یک تصویر ظرف کاملاً رمزگذاری شده توسط کاربر در فضای ابری و یک محیط Kubernetes مستقر می شود. یک گردش کار داخلی، تصویر محفظه را در داخل محیط اجرای مورد اعتماد Intel TDX راه اندازی می کند. سپس کانتینر از طریق یک کانال امن با یک سرویس کارگزار کلید پشتیبان برای دانلود یا واکشی کلید رمزگشایی مذاکره می کند. اگر Project Amber تأیید کند که یک محیط TDX واقعی است، کارگزار کلید را مستقیماً در TEE آزاد می کند. کانتینر زمان اجرا رمزگشایی می شود و تصویر درست مانند هر برنامه دیگری اجرا می شود.
فناوری‌های اینتل ممکن است به سخت‌افزار، نرم‌افزار یا سرویس فعال نیاز داشته باشند
رویکرد اینتل در توانایی ارائه گواهینامه و تأیید خط مشی خنثی، شخص ثالث و استفاده از کانتینرهای کاتا منبع باز با پسوندهایی است که اطمینان حاصل می کند که می توانند در محیط های اجرایی قابل اعتماد مانند Intel TDX اجرا شوند.
می‌توانید در مورد Project Amber اطلاعات بیشتری کسب کنید: https://www.intel.com/content/www/us/en/security/project-amber.html
Project Amber نام رمز اینتل برای پروژه ای است که سرویسی مستقل، شفاف و قابل حسابرسی ارائه می دهد که اعتبار محیط های اجرایی را برای بارهای کاری محاسباتی محرمانه تأیید می کند. این یک گام کلیدی در ایجاد یک اعتماد صفر، چند ابری، چند TEE برای ابرهای عمومی، خصوصی و ترکیبی و لبه است.
برای این اهداف، پروژه Confidential Container بسیاری از عناصر مورد نیاز برای اجرای یکپارچه برنامه‌های کانتینری سازگار با OCI را در محیط‌های اجرایی قابل اعتماد تعریف می‌کند. این عناصر برای استقرار تصاویر کانتینر رمزگذاری شده در TEE که یک مورد استفاده حیاتی است، تعریف شده‌اند. شکل 1 نمای معماری سطح بالایی از اجزای مورد نیاز برای نمونه سازی بدون درز را ارائه می دهد.
گسترش محاسبات محرمانه به کانتینرها وعده کاهش چشم‌انداز تهدید برای کانتینرها را می‌دهد و مجموعه‌ای جدید و جالب از موارد استفاده را فعال می‌کند. پروژه کانتینر محرمانه در تعریف اولیه و اجزای نرم افزاری مورد نیاز برای تعریف با Project Amber، اینتل پیشگام اولین راه حل کلید در دست صنعت برای تأیید ارزش اعتماد TEE ها با استفاده از سیاست ها و مدل های اعتماد صفر است، گام های بزرگی برداشته است.
می‌توانید در مورد کانتینرهای محرمانه اطلاعات بیشتری کسب کنید: https://github.com/confidential-containers
با پیروی از اصول اعتماد صفر، مالک داده با Project Amber ارتباط برقرار می کند تا تأیید کند که مدل هوش مصنوعی در کانتینر واقعاً یک محیط قابل اعتماد است. در این صورت، کلید مستقیماً در تصویر ظرف رها می شود، بنابراین مجموعه داده را می توان در آنجا رمزگشایی کرد. بنابراین، این تأیید گواهی مشابه است، اما توسط یک کاربر کاملاً متفاوت. در هر دو مورد، گواهی برای نقش مورد استفاده و درخواست کننده مناسب است.
اطلاعات بیشتر درباره محاسبات محرمانه در: https://www.intel.com/content/www/us/en/security/confidential-computing.html موجود است.
در این وبلاگ به این خواهیم پرداخت که کانتینرهای محرمانه چیست، محاسبات محرمانه کانتینر چگونه کار می کند، و چگونه پروژه Amber اینتل تأیید مستقلی از قابل اعتماد بودن قابل اعتماد بودن قطعی ارائه می دهد. سپس دو مورد استفاده حیاتی را که به شدت توسط صنعت بر روی آنها متمرکز شده است را برجسته می کنیم، زیرا جامعه فناوری های توانمند برای استقرار گسترده تر کانتینرهای محرمانه را ایجاد می کند.
