die neue Funktionen für die Datensicherheit bietet, die Kundendaten schützen, während diese verwendet werden. Das Azure-Team hat sich mit Microsoft Research, Intel, Windows und unserer Gruppe für die Entwicklertools zusammengeschlossen, um Trusted Execution Environments (TEEs) wie Intel SGX und die virtualisierungsbasierte Sicherheit (VBS, früher als virtueller sicherer Modus bezeichnet) in der Cloud verfügbar zu machen. TEEs schützen Daten während der Verarbeitung vor Zugriffen von außerhalb der TEE. Nun möchten wir die Gelegenheit ergreifen und mehr über unsere Vision einer vertraulichen Cloud sowie über die Bereiche erzählen, an denen wir seit der letzten Ankündigung gearbeitet haben.

Viele Unternehmen verlagern ihre unternehmenskritischen Workloads und Daten in die Cloud, und die Sicherheitsvorteile, die öffentliche Clouds bieten, beschleunigen diesen Trend oftmals. In der Studie „CloudView“ aus dem Jahr 2017 hat die International Data Corporation (IDC) herausgefunden, dass eine höhere Sicherheit für Unternehmen eine der häufigsten Motivationen hinter einer Migration in die Cloud war. Ebenso stellen Sicherheitsbedenken jedoch weiterhin eines am häufigsten genannten Hindernisse für eine Cloudmigration von geistigem Eigentum und Daten dar, wenn die Inhalte als höchstvertraulich eingestuft werden. Die Cloud Security Alliance (CSA) veröffentlichte vor Kurzem die neueste Version des Berichts Die tückischen 12 Bedrohungen für das Cloud Computing. Es überrascht kaum, dass Datenpannen darin neben Sicherheitsverletzungen aufgrund von systemischen Sicherheitsrisiken, Insiderangriffen und Sicherheitsrisiken durch freigegebene Technologien zu den größten Cloudbedrohungen gezählt werden.

Azure Confidential Computing ist drauf ausgelegt, Daten während der Verarbeitung in der Cloud zu schützen, und stellt somit den Eckpfeiler unserer Vision einer vertraulichen Cloud dar, die u. a. auf den folgenden Prinzipien basiert:

Zurzeit kann diese Technologie zwar nur auf wenige Datenverarbeitungsszenarios angewendet werden, wir sind jedoch überzeugt, dass sie sich mit zunehmender technischer Reife zum neuen Standard der Datenverarbeitung entwickeln wird, sowohl für die Cloud als auch den Edge.

Die Umsetzung dieser Vision erfordert, dass wir im Hardware-, Software- und Dienstbereich Innovationen vorantreiben, die das vertrauliche Computing unterstützen:

  1. Hardware: In den letzten Jahren haben wir eng mit unseren Hardwarepartnern zusammengearbeitet, um Features zu entwickeln, die Anwendungen während der Berechnung isolieren und diese für mehrere Betriebssysteme zugänglich zu machen. Durch unsere enge Partnerschaft können wir unseren Kunden die neuesten Innovationen von Intel für sichere Enklaven zur Verfügung stellen, sobald diese fertig sind.

    Wir freuen uns, die Verfügbarkeit der neuesten Generation von Intel Xeon-Prozessoren mit Intel SGX-Technologie für die Azure-Region „USA, Osten“ anzukündigen. Sie erhalten Zugriff auf hardwarebasierte Features und Funktionen in der Cloud, bevor diese lokal öffentlich verfügbar sind.

  1. Compute: Wir erweitern unsere Azure-Compute-Plattform, um TEE-fähige Compute-Instanzen bereitzustellen und zu verwalten.

    Wir führen eine neue VM-Familie ein (DC-Reihe), die durch die neueste Generation von Intel Xeon-Prozessoren mit Intel SGX-Technologie unterstützt wird. Mit diesem Release können Sie SGX-fähige Anwendungen in der Cloud ausführen, um die Vertraulichkeit und Integrität Ihres Codes und Ihrer Daten zu schützen.

  1. Entwicklung: Wir arbeiten eng mit Partnern zusammen, um eine TEE-übergreifend (hardware- und softwarebasiert) konsistente API für Windows und Linux zu schaffen, damit vertraulicher Anwendungscode portierbar wird. Außerdem arbeiten wir an Tools und Debuggingunterstützung für die Entwicklung und das Testen von vertraulichen Anwendungen.

    Sie können C/C++-Anwendungen mit dem Intel SGX SDK und zusätzlichen Enklaven-APIs erstellen.

  1. Nachweis: Die Identitätsüberprüfung von Code, der in TEEs ausgeführt wird, ist unabdingbar, um eine Vertrauensstellung gegenüber diesem Code aufzubauen und um zu entscheiden, ob diesem Code gegenüber Geheimnisse offengelegt werden. Zusammen mit unseren Hardwarepartnern entwerfen und hosten wir Dienste für den Identitätsnachweis, die eine solche Überprüfung einfach und hoch verfügbar machen.
  1. Dienste/Anwendungsfälle: VMs stellen die Bausteine dar, aus denen wir neue, sichere Geschäftsszenarios und Anwendungsfälle schaffen. Wir bei Microsoft arbeiten hoch motiviert an neuen Diensten und Produkten, die auf vertraulichem Computing basieren, zum Beispiel:
    1. Schutz der Datenvertraulichkeit und -integrität mithilfe von SQL Server Always Encrypted
    2. Erstellen eines vertrauenswürdigen verteilten Netzwerks für nicht vertrauenswürdige Benutzer mithilfe unseres Confidential Consortium Blockchain Framework für hochgradig skalierbare und vertrauliche Blockchainnetzwerke
    3. Vertrauliches Kombinieren von mehreren Datenquellen, um sichere Machine-Learning-Szenarios mit mehreren Parteien zu unterstützen
  1. Research: Microsoft Research hat eng mit dem Azure-Team und unseren Hardwarepartnern zusammengearbeitet, um TEE-Sicherheitsrisiken zu erkennen und zu mindern. Wir forschen beispielsweise mit Nachdruck an Techniken zur Härtung der TEE-Anwendung, um direkte und indirekte Informationsverluste außerhalb von TEEs zu verhindern. Unsere Forschungsergebnisse werden wir in Form von Tools und Runtimes auf den Markt bringen, damit Sie beim Entwickeln von vertraulichem Code davon profitieren können.

Sie können sich bereits heute für die Vorschauversion registrieren und Zugriff auf unsere vertrauliche Compute-Plattform, die Software, die Tools und die Entwickler-Community erhalten.  Unterstützen Sie uns bei der Entwicklung von Cloudanwendungen und -diensten, die Benutzer vor Cyberangriffen schützen. Wir sind gespannt auf Ihr Feedback und freuen uns darauf, mit Ihnen zusammen die Zukunft des vertraulichen Cloud Computing zu gestalten.