Konfidentiell databehandling i Azure

Azure erbjuder redan många verktyg för att skydda vilande data via modeller som kryptering på klientsidan och kryptering på serversidan. Dessutom erbjuder Azure mekanismer för att kryptera data under överföring via säkra protokoll som TLS och HTTPS. Den här sidan introducerar en tredje del av datakryptering – kryptering av data som används.

Med konfidentiell databehandling i Azure blir det enklare att lita på molnleverantören genom att minska behovet av förtroende för olika aspekter av infrastrukturen för beräkningsmoln. Konfidentiell databehandling i Azure minimerar förtroendet för värdoperativsystemets kernel, hypervisor-programmet, VM-administratören och värdadministratören.

Konfidentiell databehandling i Azure kan hjälpa dig:

  • Förhindra obehörig åtkomst: Kör känsliga data i molnet. Lita på att Azure ger bästa möjliga dataskydd, med liten eller ingen förändring jämfört med vad som görs idag.

  • Uppfylla regelefterlevnad: Migrera till molnet och håll full kontroll över data för att uppfylla myndighetsregler för att skydda personlig information och skydda organisationens IP-adresser.

  • Säkerställ säkert och obetrott samarbete: Hantera problem i branschomfattande arbetsskala genom att kombinera data mellan organisationer, även konkurrenter, för att få tillgång till bred dataanalys och djupare insikter.

  • Isolera bearbetning: Erbjud en ny våg av produkter som tar bort ansvaret för privata data med blind bearbetning. Användardata kan inte ens hämtas av tjänstleverantören.

Azure-erbjudanden

Att verifiera att program körs konfidentiellt utgör själva grunden för konfidentiell databehandling. Den här verifieringen är multi-pronged och förlitar sig på följande uppsättning Azure-erbjudanden:

  • Microsoft Azure Attestation, en fjärrattesteringstjänst för validering av tillförlitligheten för flera betrodda körningsmiljöer (TEE) och verifiera integriteten hos binärfilerna som körs i TEE:erna.

  • Azure Key Vault Managed HSM, en fullständigt hanterad, högtillgänglig molntjänst med en enda klientorganisation som är standardkompatibel och som gör att du kan skydda kryptografiska nycklar för dina molnprogram med FIPS 140-2 Level 3-verifierade maskinvarusäkerhetsmoduler (HSM).

  • Betrodd start är tillgängligt för alla virtuella datorer i generation 2 med förstärkta säkerhetsfunktioner – säker start, modul för virtuell betrodd plattform och övervakning av startintegritet – som skyddar mot startpaket, rootkits och skadlig kod på kernelnivå.

  • Konfidentiellt transaktionsregister i Azure. ACL är ett manipuleringssäkert register för lagring av känsliga data för arkivering och granskning eller för datatransparens i scenarier med flera parter. Den erbjuder garantier för write-once-read-many, vilket gör data icke-raderbara och icke-ändringsbara. Tjänsten bygger på Microsoft Researchs Confidential Consortium Framework.

  • Azure IoT Edge stöder konfidentiella program som körs i säkra enklaver på en IoT-enhet (Internet of Things). IoT-enheter utsätts ofta för manipulering och förfalskning eftersom de är fysiskt tillgängliga för dåliga aktörer. Konfidentiella IoT Edge enheter tillför förtroende och integritet vid gränsen genom att skydda åtkomsten till data som samlas in av och lagras på själva enheten innan de strömmas till molnet.

  • Always Encrypted med säkra enklaver i Azure SQL. Sekretessen för känsliga data skyddas från skadlig kod och obehöriga högprivilegierade användare genom att köra SQL-frågor direkt i en TEE.

Tekniker som Intel Software Guard Extensions (Intel SGX) eller AMD Secure Encrypted Virtualization (SEV-SNP) är de senaste CPU-förbättringarna som stöder implementeringar av konfidentiell databehandling. Dessa tekniker är utformade som virtualiseringstillägg och tillhandahåller funktionsuppsättningar som minneskryptering och integritet, processortillståndskonfidentialitet och integritet samt attestering för att skapa hotmodellen för konfidentiell databehandling. Azure Computational Computing utnyttjar dessa tekniker i följande beräkningsresurser:

  • Virtuella datorer med Intel SGX-program enklaver. Azure erbjuder serien DCsv2, DCsv3 och DCdsv3 som bygger på Intel SGX-teknik för maskinvarubaserad skapande av enklaver. Du kan skapa säkra enklaverbaserade program som ska köras i en serie virtuella datorer för att skydda dina programdata och din kod som används.

  • Appenklavmedvetna containrar som körs på Azure Kubernetes Service (AKS). Konfidentiella beräkningsnoder i AKS använder Intel SGX för att skapa isolerade enklavmiljöer i noderna mellan varje containerprogram.

  • Konfidentiella virtuella datorer baserade på AMD SEV-SNP-teknik möjliggör lift and shift för befintliga arbetsbelastningar och skyddar data från molnoperatören med sekretess på VM-nivå.

  • Confidential Inference ONNX Runtime, en ML-slutsatsdragningsserver (Machine Learning) som hindrar ML-värdparten från att komma åt både slutsatsdragningsbegäran och dess motsvarande svar.

Nästa steg