تأیید یکنواخت، قابل حمل و مستقل از بار کاری کانتینر، مزایای بی شماری را برای شرکت ها و فروشندگان صنعت ارائه می دهد: گسترش آسان تر در محیط ها و فروشندگان ابری چند ابری و ترکیبی را تسهیل می کند. تأیید سیاست های خاص حجم کاری را برای ممیزی و انطباق را امکان پذیر می کند.
نویسندگان: راغو یلوری، مهندس اصلی و معمار ارشد امنیت در دفتر CTO/گروه فناوری و معماری امنیتی و هایدونگ شیا مهندس اصلی، مدیر مهندس امنیت نرم افزار ابری در شرکت اینتل.
یکی دیگر از عناصر کلیدی در جهت محاسبات محرمانه اینتل، افزونه های دامنه اعتماد Intel® (Intel® TDX) است. اینتل TDX عناصر جدید و معماری را برای کمک به استقرار ماشین‌های مجازی جدا شده از سخت‌افزار (VM) به نام دامنه‌های اعتماد (TD) به ارمغان می‌آورد. اینتل TDX برای جداسازی ماشین‌های مجازی از مدیر ماشین مجازی (VMM)/hypervisor و هر نرم‌افزار غیر TD دیگر روی پلتفرم طراحی شده است تا از TDها در برابر طیف وسیعی از نرم‌افزارها محافظت کند. برای اطلاعات بیشتر در مورد Intel TDX، وب سایت اینتل را بررسی کنید.
یک عنصر حیاتی گواهی است، مکانیزمی که قابلیت اطمینان TEE و کد در حال اجرا در داخل آن را تأیید می کند. این تأیید شایستگی اعتماد، حقیقت اصلی است، که تعیین می کند چگونه اطلاعات حساس و مواد کلیدی برای انجام کار مفید در اختیار آن ظرف قرار می گیرد. در این مورد، گواهی به صاحب بار کاری اجازه می‌دهد تا تأیید کند که مهمان کانتینرهای کاتا روی TEE اجرا می‌شود. نماینده گواهی (نماینده کهربایی در تصویر) تنها پس از تأیید نقل قول در حالت پس‌زمینه، کلید رمزگشایی را از سرویس کارگزار کلید دریافت می‌کند، و تأیید می‌کند که برای ممیزی و انتشار محرمانه ایمن است.
هیچ محصول یا جزء نمی تواند کاملاً ایمن باشد. را
حالا فرض کنید کانتینر در حال اجراست. در مورد استفاده از زمان راه‌اندازی، کلید رمزگشایی توسط سرویس کارگزار در اختیار «مالک» قرار می‌گیرد که تصویر را رمزگذاری و مستقر کرده است. با این حال، در این مورد، کاربر مالک تصویر نیست، بلکه کاربر است داده ها مالکی که می خواهد یک مدل هوش مصنوعی رمزگذاری شده را در داخل کانتینر اجرا کند. چگونه کلید رمزگشایی را ارائه کنم و چگونه به محیط محاسباتی محرمانه اعتماد کنم؟
امنیت
Kata Containers یک پروژه جامعه منبع باز است که یک زمان اجرا کانتینر منبع باز را با ماشین های مجازی سبک وزن ارائه می دهد که مانند کانتینرها احساس و عملکرد دارند، اما با استفاده از فناوری مجازی سازی سخت افزار به عنوان لایه دوم دفاعی، انزوای بار کاری قوی تری را ارائه می دهند. کانتینرهای کاتا مانند کانتینرها سبک و سریع هستند و با لایه های مدیریت کانتینر – از جمله ابزارهای هماهنگ سازی محبوب مانند Docker و Kubernetes (k8s) – یکپارچه می شوند و در عین حال مزایای امنیتی VM ها را نیز ارائه می دهند.
محاسبات محرمانه کانتینری مفاهیم محاسباتی محرمانه و بسیاری از فناوری‌ها و معماری مشابه را در این محیط در حال رشد سریع برای توسعه و استقرار چند پلتفرمی به کار می‌برد. یک پروژه جامعه منبع باز به نام «ظروف محرمانه» در حال کار برای فعال کردن محاسبات محرمانه بومی ابری است. اینها برخی از اهداف کلیدی پروژه کانتینر محرمانه هستند:
- به دارندگان برنامه های بومی ابری اجازه دهید الزامات امنیتی برنامه را اعمال کنند
- استقرار شفاف کانتینرهای اصلاح نشده را فراهم کنید
- از چندین پلتفرم TEE و سخت افزار پشتیبانی کنید
- یک مدل اعتماد ارائه کنید که ارائه‌دهندگان خدمات ابری (CSP) را از برنامه‌های مهمان جدا می‌کند
- اصول کمترین امتیاز را برای قابلیت‌های مدیریت خوشه Kubernetes فعال کنید که بر ارائه محاسبات محرمانه برای برنامه مهمان یا داده‌های داخل TEE تأثیر می‌گذارد.
