Microsoft wendet jährlich eine Milliarde US-Dollar für die Cybersicherheit auf. Ein großer Anteil dieser Ausgaben wird darauf verwendet, Microsoft Azure zur vertrauenswürdigsten Cloudplattform zu machen. Von hoher physischer Sicherheit für Rechenzentren, dem Sicherstellen von Datenschutz, der Verschlüsselung sowohl ruhender Daten als auch von Daten während der Übertragung über neue Einsatzmöglichkeiten des maschinellen Lernens für die Bedrohungserkennung bis hin zur Verwendung strenger Vorgangskontrollen während des gesamten Lebenszyklus der Softwareentwicklung – Azure ist bei Cloudsicherheit und Datenschutz immer auf dem neuesten Stand.

Heute freue ich mich, ankündigen zu können, dass Microsoft Azure als erste Cloud neue Datenschutzfunktionen in Form verschiedener Features und Dienste anbieten kann: Azure Confidential Computing. Einfach ausgedrückt bietet Confidential Computing genau den Schutz, der bis dato in öffentlichen Clouds noch nicht gegeben war, nämlich die Verschlüsselung von Daten während ihrer Verwendung. Dies bedeutet, dass Daten in der Cloud verarbeitet werden können, während sichergestellt ist, dass sie sich ununterbrochen unter der Kontrolle des Kunden befinden. Das Azure-Team arbeitet seit über vier Jahren zusammen mit Microsoft Research, Intel, Windows und unserer Gruppe für Entwicklertools an Software- und Hardwaretechnologien für Confidential Computing. Am Ende dieses Beitrags finden Sie eine Liste von Microsoft Research-Artikeln zum Thema Confidential Computing. Heute möchten wir einen Schritt weiter gehen, indem wir die Funktionen für Kunden im Rahmen eines Programms für frühzeitigen Zugriff zur Verfügung stellen.

Berichte zu Datenpannen können in den Tagesnachrichten am laufenden Band gefunden werden. Angreifer erhalten dabei Zugriff auf personenbezogene Informationen, Finanzdaten und geistiges Eigentum von Unternehmen. Während viele Pannen einer unangemessen konfigurierten Zugriffssteuerung geschuldet sind, betreffen die meisten doch Daten, auf die während ihrer Verwendung zugegriffen wird, entweder über Administratorkonten oder durch Nutzung kompromittierter Schlüssel, um auf verschlüsselte Daten zuzugreifen. Trotz ausgeklügelter Kontrollen und Risikominderungsmaßnahmen für die Cybersicherheit zögern manche Kunden aus Angst vor Angriffen auf ihre Daten während deren Verwendung, ihre vertraulichsten Daten in die Cloud zu migrieren. Beim Confidential Computing können Kunden Daten mit dem Wissen zu Azure verschieben, dass ihre Daten nicht nur in ruhender Form, sondern auch während ihrer Verwendung vor den folgenden Bedrohungen geschützt sind:

• Insiderangriffe mit Administratorrechten oder direktem Zugriff auf Hardware, auf der Daten verarbeitet werden
• Hacker und Schadsoftware, die Sicherheitslücken im Betriebssystem, in der Anwendung oder im Hypervisor ausnutzen
• Zugriff durch Dritte ohne Genehmigung

Confidential Computing stellt sicher, dass Daten im unverschlüsselten Zustand, der zur effizienten Verarbeitung erforderlich ist, in einer Trusted Execution Environment (TEE, auch Enclave) geschützt werden. Ein Beispiel finden Sie auf der Abbildung unten. Wenn Sie TEEs verwenden, können externe Benutzer interne Daten und Vorgänge auch nicht mit einem Debugger anzeigen. TEEs gewährleisten sogar, dass nur autorisierter Code für den Zugriff auf Daten zugelassen wird. Wenn der Code geändert oder manipuliert wird, werden die Vorgänge verweigert, und die Umgebung wird deaktiviert. Die TEE erzwingt diese Schutzmaßnahmen während der gesamten Codeausführung in der Umgebung.

Im Rahmen von Azure Confidential Computing wird eine Plattform aufgebaut, die Entwicklern die Vorteile verschiedener TEEs bietet, ohne dass sie ihren Code anpassen müssen. Zu Beginn werden zwei TEEs unterstützt: Virtual Secure Mode und Intel SGX. Virtual Secure Mode (VSM) ist eine softwarebasierte TEE, die von Hyper-V unter Windows 10 und in Windows Server 2016 implementiert wird. Hyper-V verhindert, dass Code von Administratoren auf dem Computer oder Server ausgeführt wird. Außerdem werden lokale Administratoren und Clouddienstadministratoren daran gehindert, die Inhalte der VSM-Enclave anzuzeigen oder deren Ausführung zu ändern. Zusätzlich bieten wir eine hardwarebasierte Intel SGX-TEE mit den ersten SGX-fähigen Servern in der öffentlichen Cloud an. Kunden, die Azure oder Microsoft auf keinen Fall in ihr Vertrauensstellungsmodell einschließen möchten, können SGX-TEEs nutzen. Wir arbeiten mit Intel und anderen Hardware- und Softwarepartnern zusammen, um weitere TEEs zu entwickeln. Sobald diese verfügbar sind, wird auch entsprechende Unterstützung angeboten.

