Microsoft consacre 1 milliard de dollars par an à la cybersécurité et une grande partie de ce montant sert à faire en sorte que Microsoft Azure soit la plateforme cloud la plus fiable au monde. De la stricte sécurité des centres de données physiques, en garantissant la confidentialité des données et en chiffrant les données au repos et en transit, aux nouvelles utilisations du Machine Learning pour la détection des menaces et à l’utilisation de contrôles rigoureux du cycle de vie du développement de logiciels, Azure est à la pointe de la sécurité et de la confidentialité dans le cloud.

Aujourd’hui, je suis fier d’annoncer que Microsoft Azure est le premier cloud à offrir de nouvelles fonctionnalités de sécurité des données avec un ensemble de fonctionnalités et de services regroupés sous le nom d’informatique confidentielle Azure. En bref, l’informatique confidentielle offre une protection qui manquait jusqu’à présent dans les clouds publics, à savoir le chiffrement des données pendant leur utilisation. Cela signifie que les données peuvent être traitées dans le cloud avec la garantie qu’elles sont toujours sous le contrôle du client. Avec l’équipe Azure, Microsoft Research, Intel, Windows et notre groupe Developer Tools, nous travaillons depuis plus de quatre ans sur des technologies logicielles et matérielles en lien avec l’informatique confidentielle. En bas de cette publication se trouve une liste de documents Microsoft Research relatifs à l’informatique confidentielle. Aujourd’hui, nous innovons encore plus en mettant cette fonctionnalité à la disposition des clients par le biais d’un programme d’accès en avant-première.

Les violations de données sont des événements quasi quotidiens dans les actualités et, par ce biais, les attaquants accèdent aux informations d’identification personnelle, aux données financières et à la propriété intellectuelle des entreprises. Si de nombreuses violations sont le résultat d’un contrôle d’accès mal configuré, nombre d’entre elles sont dues à des données auxquelles les attaquants ont pu accédé lorsqu’elles étaient en cours d’utilisation, soit par le biais de comptes d’administrateur, soit en tirant parti de clés compromises pour accéder aux données chiffrées. Malgré les contrôles de cybersécurité avancés et les atténuations des risques, certains clients hésitent à déplacer leurs données les plus sensibles dans le cloud, car ils craignent qu’elles soient visées par des attaques lors de leur utilisation. Avec l’informatique confidentielle, les clients peuvent déplacer les données vers Azure en sachant qu’elles sont en sécurité aussi bien au repos qu’en cours d’utilisation et qu’elles ne peuvent pas être ciblées par les menaces suivantes :

• Initiés malveillants disposant de privilèges d’administrateur ou d’un accès direct au matériel sur lequel les données sont traitées
• Pirates et programmes malveillants qui exploitent les bogues du système d’exploitation, de l’application ou de l’hyperviseur
• Tiers qui accèdent aux données sans le consentement du client

L’informatique confidentielle garantit que lorsque les données sont affichées « en clair », ce qui est requis pour un traitement efficace, elles sont protégées à l’intérieur d’un environnement d’exécution approuvé (TEE, également appelé enclave), dont voici un exemple dans la figure ci-dessous. Les environnements TEE s’assurent qu’il n’existe aucun moyen d’afficher les données ou les opérations de l’extérieur, même avec un débogueur. Ils garantissent même que seul le code autorisé peut accéder aux données. Si le code est modifié ou altéré, les opérations sont refusées et l’environnement est désactivé. L’environnement TEE met en œuvre ces protections tout au long de l’exécution du code qu’il contient.

