華為云發(fā)布 擎天Enclave ， 四大優(yōu)勢(shì) 保障數(shù)據(jù)安全 、 化解上云風(fēng)險(xiǎn)

數(shù)字化是各種顛覆性技術(shù)的堅(jiān)實(shí)基礎(chǔ)，更是企業(yè)向未來(lái)轉(zhuǎn)型的基石。數(shù)字化時(shí)代，企業(yè)對(duì)數(shù)字化轉(zhuǎn)型認(rèn)知不斷深入，越來(lái)越多的上云需求涌現(xiàn)。

在企業(yè)上云的過(guò)程中，各種挑戰(zhàn)也接踵而至。一是系統(tǒng)上云復(fù)雜性提升，對(duì)穩(wěn)定性提升提出新要求。二是隨著各種云上數(shù)據(jù)泄露事件發(fā)生，傳統(tǒng)的安全威脅模型無(wú)法滿(mǎn)足用戶(hù)對(duì)機(jī)密數(shù)據(jù)安全防護(hù)的需求，新安全需求涌現(xiàn)，云上安全機(jī)制亟待改進(jìn)。

針對(duì)上述挑戰(zhàn)，華為云全新打造機(jī)密計(jì)算方案擎天Enclave， “為云而生”的擎天Enclave擁有自己的內(nèi)核、內(nèi)存和CPU的隔離空間，基于“硬件信任根”、“可信啟動(dòng)”、“固件防篡改”、“端到端加密”、“單向控制”等設(shè)計(jì)原則來(lái)構(gòu)建最小的可信計(jì)算基（TCB, Trusted Computing Base），為了提供完全隔離的安全計(jì)算環(huán)境，QingTian Hypervisor深度重構(gòu)了虛擬化語(yǔ)義：以Core為粒度的vCPU動(dòng)態(tài)隔離技術(shù)，實(shí)現(xiàn)Enclave CPU隔離、降低側(cè)信道攻擊風(fēng)險(xiǎn)；通過(guò)Enclave內(nèi)存隔離技術(shù)，實(shí)現(xiàn)用戶(hù)高度敏感數(shù)據(jù)的安全隔離；同時(shí)擎天Enclave沒(méi)有外部網(wǎng)絡(luò)連接，也沒(méi)有持久存儲(chǔ)，父虛擬機(jī)甚至Hypervisor上的其他進(jìn)程、程序都無(wú)法訪問(wèn)分配隔離給Enclave的內(nèi)存和vCPU，極大降低了用戶(hù)處理高度敏感數(shù)據(jù)的應(yīng)用程序的攻擊面的同時(shí)擎天Enclave擁有極致的安全性能。

基于擎天Enclave的特性，其擁有四大優(yōu)勢(shì)**——**

云平臺(tái)可信

擎天系統(tǒng)通過(guò)加密技術(shù)和系統(tǒng)完整性保護(hù)技術(shù)來(lái)阻止意外的內(nèi)部物理攻擊。擎天虛擬化平臺(tái)支持強(qiáng)制的數(shù)據(jù)傳輸加密、持久化數(shù)據(jù)加密。

前后端物理隔離

擎天虛擬化平臺(tái)分為前端系統(tǒng)和后端系統(tǒng)。確保前端運(yùn)行環(huán)境與后端運(yùn)行環(huán)境的硬隔離，因此有效控制了前端系統(tǒng)攻擊所導(dǎo)致的安全爆炸半徑，阻止攻擊滲透到虛擬化后端和底層安全系統(tǒng)。

降低虛機(jī)逃逸與運(yùn)維風(fēng)險(xiǎn)

擎天Hypervisor管理程序功能極為精簡(jiǎn)，相比傳統(tǒng)Hypervisor來(lái)說(shuō)其代碼量約為 1% ，因而極大降低了0day漏洞和虛機(jī)逃逸風(fēng)險(xiǎn)。在運(yùn)維平面的設(shè)計(jì)上，擎天系統(tǒng)禁用基于SSH的傳統(tǒng)運(yùn)維通道，而使用自動(dòng)化運(yùn)維管理API來(lái)取代。

