マイクロソフトでは、サイバー セキュリティの分野に年間 10 億ドルを投資し、Microsoft Azure にクラウド プラットフォーム最高クラスの信頼性を実装しています。Azure には、物理データ センターの厳格なセキュリティからデータのプライバシーの保護、保存中および通信中のデータの暗号化、機械学習を活用した脅威の検出、運用ソフトウェアの開発ライフサイクルの厳重な管理まで、クラウドにおける最先端のセキュリティやプライバシー保護が実装されています。

このたび、Microsoft Azure にクラウド初となるデータ セキュリティ機能、Azure Confidential Computing を導入いたします。これは、複数の機能やサービスの集合体で、これまでのパブリック クラウドでは考えられなかった、使用中のデータの暗号化を実現するものです。これにより、クラウドでのデータ処理をユーザーが自由に制御できるようになります。Azure チームは、Microsoft Research、Intel、Windows、開発者用ツールなどのチームと協力し、4 年以上かけて Confidential Computing のソフトウェアとハードウェアのテクノロジの開発に取り組んできました。この記事の最後に、Confidential Computing に関する Microsoft Research の論文のリストを掲載しています。今回から、この最新技術を早期利用プログラムを通じてご利用いただけるようになります。

毎日さまざまな場所でデータ侵害が発生し、個人情報 (PII)、金融データ、企業の知的財産などへのアクセス権が攻撃者に狙われています。データ侵害の原因の多くはアクセス制御の構成不備ですが、管理者アカウントを通じてまたは暗号化データにアクセスするキーの漏えいにより、使用中のデータにアクセスされるケースがほとんどです。サイバー攻撃に対する高度な制御機能や軽減策を備えていても、使用中のデータに対する攻撃のリスクを考慮して機密データのクラウド移行を躊躇するお客様もいらっしゃいます。Confidential Computing ならば、保存しているデータのみならず使用中のデータも以下のような脅威から保護されるため、安心して Azure にデータを移行していただけます。

• 管理者権限を保有する悪意のある内部ユーザー、またはデータを処理しているハードウェアへの直接的なアクセス
• オペレーティングシステムやアプリケーション、ハイパーバイザーの不具合を悪用するハッカーやマルウェア
• 同意なくデータにアクセスする第三者

Confidential Computing では、効率的に処理を実行するために「暗号化していない」データを、Trusted Execution Environment (TEE – エンクレーブ) 内で確実に保護します。下の図はそのしくみを示したものです。TEE で保護されている場合、たとえデバッガーを使用しても、外部から TTE 内部のデータを閲覧または操作することは不可能です。さらに、承認されたコード以外のデータへのアクセスは禁止されています。コードが改変または改ざんされている場合、操作は拒否され、環境が無効化されます。TEE では、内部で実行されるコードに対してこのような保護を強制的に適用します。

Azure Confidential Computing では、開発者の皆様がコードを変更することなくさまざまな TEE を利用できるプラットフォームの開発を進めています。今回のリリースでは、Virtual Secure Mode と Intel SGX の 2 つの TEE がサポートされます。Virtual Secure Mode (VSM) は、Windows 10 と Windows Server 2016 の Hyper-V に実装されるソフトウェア ベースの TEE です。Hyper-V が、コンピューターやサーバー上での管理者コードの実行、およびローカル管理者やクラウド サービス管理者による VSM のエンクレーブ内のコンテンツの閲覧や実行プログラムの改変を防止します。ハードウェア ベースの Intel SGX は、パブリック クラウドとしては初の SGX 対応サーバーであり、Azure やマイクロソフト製品を一切使用しない信頼モデルにご利用いただけます。現在、Intel をはじめとするハードウェアおよびソフトウェア パートナーと共にさらなる TEE の開発を進めており、提供準備が整いしだいサポートを開始します。

マイクロソフトでは、ブロックチェーンによる財務運用、SQL Server の保存データ、Azure の自社インフラストラクチャなどの保護にエンクレーブを使用しています。以前、Coco Framework と呼ばれるブロックチェーンの Confidential Computing の取り組みで採用されている、使用中のデータを暗号化する機能をご紹介しましたが、これと同じテクノロジが Azure SQL Database と SQL Server に実装されます。これは Always Encrypted 機能が強化されたもので、SQL クエリの機能を阻害することなく SQL データベース内の機密データを常時暗号化することができます。Always Encrypted では、安全に暗号化を解除し処理することが可能なエンクレーブに機密データの演算を委任しています。今後もマイクロソフトの製品やサービスへのエンクレーブの実装を進め、どのような場所でも使用中のデータの安全を確保しながら機密情報を処理できるように取り組んでまいります。

SQL Server での利用に加えて、Azure Confidential Computing は金融、医療、AI など多数の業界で活用できます。たとえば、金融の分野では、個人の資産データや資産管理戦略をの閲覧を TEE に制限することができます。医療機関では、他の組織にデータが流出するリスクを負うことなく、ゲノム配列などの患者の個人データを共有して共同で作業し、機械学習で複数のデータ セットを利用して、より詳細な情報を得ることができます。石油・ガスや IoT の分野では、企業の重要な知的財産である繊細な地震データを、暗号化により保護しながらクラウドで処理することができます。 

Azure Confidential Computing は早期利用プログラムを通じてご利用いただけます。各種ツール、SDK、Windows と Linux のサポートに加え、Azure VSM、SGX が有効化された仮想マシンを使用して、クラウド内のあらゆるアプリケーションで使用中のデータを暗号化することができます。

早期利用プログラムにサインアップして Azure Confidential Computing をお試しください

近日開催される Ignite にて、Azure でエンクレーブのデモを披露します。Azure クラウドや Intel 製ハードウェアをマイクロソフトのテクノロジ、サービス、製品と組み合わせることで、より広い範囲の安全を確保できるようになります。 

今回の発表は、安全なコンピューティング新時代の幕開けとも言えます。そして、Azure はさらに発展を続けてまいります。

- Mark Russinovich

 

Confidential Computing に関する Microsoft Research の論文

• 信頼されていないクラウドにおける Haven を使用したアプリケーション保護 
• VC3: SGX を使用したクラウドでのデータ分析の信頼性確保
• 信頼されたプロセッサでの紛失型マルチパーティ機械学習 
• 安全に分離された領域の設計と検証の手法

Microsoft Story Labs の安全なクラウド環境に関するページでは、マイクロソフトの広範なクラウド セキュリティ戦略に適した Confidential Computing のしくみを説明しています。ぜひご覧ください。