برای کانتینرهایی که در حالت استراحت هستند، تصاویر رمزگذاری شده در مخازن عمومی/خصوصی مانند Docker Hub قرار دارند. برای کانتینرهایی که در حال حمل و نقل هستند، تصاویر کانتینری که به رجیستری ها فشار داده می شوند و از رجیستری ها خارج می شوند، رمزگذاری می شوند. کانتینرها در زمان اجرا با استفاده از TEE رمزگذاری و ایزوله می شوند. کانتینرهای محرمانه به عنوان کانتینرهای کاتا معرفی می شوند که اساسا ماشین های مجازی سبک وزنی هستند که از هایپروایزر KVM استفاده می کنند. برای جداسازی آنها در طول زمان اجرا، معماری کاتا گسترش می‌یابد تا کانتینرها بتوانند در یک محیط اجرایی قابل اعتماد مانند Intel TDX اجرا شوند.
محاسبات محرمانه یک الگوی نوظهور است که به دنبال افزایش امنیت داده ها با اجرای اجرا در یک محیط ایمن و ایزوله است. داده ها و کدهای رمزگذاری شده در محیط اجرای قابل اعتماد بارگیری می شوند، سپس برای پردازش در حافظه رمزگشایی می شوند. هدف محافظت در برابر دسترسی، تغییر، سرقت و دستکاری توسط عوامل مخرب یا غیرمجاز است. خدمات مالی، دولت، خرده‌فروشی، مراقبت‌های بهداشتی، ارائه‌دهندگان خدمات ابری (CSP) و بسیاری دیگر، به‌ویژه در صنایع تحت نظارت، در حال اجرای آزمایشی و اتخاذ این رویکرد جدید هستند.
© شرکت اینتل. اینتل، لوگوی اینتل و سایر علائم اینتل علائم تجاری Intel Corporation یا شرکت های تابعه آن هستند. نام ها و مارک های دیگر ممکن است به عنوان مالکیت دیگران ادعا شود.
پروژه Confidential Container به شدت بر روی رمزگذاری سرتاسر تصاویر کانتینر، یعنی رمزگذاری در حالت استراحت، حمل و نقل و در حین اجرا متمرکز است. برای اینکه ببینیم این کار در یک برنامه روزمره چگونه کار می‌کند، اجازه دهید نگاهی کوتاه به دو مورد معمول استفاده کنیم، همانطور که در شکل #1 نشان داده شده است.
Application Containers یک مدل بسته‌بندی و تحویل نرم‌افزار بسیار محبوب را برای میکروسرویس‌ها و برنامه‌های کاربردی در فضای ابری، لبه ارائه می‌کند و همچنین انتقال یکپارچه بارهای کاری بین on-prem و cloud را تسهیل می‌کند. در عین حال، محاسبات محرمانه به عنوان روشی موثر برای محافظت از داده‌ها و کدهای در حال استفاده با اجرای آنها در محیط‌های اجرایی مورد اعتماد (TEE) به شتاب خود ادامه می‌دهد. کانتینرها با ترکیب این دو رویکرد و اعمال اعتماد صفر، تأیید مستقل تایید شده قابل اعتماد بودن کانتینرهای رمزگذاری شده، محافظت‌های قدرتمند جدید end-to-end (E2E) را برای کانتینرها از طریق تمام روش‌های حفاظت از داده‌ها (در حالت استراحت، در حین حمل و نقل و در حالت استراحت) ممکن می‌سازد. -اعدام). برای شرکت‌ها، محاسبات محرمانه این امکان را فراهم می‌آورد که به راحتی کانتینرها را به‌طور ایمن در محیط‌ها و ارائه‌دهندگان ابری جابجا کنند.
پروژه Confidential Containers یک تلاش صنعتی با بازیکنانی مانند Intel، Apple، IBM و Alibaba است که مجموعه‌ای از اجزاء اولیه، اجزا و معماری را برای محافظت سرتاسر کانتینرها مشارکت و هدایت می‌کنند.