阻止內(nèi)部攻擊

擎天平臺(tái)通過(guò)提供Enclave機(jī)密計(jì)算實(shí)例來(lái)防止惡意的特權(quán)用戶(hù)進(jìn)程對(duì)Enclave應(yīng)用和數(shù)據(jù)的竊取和篡改，從而對(duì)運(yùn)行在Enclave中的客戶(hù)應(yīng)用程序和數(shù)據(jù)提供保護(hù)。

針對(duì)系統(tǒng)軟件風(fēng)險(xiǎn)、平臺(tái)安全漏洞、租戶(hù)內(nèi)部攻擊等具體的上云挑戰(zhàn)，擎天Enclave均擁有成熟的解決方案，助力企業(yè)無(wú)憂(yōu)上云。以敏感數(shù)據(jù)處理存儲(chǔ)和身份認(rèn)證這兩種實(shí)際使用場(chǎng)景為例，擎天Enclave是如何賦能企業(yè)，提供安全保障？

場(chǎng)景****一：政企行業(yè)敏感數(shù)據(jù)處理存儲(chǔ)

政企行業(yè)上云數(shù)量增加，因?yàn)槠湫袠I(yè)性質(zhì)容易成為黑客攻擊目標(biāo)，A公司公信力高、影響力大，更容易因?yàn)樾畔⒈淮鄹脑斐蓢?yán)重打擊和傷害。而且，A公司后臺(tái)數(shù)據(jù)維護(hù)，或者存儲(chǔ)圖片、視頻等關(guān)鍵文件，一旦受到安全攻擊，可能會(huì)被攻擊者植入有害信息。數(shù)據(jù)在使用過(guò)程中，如果受到安全攻擊，可能會(huì)被篡改或者非法獲取。

通過(guò)擎天Enclave將A公司的高度敏感數(shù)據(jù)在存儲(chǔ)和使用過(guò)程中都保護(hù)起來(lái)，避免攻擊者的篡改行為，為業(yè)務(wù)運(yùn)行提供專(zhuān)屬安全保障。

場(chǎng)景****二：專(zhuān)業(yè)的安全認(rèn)證能力提供身份證明

B公司需要使用高度可用且安全的身份鑒權(quán)，對(duì)不同交互場(chǎng)景生成身份證明文檔，在不同的場(chǎng)景和運(yùn)行系統(tǒng)中使用同一套可以靈活配置的驗(yàn)證系統(tǒng)。

但B公司由于身份驗(yàn)證業(yè)務(wù)在不同主機(jī)部署場(chǎng)景下，產(chǎn)品的穩(wěn)定性、資源消耗、威脅檢出等面臨巨大挑戰(zhàn)，若產(chǎn)品的安全防護(hù)能力不足，產(chǎn)品運(yùn)維需要投入巨大精力在產(chǎn)品的二次開(kāi)發(fā)和運(yùn)維上，無(wú)法專(zhuān)注于產(chǎn)品的設(shè)計(jì)和策略發(fā)展。

基于擎天Enclave提供專(zhuān)業(yè)的安全認(rèn)證能力，用戶(hù)能夠靈活地自定義安全策略，結(jié)合Enclave的密碼學(xué)證明attestation doc進(jìn)行身份認(rèn)證，協(xié)助B公司安全升級(jí)。節(jié)約安全運(yùn)維成本，使得業(yè)務(wù)聚焦于更高級(jí)的策略設(shè)計(jì)與安全治理工作。

在社會(huì)數(shù)字化轉(zhuǎn)型需求及政策的共同推動(dòng)下，中國(guó)成為全球云計(jì)算市場(chǎng)主要增長(zhǎng)區(qū)域，國(guó)內(nèi)政企單位、金融行業(yè)、醫(yī)療行業(yè)等千行百業(yè)上云需求涌現(xiàn)，進(jìn)入爆發(fā)式增長(zhǎng)階段，其背后的上云數(shù)據(jù)安全也成為企業(yè)關(guān)注焦點(diǎn)。擎天Enclave能夠通過(guò)提供可信的隔離空間(Enclave)，將合法軟件的安全操作封裝在其中，保障企業(yè)運(yùn)行時(shí)代碼和數(shù)據(jù)的機(jī)密性與完整性，減少處理敏感數(shù)據(jù)應(yīng)用程序的攻擊面，免于外部攻擊，有效保障用戶(hù)敏感數(shù)據(jù)安全、化解上云風(fēng)險(xiǎn)。

審核編輯 黃昊宇