Confidential Computing unter Azure
Azure verfügt über viele Tools zum Verschlüsseln von ruhenden Daten, indem Modelle wie die clientseitige und serverseitige Verschlüsselung genutzt werden. Darüber hinaus können in Azure Verfahren genutzt werden, um Daten während der Übertragung zu verschlüsseln. Hierfür werden sichere Protokolle wie TLS und HTTPS verwendet. Vertrauliche Computer behandeln den Schutz der verwendeten Daten und helfen Ihnen dabei, Verschlüsselungsschutz zu erweitern.
Mithilfe vertraulicher Computertechnologien können Sie Ihre virtualisierte Umgebung vom Host, vom Hypervisor, vom Hostadministrator und sogar von Ihrem eigenen VM-Administrator abhärten. Dies hilft Organisationen bei folgenden Aufgaben:
Verhindern nicht autorisierter Zugriffe: Verwenden Sie vertrauliche Daten in der Cloud. Vertrauen Sie darauf, dass Azure den bestmöglichen Datenschutz bietet – mit wenigen bis gar keinen Änderungen im Vergleich zu aktuellen Maßnahmen.
Einhaltung gesetzlicher Bestimmungen: Migrieren Sie zur Cloud, und behalten Sie die volle Kontrolle über Daten, um behördliche Vorschriften zum Schutz von persönlichen Informationen und IP-Adressen der Organisation zu erfüllen.
Gewährleisten sicherer Zusammenarbeit ohne Vertrauensvorschuss: Bewältigen Sie branchenweite aufgabenbezogene Probleme, indem Sie Daten von verschiedenen Organisationen und sogar von Mitbewerbern durchforsten, um umfassende Datenanalysen zu ermöglichen und tiefgreifendere Erkenntnisse zu gewinnen.
Isolierte Verarbeitung: Bieten Sie eine neue Reihe von Produkten an, die mittels Blindverarbeitung die Haftbarkeit für private Daten beseitigen. Benutzerdaten können nicht einmal vom Dienstanbieter abgerufen werden.
Neuerungen in Azure Confidential Computing
Azure-Angebote
Vertrauliche Computing-Unterstützung wird von grundlegenden virtuellen Computern bis hin zu GPU-gesicherten Angeboten und dem Stapel über Container und verwaltete Dienste weiter ausgebaut.
Überprüfen, ob vertraulich ausgeführte Anwendungen die Grundlage vertraulicher Computer bilden. Diese Überprüfung ist mehrgleisig und basiert auf der folgenden Suite von Azure-Angeboten:
Microsoft Azure Attestation. Hierbei handelt es sich um einen Remotenachweisdienst zum Überprüfen der Vertrauenswürdigkeit mehrerer TEEs (Trusted Execution Environments) und zum Verifizieren der Integrität der binären Dateien, die in den TEEs ausgeführt werden.
Verwaltetes HSM in Azure Key Vault. Hierbei handelt es sich um einen vollständig verwalteten, hochverfügbaren und standardkonformer Einzelmandanten-Clouddienst. Dieser Dienst ermöglicht es Ihnen, kryptografische Schlüssel für Ihre Cloudanwendungen über Hardwaresicherheitsmodule (HSMs) zu schützen, die mit FIPS 140-2 Level 3 überprüft wurden.
Der Trusted Hardware Identity Management-Dienst (THIM) übernimmt die Cacheverwaltung von Zertifikaten für alle Trusted Execution Environments (TEE) in Azure und stellt TCB-Informationen (Trusted Computing Base) bereit, um eine Mindestbaseline für Nachweislösungen zu erzwingen.
Der vertrauenswürdige Start ist auf allen VMs der Generation 2 verfügbar und bietet verstärkte Sicherheitsfeatures wie den sicheren Start, ein virtuelles vertrauenswürdiges Plattformmodul und die Überwachung der Startintegrität, um Schutz vor Bootkits, Rootkits und Schadsoftware auf Kernelebene zu gewährleisten.
Azure Confidential Ledger. ACL ist ein manipulationssicheres Register zum Speichern vertraulicher Daten für die Aufzeichnung und Überwachung oder für die Datentransparenz in Szenarien mit mehreren Parteien. Es bietet WORM-Garantien (Write Once, Read Many), die Daten als nicht löschbar und nicht änderbar festlegen. Der Dienst basiert auf dem Confidential Consortium Framework von Microsoft Research.
Azure IoT Edge unterstützt vertrauliche Anwendungen, die innerhalb sicherer Enclaves auf einem IoT-Gerät (Internet of Things, Internet der Dinge) ausgeführt werden. IoT-Geräte sind häufig Manipulations- und Fälschungsversuchen ausgesetzt, weil sie physisch für böswillige Akteure zugänglich sind. Vertrauliche IoT Edge-Geräte sorgen im Edgebereich für Vertrauenswürdigkeit und Integrität, indem sie den Zugriff auf Daten schützen, die von dem Gerät selbst erfasst und gespeichert werden, bevor sie in die Cloud gestreamt werden.
Always Encrypted mit Secure Enclaves in Azure SQL. Die Vertraulichkeit sensibler Daten wird vor Schadsoftware und hochprivilegierten unbefugten Benutzern durch die Ausführung von SQL-Abfragen direkt in einem TEE geschützt.
Technologien wie AMD SEV-SNP, Intel SGX und Intel TDX bieten Hardwareimplementierungen auf Siliziumebene für vertrauliche Computer. Wir bieten heute die folgenden Technologien an:
VMs mit Intel SGX-Anwendungs-Enclaves. Azure bietet die Serien DCsv2, DCsv3 und DCdsv3, die auf der Intel SGX-Technologie basieren, für die Erstellung hardwarebasierter Enclaves an. Sie können sichere Enclave-basierte Anwendungen entwickeln, die auf einer VM-Serie ausgeführt werden, um Ihre Anwendungsdaten und den verwendeten Code zu schützen.
App-enklavenfähige Container, die in Azure Kubernetes Service (AKS) ausgeführt werden. Confidential Computing-Knoten in AKS verwenden Intel SGX zum Erstellen isolierter Enclave-Umgebungen in den Knoten zwischen den einzelnen Containeranwendungen.
Vertrauliche VMs basierend auf AMD SEV-SNP-Technologie ermöglichen das Lift-and-Shift vorhandener Workloads und schützen Daten vom Cloudoperator mit Vertraulichkeit auf VM-Ebene.
Vertrauliche VMs basierend auf Intel TDX-Technologie ermöglichen das Lift-and-Shift vorhandener Workloads und schützen Daten vom Cloudoperator mit Vertraulichkeit auf VM-Ebene.
Confidential Inference ONNX Runtime . Hierbei handelt es sich um einen ML-Rückschlussserver (Machine Learning), der den ML-Host daran hindert, sowohl auf die Rückschlussanforderung als auch auf die entsprechende Antwort zuzugreifen.