En septembre dernier, j’ai eu le privilège d’annoncer publiquement notre engagement dans le domaine de l’informatique confidentielle Azure et j’ai également indiqué que Microsoft Azure était devenu la première plateforme cloud à activer de nouvelles fonctionnalités de sécurité des données qui protègent les données des clients pendant que celles-ci sont en cours d’utilisation. L’équipe Azure, la division Microsoft Research, Intel, Windows et notre groupe Outils de développement ont travaillé en étroite collaboration pour intégrer dans le cloud des environnements TEE (Trusted Execution Environment, environnement d’exécution de confiance) tels que Intel SGX et la sécurité basée sur la virtualisation (VBS, précédemment connu sous l’appellation « Mode sécurisé virtuel »). Les environnements TEE protègent les données en cours de traitement en empêchant leur accès depuis l’extérieur. Nous sommes prêts à partager davantage d’informations sur notre vision d’un cloud confidentiel et sur le travail que nous avons accompli depuis l’annonce.

De nombreuses entreprises migrent leurs charges de travail et leurs données stratégiques vers le cloud, et les avantages de sécurité fournis par les clouds publics sont souvent à l’origine de l’accélération de cette adoption. Dans l’étude 2017 CloudView, dirigée par IDC (International Data Corporation), l’amélioration de la sécurité était l’un des principaux facteurs pour inciter les entreprises à migrer vers le cloud. Toutefois, les inquiétudes concernant la sécurité constituent un frein qui empêche les entreprises de déplacer des données et adresses IP extrêmement sensibles dans le cloud. CSA (Cloud Security Alliance) a récemment publié la dernière version de son rapport Treacherous 12 Threats to Cloud Computing (12 menaces pour le cloud computing). Sans surprise, la violation des données est classée parmi les principales menaces visant le cloud. Trois nouveaux problèmes de sécurité des données sont cités, en particulier les violations provoquées par les vulnérabilités du système, les attaques malveillantes et les vulnérabilités des technologies partagées.

L’informatique confidentielle Azure vise à protéger les données pendant qu’elles sont traitées dans le cloud. Il s’agit de la pierre angulaire de notre vision d’un « cloud confidentiel », qui inclut les principes suivants :

• Les principales menaces de divulgations de données sont atténuées
• Les données sont entièrement sous le contrôle du client, qu’elles soient inactives, en transit ou en cours d’utilisation, et même si l’infrastructure ne l’est pas
• Le code qui s’exécute dans le cloud est protégé et vérifiable par le client
• Les données et le code sont opaques sur la plateforme cloud. Autrement dit, la plateforme cloud est en dehors de la base informatique de confiance

Aujourd’hui, même si cette technologie peut être appliquée à un sous-ensemble de scénarios de traitement des données, nous nous attendons à ce qu’elle devienne la nouvelle norme pour l’ensemble du traitement des données, à la fois dans le cloud et à la périphérie.

La mise en œuvre de cette vision nous demande d’innover pour proposer du matériel, des logiciels et des services qui prennent en charge l’informatique confidentielle :

1. Matériel : ces dernières années, nous avons travaillé en étroite collaboration avec les partenaires de la Silicon Valley pour ajouter des fonctionnalités qui isolent les applications pendant le calcul et pour rendre ces fonctionnalités accessibles dans plusieurs systèmes d’exploitation. Par le biais de cet étroit partenariat, nous mettons à la disposition des clients les dernières innovations de l’enclave sécurisée Intel dès qu’elles sont fin prêtes.

   Nous sommes ravis d’annoncer la disponibilité de la dernière génération de processeurs Intel Xeon avec la technologie Intel SGX dans notre région USA Est. Vous accèderez aux fonctions et fonctionnalités basées sur du matériel dans le cloud avant qu’elles ne soient largement disponibles localement.

2. Compute : nous étendons notre plateforme de calcul Azure pour déployer et gérer des instances de calcul qui sont activées avec des environnements TEE.

   Nous introduisons une nouvelle famille de machines virtuelles (série DC) qui sont compatibles avec la dernière génération de processeurs Intel Xeon avec la technologie Intel SGX. Avec cette version, vous pouvez exécuter des applications SGX dans le cloud pour protéger la confidentialité et l’intégrité de votre code et de vos données.

3. Développement : nous travaillons en étroite collaboration avec les partenaires pour proposer une API pour Windows et Linux qui soit cohérente entre les environnements TEE, le matériel et les logiciels, afin que le code d’application confidentiel soit portable. En outre, nous travaillons actuellement sur la prise en charge des outils et du débogage pour le développement et le test d’applications confidentielles.

   Vous pouvez créer des applications C/C++ avec le SDK Intel SGX et des API d’enclave supplémentaires.

4. Attestation : la vérification de l’identité du code s’exécutant dans des environnements TEE est nécessaire pour établir une relation de confiance avec ce code afin de déterminer s’il est envisageable de lui confier des secrets. Nous travaillons en partenariat avec les fournisseurs de la Silicon Valley pour concevoir et héberger des services d’attestation qui rendent la vérification simple et hautement disponible.

5. Services/cas d’usage : les machines virtuelles fournissent le composant principal qui permet d’activer de nouveaux cas d’usage et scénarios d’entreprise sécurisés. Chez Microsoft, nous travaillons activement au développement de services et produits qui tirent parti de l’informatique confidentielle. En voici quelques exemples :
   1. Protection de la confidentialité et de l’intégrité des données par le biais de SQL Server Always Encrypted
   2. Création d’un réseau distribué de confiance parmi un ensemble de participants non approuvés avec notre Confidential Consortium Blockchain Framework pour des réseaux blockchain hautement scalables et confidentiels
   3. Combinaison de plusieurs sources de données pour prendre en charge des scénarios de Machine Learning hétérogènes sécurisés

6. Recherche : Microsoft Research travaille en étroite collaboration avec l’équipe Azure et les partenaires de la Silicon Valley pour identifier et prévenir les vulnérabilités des environnements TEE. Par exemple, nous recherchons activement des techniques avancées pour renforcer l’application d’environnements TEE afin d’éviter les fuites d’informations en dehors de ce dernier, directement ou indirectement. Nous proposerons le résultat de cette recherche sur le marché sous la forme d’outils et de runtimes pour votre utilisation dans le développement de code confidentiel.

Vous pouvez vous inscrire dès aujourd’hui pour demander un accès en avant-première et commencer à utiliser les différents composants de notre technologie d’informatique confidentielle (plateforme, logiciels, outils et communauté de développeurs).  Participez avec nous à la création d’applications et de services cloud qui atténuent les menaces périlleuses qui visent le cloud computing. Nous sommes impatients d’écouter vos retours et de collaborer avec vous pour créer l’avenir de l’informatique confidentielle.