Authentification de nœuds Registre confidentiel Azure
Les exemples de code et les utilisateurs peuvent authentifier les nœuds du registre confidentiel Azure.
Exemples de code
Lors de l’initialisation, les exemples de code obtiennent le certificat de nœud en interrogeant le service d’identité. L’exemple de code récupère le certificat du nœud avant d’interroger le registre pour obtenir un devis qui est ensuite validé à l’aide des binaires de vérification de l’hôte. Si la vérification est réussie, l’exemple de code passe aux opérations du Registre.
Users
Les utilisateurs peuvent valider l’authenticité des nœuds du registre confidentiel Azure pour vérifier qu’ils sont bien en interface avec l’enclave de leur registre. La confiance dans les nœuds Registre confidentiel peut être renforcée de plusieurs façons, qui peuvent être superposées les unes aux autres pour augmenter le niveau de confiance total. Par conséquent, les étapes 1 et 2 sont des mécanismes importants de création de confiance pour les utilisateurs de l’enclave de registre confidentiel Azure dans le cadre de l’établissement d’une liaison et de l’authentification TLS initiaux dans les flux de travail fonctionnels. En outre, une connexion client permanente est maintenue entre le client de l’utilisateur et le registre confidentiel.
Validation d’un nœud de registre confidentiel : un nœud de registre confidentiel est validé en interrogeant le service d’identité hébergé par Microsoft, qui fournit un certificat de service et permet ainsi de vérifier que le nœud de registre présente un certificat approuvé/signé par le certificat de service pour cette instance spécifique. Une autorité de certification ou une autorité de certification intermédiaire connue signe le certificat d’un serveur avec le protocole HTTPS basé sur PKI. Dans le cas du registre confidentiel Azure, le certificat d’autorité de certification est retourné par le service d’identité sous la forme du certificat de service. Si ce certificat de nœud n’est pas signé par le certificat de service retourné, la connexion client (telle qu’implémentée dans l’exemple de code) devrait échouer.
Validation d’une enclave de registre confidentiel : un registre confidentiel s’exécute dans une enclave Intel® SGX représentée par un rapport d’attestation distant (ou devis), un blob de données généré à l’intérieur de cette enclave. Elle peut être utilisée par n’importe quelle autre entité pour vérifier que la citation a été générée à partir d’une application s’exécutant avec des protections Intel® SGX. Le devis contient des revendications qui permettent d’identifier différentes propriétés de l’enclave et de l’application en cours d’exécution. En particulier, il contient le code de hachage SHA-256 de la clé publique contenue dans le certificat du nœud de registre confidentiel. Le Quote d’un nœud de registre confidentiel peut être récupéré en appelant une API de flux de travail fonctionnel. Le Quote récupéré peut ensuite être validé en suivant les étapes décrites ici.