تأیید یکنواخت، قابل حمل و مستقل از بار کاری کانتینر، مزایای بی شماری را برای شرکت ها و فروشندگان صنعت ارائه می دهد: گسترش آسان تر در محیط ها و فروشندگان ابری چند ابری و ترکیبی را تسهیل می کند. تأیید سیاست های خاص حجم کاری را برای ممیزی و انطباق را امکان پذیر می کند.
برای کانتینرهایی که در حالت استراحت هستند، تصاویر رمزگذاری شده در مخازن عمومی/خصوصی مانند Docker Hub قرار دارند. برای کانتینرهایی که در حال حمل و نقل هستند، تصاویر کانتینری که به رجیستری ها فشار داده می شوند و از رجیستری ها خارج می شوند، رمزگذاری می شوند. کانتینرها در زمان اجرا با استفاده از TEE رمزگذاری و ایزوله می شوند. کانتینرهای محرمانه به عنوان کانتینرهای کاتا معرفی می شوند که اساسا ماشین های مجازی سبک وزنی هستند که از هایپروایزر KVM استفاده می کنند. برای جداسازی آنها در طول زمان اجرا، معماری کاتا گسترش می‌یابد تا کانتینرها بتوانند در یک محیط اجرایی قابل اعتماد مانند Intel TDX اجرا شوند.
یک تصویر ظرف کاملاً رمزگذاری شده توسط کاربر در فضای ابری و یک محیط Kubernetes مستقر می شود. یک گردش کار داخلی، تصویر محفظه را در داخل محیط اجرای مورد اعتماد Intel TDX راه اندازی می کند. سپس کانتینر از طریق یک کانال امن با یک سرویس کارگزار کلید پشتیبان برای دانلود یا واکشی کلید رمزگشایی مذاکره می کند. اگر Project Amber تأیید کند که یک محیط TDX واقعی است، کارگزار کلید را مستقیماً در TEE آزاد می کند. کانتینر زمان اجرا رمزگشایی می شود و تصویر درست مانند هر برنامه دیگری اجرا می شود.
پروژه Confidential Containers یک تلاش صنعتی با بازیکنانی مانند Intel، Apple، IBM و Alibaba است که مجموعه‌ای از اجزاء اولیه، اجزا و معماری را برای محافظت سرتاسر کانتینرها مشارکت و هدایت می‌کنند.
پروژه Confidential Container به شدت بر روی رمزگذاری سرتاسر تصاویر کانتینر، یعنی رمزگذاری در حالت استراحت، حمل و نقل و در حین اجرا متمرکز است. برای اینکه ببینیم این کار در یک برنامه روزمره چگونه کار می‌کند، اجازه دهید نگاهی کوتاه به دو مورد معمول استفاده کنیم، همانطور که در شکل #1 نشان داده شده است.
فناوری‌های اینتل ممکن است به سخت‌افزار، نرم‌افزار یا سرویس فعال نیاز داشته باشند
با پیروی از اصول اعتماد صفر، مالک داده با Project Amber ارتباط برقرار می کند تا تأیید کند که مدل هوش مصنوعی در کانتینر واقعاً یک محیط قابل اعتماد است. در این صورت، کلید مستقیماً در تصویر ظرف رها می شود، بنابراین مجموعه داده را می توان در آنجا رمزگشایی کرد. بنابراین، این تأیید گواهی مشابه است، اما توسط یک کاربر کاملاً متفاوت. در هر دو مورد، گواهی برای نقش مورد استفاده و درخواست کننده مناسب است.
امنیت
گسترش محاسبات محرمانه به کانتینرها وعده کاهش چشم‌انداز تهدید برای کانتینرها را می‌دهد و مجموعه‌ای جدید و جالب از موارد استفاده را فعال می‌کند. پروژه کانتینر محرمانه در تعریف اولیه و اجزای نرم افزاری مورد نیاز برای تعریف با Project Amber، اینتل پیشگام اولین راه حل کلید در دست صنعت برای تأیید ارزش اعتماد TEE ها با استفاده از سیاست ها و مدل های اعتماد صفر است، گام های بزرگی برداشته است.
در این وبلاگ به این خواهیم پرداخت که کانتینرهای محرمانه چیست، محاسبات محرمانه کانتینر چگونه کار می کند، و چگونه پروژه Amber اینتل تأیید مستقلی از قابل اعتماد بودن قابل اعتماد بودن قطعی ارائه می دهد. سپس دو مورد استفاده حیاتی را که به شدت توسط صنعت بر روی آنها متمرکز شده است را برجسته می کنیم، زیرا جامعه فناوری های توانمند برای استقرار گسترده تر کانتینرهای محرمانه را ایجاد می کند.
عدم پیوند تأیید گواهی از فروشندگان زیرساخت، به مالک یا کاربر کانتینر امکان ارائه تضمین را به طور مستقیم می دهد. این مشابه با مقامات گواهی است که بدون توجه به اینکه برنامه در کجا اجرا می شود، هویت خود را اعلام می کنند.
می‌توانید در مورد Project Amber اطلاعات بیشتری کسب کنید: https://www.intel.com/content/www/us/en/security/project-amber.html
یکی دیگر از عناصر کلیدی در جهت محاسبات محرمانه اینتل، افزونه های دامنه اعتماد Intel® (Intel® TDX) است. اینتل TDX عناصر جدید و معماری را برای کمک به استقرار ماشین‌های مجازی جدا شده از سخت‌افزار (VM) به نام دامنه‌های اعتماد (TD) به ارمغان می‌آورد. اینتل TDX برای جداسازی ماشین‌های مجازی از مدیر ماشین مجازی (VMM)/hypervisor و هر نرم‌افزار غیر TD دیگر روی پلتفرم طراحی شده است تا از TDها در برابر طیف وسیعی از نرم‌افزارها محافظت کند. برای اطلاعات بیشتر در مورد Intel TDX، وب سایت اینتل را بررسی کنید.
