在計算中，數(shù)據(jù)以三種狀態(tài)存在：傳輸、靜止和使用中。跨網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)狀態(tài)是“傳輸中”，保存在某種類型存儲中的數(shù)據(jù)狀態(tài)是“靜止的”，正在處理的數(shù)據(jù)狀態(tài)是“使用中”。 

針對網(wǎng)絡(luò)和存儲設(shè)備的網(wǎng)絡(luò)威脅越來越多，隨著適用于傳輸和靜止數(shù)據(jù)保護手段的加強，攻擊者已將重點轉(zhuǎn)移到了使用中數(shù)據(jù)上。常見的攻擊包括內(nèi)存抓取、CPU旁道攻擊和植入惡意軟件。 

機密計算（Confidential Computing，也譯作保密計算）是通過基于硬件的可信執(zhí)行環(huán)境（TEE）對使用中的數(shù)據(jù)進行保護。TEE被定義為提供一定級別的數(shù)據(jù)完整性、數(shù)據(jù)機密性和代碼完整性保證的環(huán)境。 

安全策略必須考慮可能被入侵的所有層面。如果一層受到損害（例如正在使用的數(shù)據(jù)），那么其他層（靜止數(shù)據(jù)，使用中的數(shù)據(jù)）可能會受到影響。機密計算正在彌補入侵者可能利用的最后一個“漏洞”，并將大大加強系統(tǒng)的整體安全策略。

機密計算的興起

數(shù)十年來，盡管業(yè)界一直在努力通過多種安全策略來保護數(shù)據(jù)，但是機密計算是同類解決方案中的第一個，沒有其他替代方案。這是一種創(chuàng)新的方法，可以彌補數(shù)據(jù)保護策略中的潛在弱點。處理器和內(nèi)存芯片設(shè)計的重大進步使標準處理芯片組可以內(nèi)置更多功能，這推動了機密計算解決方案的興起和應(yīng)用。

任何新技術(shù)剛進入市場時，通常都很復(fù)雜，但很快就被業(yè)界和特定領(lǐng)域的專家使用。機密計算仍處于早期應(yīng)用的階段，缺乏標準的實現(xiàn)方法。不同的公司以不一樣的方式來實現(xiàn)它，這可能會使普通的安全IT專業(yè)人員感到困惑，但同時又令人興奮。 

密鑰管理空間中可以找到一個很好的安全類比，它概述了類似的采用速度。在引入密鑰管理互操作性協(xié)議（KMIP）之前，部署的每個加密解決方案都需要集成到某種形式的轉(zhuǎn)悠加密密鑰管理器中。盡管最初這很復(fù)雜且令人困惑，但這最終能夠解決。 

采用KMIP的當(dāng)前密鑰管理解決方案現(xiàn)在易于實現(xiàn)和使用，并且價格更便宜。像密鑰管理和之前的許多其他技術(shù)一樣，機密計算技術(shù)的應(yīng)用有望遵循類似的道路。 

隨著機密計算市場的發(fā)展，我們將在未來三到五年內(nèi)看到重大變化。最初，每個應(yīng)用都可能會有不同的實現(xiàn)，這需要在芯片級別擁有自己的硬件以及對其進行管理的軟件。 

在這段時間內(nèi)，可以預(yù)期客戶需求將迫使芯片制造商實現(xiàn)機密計算的標準化，以便最終用戶擁有一種統(tǒng)一的保護使用中數(shù)據(jù)的方法。這也將迫使軟件行業(yè)快速創(chuàng)新，并改善機密計算的可管理性和兼容性，使其更容易適應(yīng)現(xiàn)有的安全管理框架并變得更容易獲得。 

如何進入機密計算空間

由于機密計算剛剛成為當(dāng)下關(guān)注的焦點，因此IT安全專業(yè)人員應(yīng)該研究為最關(guān)鍵的公司或政府應(yīng)用程序部署TEE的方法，并明白他們可能必須處理多種不同的實現(xiàn)方式，具體取決于用于特定應(yīng)用程序的硬件供應(yīng)商。

例如，如果TEE在數(shù)據(jù)中心中運行，則管理將需要由硬件供應(yīng)商提供。這些TEE使用硬件支持的技術(shù)（例如安全保護區(qū)）為該環(huán)境中的代碼執(zhí)行和數(shù)據(jù)保護提供增強的安全保證。

基于硬件的飛地的示例包括可信平臺模塊（TPM），英特爾的Secure Guard擴展（SGX），ARM的Trustzone和AMD的安全加密虛擬化（SEV）。但是，使用云的公司通常需要轉(zhuǎn)向由其云提供商托管服務(wù)的不同TEE。其中包括使用英特爾SGX的Azure機密計算和Google Cloud機密計算。

雖然HSM可以利用機密計算的優(yōu)勢，但它們?nèi)匀恍枰芾韱为毜膹?fù)雜且昂貴的硬件。基于軟件的密鑰管理器可以在提供TEE的任何硬件上運行，僅花費一小部分成本即可提供機密計算的價值，但都來自硬件解決方案的保護。

安全性是任何IT戰(zhàn)略的重中之重，而機密計算將是未來數(shù)月和數(shù)年中值得關(guān)注的新技術(shù)。 

雷鋒網(wǎng)編譯，原文作者：Bruce Kornfeld 雷鋒網(wǎng)

鏈接：https://www.eweek.com/security/demystifying-confidential-computing 雷鋒網(wǎng)

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。