La Fundación Linux anuncio la Confidential Computing Consortium

La Fundación Linux ha anunciado el establecimiento del Confidential Computing Consortium, cuyo objetivo es desarrollar tecnologías y estándares abiertos relacionados con el procesamiento seguro de datos en memoria y la computación confidencial.

Empresas como Alibaba, Arm, Baidu, Google, IBM, Intel, Tencent y Microsoft ya se han unido al proyecto conjunto, que tiene la intención de desarrollar conjuntamente tecnologías para aislar datos en la memoria durante el cálculo en un sitio neutral. El objetivo final es proporcionar fondos para mantener el ciclo completo de procesamiento de datos en forma cifrada, sin encontrar información en forma abierta en ciertas etapas.

Los intereses del consorcio incluyen principalmente tecnologías relacionadas con el uso de datos cifrados en el proceso de cálculo, a saber, el uso de enclaves aislados, protocolos para computación multilateral , manipulación de datos cifrados en la memoria y aislamiento completo de los datos en la memoria (por ejemplo, para evitar el acceso del administrador del host -sistemas para datos en la memoria de los sistemas invitados).

Los siguientes proyectos se han presentado para desarrollo independiente como parte del Consorcio de Computación Confidencial:

• Intel tomo la iniciativa para continuar el desarrollo colaborativo de componentes previamente abiertos para usar la tecnología SGX (Extensiones de protección de software) en Linux, incluido un SDK con un conjunto de herramientas y bibliotecas.

  SGX sugiere el uso de un conjunto de instrucciones especiales del procesador para asignar áreas de memoria definidas por el usuario cerradas a aplicaciones de nivel de usuario cuyo contenido está encriptado y no puede ser leído y modificado incluso por el núcleo y el código ejecutado en los modos ring0, SMM y VMM.

• Microsoft presentó el marco Open Enclav, que le permite crear aplicaciones para varias arquitecturas TEE (Trusted Execution Environment) utilizando una única API y una representación abstracta del enclave. Una aplicación preparada usando Open Enclav puede ejecutarse en sistemas con varias implementaciones de enclave. Del TEE, actualmente solo se admite Intel SGX.
  El código se está desarrollando para admitir ARM TrustZone. No se informa el soporte para Keystone , AMD PSP (Platform Security Processor) y AMD SEV (Secure Encryption Virtualization).
• Red Hat ha entregado el proyecto Enarx, que proporciona una capa de abstracción para crear aplicaciones universales para su ejecución en enclaves que admiten varios entornos TEE, que son independientes de las arquitecturas de hardware y permiten el uso de varios lenguajes de programación (utilizando tiempo de ejecución basado en WebAssembly). El proyecto actualmente es compatible con las tecnologías AMD SEV e Intel SGX.

De los proyectos similares que se pasan por alto, se puede observar el marco Asylo, desarrollado principalmente por ingenieros de Google, pero que no cuenta con el respaldo oficial de Google.

El marco facilita la adaptación de las aplicaciones para mover parte de la funcionalidad que requiere una mayor protección al lado del enclave protegido. De los mecanismos de aislamiento de hardware en Asylo, solo se admite Intel SGX, pero también está disponible un mecanismo de gabinete basado en software basado en virtualización.

Para su implementación, varios algoritmos de encriptación, funciones para procesar claves privadas y contraseñas, procedimientos de autenticación y un código para trabajar con datos confidenciales se pueden mover al enclave.

En caso de compromiso del sistema principal, el atacante no podrá determinar la información almacenada en el enclave y estará limitado solo por la interfaz externa del programa.

El uso de enclaves de hardware puede considerarse como una alternativa al uso de métodos basados ​​en cifrado homomórfico o protocolos de cálculo confidencial para proteger los cálculos, pero a diferencia de estas tecnologías, el enclave prácticamente no afecta el rendimiento de los cálculos con datos confidenciales y simplifica enormemente el desarrollo.

Fuente: https://www.linuxfoundation.org