Microsoft verwendet bereits Enclaves für den Schutz von Daten, angefangen von Blockchainfinanztransaktionen über in SQL Server gespeicherte Daten bis hin zu unserer eigenen Infrastruktur in Azure. Unsere Blockchainansätze für Confidential Computing wurden unter dem Namen Coco-Framework bereits erwähnt. Heute können wir die Verwendung derselben Technologie für die Implementierung der Verschlüsselung von Daten während ihrer Verwendung für Azure SQL-Datenbank und SQL Server ankündigen. Hierbei handelt es sich um eine Erweiterung zu unserem Always Encrypted-Angebot, das dafür sorgt, dass vertrauliche Daten innerhalb einer SQL-Datenbank jederzeit verschlüsselt werden können, ohne die Funktionalität von SQL-Abfragen zu beeinträchtigen. Bei Always Encrypted wird dies erreicht, indem Berechnungen für vertrauliche Daten an eine Enclave delegiert werden, wo die Daten sicher entschlüsselt und verarbeitet werden können. Für Microsoft-Produkte und -Dienste sollen weiterhin Enclaves verwendet werden, um sicherzustellen, dass vertrauliche Daten während der Verwendung geschützt sind – unabhängig davon, wo sie verarbeitet werden müssen.

Zusätzlich zu SQL Server kann Azure Confidential Computing Vorteile in vielen Branchen bieten, beispielsweise im Finanzwesen, im Gesundheitssystem und bei KI. Bei Finanzdaten könnte mithilfe von Confidential Computing beispielsweise dafür gesorgt werden, dass persönliche Portfoliodaten und Vermögensverwaltungsstrategien ausschließlich innerhalb eine TEE angezeigt werden können. Gesundheitsorganisationen können zusammenarbeiten, indem sie private Patientendaten wie Genomsequenzen gemeinsam nutzen, um mithilfe von maschinellem Lernen tiefergreifende Erkenntnisse aus mehreren Datasets ableiten zu können, ohne dem Risiko ausgesetzt zu sein, dass die Daten unbeabsichtigt für andere Organisationen verfügbar gemacht werden. Im Bereich Öl und Gas sowie in IoT-Szenarios können vertrauliche seismische Daten, die den Hauptteil des geistigen Eigentums eines Unternehmens ausmachen, zur Verarbeitung in die Cloud verschoben werden. Dabei sind die Daten durch eine Technologie für die Verschlüsselung der Daten während ihrer Verwendung geschützt. 

Kunden können die Vorteile von Azure Confidential Computing im Rahmen unseres Programms für frühzeitigen Zugriff kennenlernen. Dabei steht ihnen auch Zugriff auf VSM- und SGX-fähige Azure-VMs sowie auf Tools, SDKs und Windows- und Linux-Unterstützung zur Verfügung, die es jeder Anwendung in der Cloud ermöglichen, ihre Daten während der Verwendung zu schützen.

Registrieren Sie sich für das Programm für frühzeitigen Zugriff für Azure Confidential Computing.

Ich freue mich darauf, Sie bei der Ignite begrüßen zu können, wo ich die Verwendung von Enclaves in Azure veranschaulichen werde. Es bieten sich die vielfältigsten Chancen und Anwendungsfälle, in denen wir gemeinsam mithilfe der Azure-Cloud, der Intel-Hardware und mit anderen Microsoft-Technologien, -Diensten und -Produkten für den Schutz Ihrer Daten sorgen können. 

Heute ist der aufregende Start in ein neues Zeitalter für sicheres Computing. Nutzen Sie die Vorteile von Azure, und begleiten Sie uns dabei, diese Zukunft zu gestalten.

– Mark

 

Unten finden Sie Microsoft Research-Artikel zu Confidential Computing:

• Schützen von Anwendungen in einer nicht vertrauenswürdigen Cloud mit Haven 
• VC3: Vertrauenswürdige Datenanalyse in der Cloud mithilfe von SGX
• Datenunabhängiges maschinelles Lernen mit mehreren Parteien auf vertrauenswürdigen Prozessoren 
• Eine Entwurfs- und Überprüfungsmethodologie für sichere isolierte Regionen

Im folgenden Microsoft Story Labs-Artikel erhalten Sie Informationen dazu, wie Confidential Computing perfekt in die allgemeine Cloudsicherheitsstrategie von Microsoft integriert werden kann: Schützen der Cloud.