اطلاعات بیشتر درباره محاسبات محرمانه در: https://www.intel.com/content/www/us/en/security/confidential-computing.html موجود است.
Application Containers یک مدل بسته‌بندی و تحویل نرم‌افزار بسیار محبوب را برای میکروسرویس‌ها و برنامه‌های کاربردی در فضای ابری، لبه ارائه می‌کند و همچنین انتقال یکپارچه بارهای کاری بین on-prem و cloud را تسهیل می‌کند. در عین حال، محاسبات محرمانه به عنوان روشی موثر برای محافظت از داده‌ها و کدهای در حال استفاده با اجرای آنها در محیط‌های اجرایی مورد اعتماد (TEE) به شتاب خود ادامه می‌دهد. کانتینرها با ترکیب این دو رویکرد و اعمال اعتماد صفر، تأیید مستقل تایید شده قابل اعتماد بودن کانتینرهای رمزگذاری شده، محافظت‌های قدرتمند جدید end-to-end (E2E) را برای کانتینرها از طریق تمام روش‌های حفاظت از داده‌ها (در حالت استراحت، در حین حمل و نقل و در حالت استراحت) ممکن می‌سازد. -اعدام). برای شرکت‌ها، محاسبات محرمانه این امکان را فراهم می‌آورد که به راحتی کانتینرها را به‌طور ایمن در محیط‌ها و ارائه‌دهندگان ابری جابجا کنند.
برای این اهداف، پروژه Confidential Container بسیاری از عناصر مورد نیاز برای اجرای یکپارچه برنامه‌های کانتینری سازگار با OCI را در محیط‌های اجرایی قابل اعتماد تعریف می‌کند. این عناصر برای استقرار تصاویر کانتینر رمزگذاری شده در TEE که یک مورد استفاده حیاتی است، تعریف شده‌اند. شکل 1 نمای معماری سطح بالایی از اجزای مورد نیاز برای نمونه سازی بدون درز را ارائه می دهد.
Kata Containers یک پروژه جامعه منبع باز است که یک زمان اجرا کانتینر منبع باز را با ماشین های مجازی سبک وزن ارائه می دهد که مانند کانتینرها احساس و عملکرد دارند، اما با استفاده از فناوری مجازی سازی سخت افزار به عنوان لایه دوم دفاعی، انزوای بار کاری قوی تری را ارائه می دهند. کانتینرهای کاتا مانند کانتینرها سبک و سریع هستند و با لایه های مدیریت کانتینر – از جمله ابزارهای هماهنگ سازی محبوب مانند Docker و Kubernetes (k8s) – یکپارچه می شوند و در عین حال مزایای امنیتی VM ها را نیز ارائه می دهند.
حالا فرض کنید کانتینر در حال اجراست. در مورد استفاده از زمان راه‌اندازی، کلید رمزگشایی توسط سرویس کارگزار در اختیار «مالک» قرار می‌گیرد که تصویر را رمزگذاری و مستقر کرده است. با این حال، در این مورد، کاربر مالک تصویر نیست، بلکه کاربر است داده ها مالکی که می خواهد یک مدل هوش مصنوعی رمزگذاری شده را در داخل کانتینر اجرا کند. چگونه کلید رمزگشایی را ارائه کنم و چگونه به محیط محاسباتی محرمانه اعتماد کنم؟
رویکرد اینتل در توانایی ارائه گواهینامه و تأیید خط مشی خنثی، شخص ثالث و استفاده از کانتینرهای کاتا منبع باز با پسوندهایی است که اطمینان حاصل می کند که می توانند در محیط های اجرایی قابل اعتماد مانند Intel TDX اجرا شوند.
می‌توانید در مورد کانتینرهای محرمانه اطلاعات بیشتری کسب کنید: https://github.com/confidential-containers
محاسبات محرمانه کانتینری مفاهیم محاسباتی محرمانه و بسیاری از فناوری‌ها و معماری مشابه را در این محیط در حال رشد سریع برای توسعه و استقرار چند پلتفرمی به کار می‌برد. یک پروژه جامعه منبع باز به نام «ظروف محرمانه» در حال کار برای فعال کردن محاسبات محرمانه بومی ابری است. اینها برخی از اهداف کلیدی پروژه کانتینر محرمانه هستند:
- به دارندگان برنامه های بومی ابری اجازه دهید الزامات امنیتی برنامه را اعمال کنند
- استقرار شفاف کانتینرهای اصلاح نشده را فراهم کنید
- از چندین پلتفرم TEE و سخت افزار پشتیبانی کنید
- یک مدل اعتماد ارائه کنید که ارائه‌دهندگان خدمات ابری (CSP) را از برنامه‌های مهمان جدا می‌کند
- اصول کمترین امتیاز را برای قابلیت‌های مدیریت خوشه Kubernetes فعال کنید که بر ارائه محاسبات محرمانه برای برنامه مهمان یا داده‌های داخل TEE تأثیر می‌گذارد.
هیچ محصول یا جزء نمی تواند کاملاً ایمن باشد. را
نویسندگان: راغو یلوری، مهندس اصلی و معمار ارشد امنیت در دفتر CTO/گروه فناوری و معماری امنیتی و هایدونگ شیا مهندس اصلی، مدیر مهندس امنیت نرم افزار ابری در شرکت اینتل.