Avec l’informatique confidentielle Azure, nous développons une plateforme qui permet aux développeurs de tirer parti de différents environnements TEE sans avoir à modifier leur code. Initialement, nous prenons en charge deux environnements TEE, Virtual Secure Mode et Intel SGX. Virtual Secure Mode (VSM) est un environnement TEE logiciel qui est implémenté par Hyper-V dans Windows 10 et Windows Server 2016. Hyper-V empêche l’exécution de code administrateur sur l’ordinateur ou le serveur, et empêche également les administrateurs locaux et les administrateurs de service cloud de consulter le contenu de l’enclave VSM ou de modifier son exécution. Nous proposons également l’environnement TEE matériel Intel SGX avec les premiers serveurs prenant en charge la technologie SGX dans le cloud public. Les clients qui ne souhaitent pas que leur modèle d’approbation inclue Azure ou Microsoft peuvent tirer parti des environnements TEE SGX. Nous travaillons en collaboration avec Intel et d’autres partenaires matériels et logiciels pour développer des TEE supplémentaires que nous prendrons en charge dès qu’ils seront disponibles.

Microsoft utilise déjà des enclaves pour protéger tout ce qui concerne les opérations financières de la blockchain, les données stockées dans SQL Server et notre propre infrastructure dans Azure. Bien que nous ayons déjà parlé de nos efforts combinés en matière de blockchain et d’informatique confidentielle, par le biais du Coco Framework, nous annonçons aujourd’hui l’utilisation de cette même technologie pour implémenter le chiffrement en cours d’utilisation pour Azure SQL Database et SQL Server. Il s’agit d’une amélioration de notre fonctionnalité Always Encrypted, qui garantit que les données sensibles d’une base de données SQL peuvent être chiffrées à tout moment, sans compromettre les fonctionnalités des requêtes SQL. Always Encrypted y parvient en déléguant des calculs sur des données sensibles à une enclave, où les données sont déchiffrées et traitées en toute sécurité. Nous continuons d’utiliser les enclaves au sein des produits et services Microsoft pour garantir que les informations sensibles qui doivent être traitées peuvent être sécurisées lorsqu’elles sont en cours d’utilisation.

En plus de SQL Server, nous observons une large application de l’informatique confidentielle Azure dans de nombreux secteurs, notamment la finance, la santé, l’intelligence artificielle et bien d’autres. Dans le domaine de la finance par exemple, les données de portefeuille personnel et les stratégies de gestion du patrimoine ne sont plus visibles en dehors d’un environnement TEE. Les organismes de santé peuvent collaborer en partageant les données privées de leurs patients, comme les séquences génomiques, pour obtenir des insights plus approfondis via un Machine Learning appliqué à plusieurs jeux de données, sans risque que des données ne soient divulguées à d’autres organisations. Dans le secteur du pétrole et du gaz et les scénarios IoT, les données sismiques sensibles représentant la propriété intellectuelle de base d’une entreprise peuvent être déplacées vers le cloud à des fins de traitement, mais avec les protections offertes par les technologies de chiffrement en cours d’utilisation. 

Les clients peuvent essayer l’informatique confidentielle Azure via notre programme d’accès en avant-première, qui inclut l’accès aux machines virtuelles Azure VSM et SGX, ainsi que des outils, des SDK et le support Windows et Linux pour permettre à n’importe quelle application dans le cloud de protéger ses données en cours d’utilisation.

Inscrivez-vous au programme d’accès en avant-première en lien avec l’informatique confidentielle Azure.

J’ai hâte de vous rencontrer lors de la conférence Ignite où je vais effectuer une démonstration des enclaves dans Azure. Il y a tant d’opportunités et de cas d’utilisation que nous pouvons sécuriser ensemble à l’aide du cloud Azure, du matériel Intel, ainsi que des technologies, services et produits Microsoft. 

Aujourd’hui commence une nouvelle ère passionnante de l’informatique sécurisée. Rejoignez-nous dans Azure et créons ce futur.

- Mark

 

Publications Microsoft Research relatives à l’informatique confidentielle :

• Protection des applications à partir d’un cloud non approuvé avec Haven 
• VC3 : Analytique données digne de confiance dans le cloud à l’aide de SGX
• Machine Learning pluraliste sur des administrateurs de données approuvés 
• Une méthodologie de conception et de vérification pour sécuriser les régions isolées

Découvrez comment l’informatique confidentielle s’inscrit dans la stratégie de sécurité du cloud plus large de Microsoft dans Microsoft Story Labs : Sécurisation du cloud.