Что такое расширения Intel Software Guard

Обновлено: 23.11.2024

Intel® SGX — это новый набор инструкций от Intel, доступный для процессоров Skylake и более новых поколений. Intel® SGX позволяет приложениям работать безопасно и конфиденциально, не доверяя базовой ОС и инфраструктуре.

FAQ: ОБЩИЕ ВОПРОСЫ

FAQ: ВОПРОСЫ РАЗРАБОТЧИКОВ

Ресурсы Intel SGX

Часто задаваемые вопросы: общие вопросы

Intel® SGX — это расширение архитектуры x86, позволяющее запускать приложения в полностью изолированных защищенных анклавах. Приложения Intel® SGX изолированы от других приложений, работающих в той же системе, а также от операционной системы, гипервизора, модуля управления системой, а также BIOS и микропрограммы. Память безопасных анклавов также шифруется, чтобы предотвратить физические атаки. Эти гарантии безопасности не позволяют даже системным администраторам, имеющим физический доступ к узлам SGX, вмешиваться в работу приложения после его запуска. Intel® SGX поддерживает запечатывание данных, что позволяет анклавам безопасно сохранять данные таким образом, что данные могут быть прочитаны только анклавом. С помощью удаленной аттестации Intel® SGX позволяет третьим сторонам убедиться, что приложение действительно работает внутри анклава и что оно не было изменено.

Intel® SGX основан на аппаратной изоляции памяти, встроенной в сам процессор, а также надежной криптографии. Процессор отслеживает, какие части памяти принадлежат какому анклаву, и гарантирует, что только анклавы могут получить доступ к своей собственной памяти.

Данные, связанные с анклавом, хранятся в специальной области ОЗУ, называемой зарезервированной памятью процессора (PRM). ЦП контролирует доступ к PRM и предотвращает доступ неавторизованных лиц. PRM содержит, помимо прочего, кэш страниц анклава (EPC), в котором хранятся страницы анклава. Эти страницы доступны только анклаву, к которому они принадлежат, и хранятся в зашифрованном виде при хранении в оперативной памяти. Когда страница анклава загружается в пакет ЦП, механизм шифрования памяти (MEE) прозрачно расшифровывает страницу.

В некоторых случаях анклавам необходимо сохранять свое состояние на ненадежных устройствах хранения, чтобы сделать его доступным при вызовах анклава. Для этого анклав может шифровать (запечатывать) данные с помощью запечатывающего ключа и безопасно хранить данные на диске. При запечатывании данных необходимо выбрать одно из двух доступных удостоверений. «Идентификатор анклава» указывает, что запечатанные данные могут быть расшифрованы только тем же самым анклавом. «Идентификатор подписывающей стороны» указывает, что запечатанные данные могут быть расшифрованы любым анклавом, подписанным одним и тем же пользователем.

Экземпляры анклавов Intel® SGX могут быть созданы на узлах, которые предоставляются и управляются сторонним (ненадежным) поставщиком. Сторона, желающая развернуть некоторое программное обеспечение внутри анклава на таком ненадежном узле, может использовать удаленную аттестацию, чтобы убедиться, что их программное обеспечение действительно развернуто в анклаве и что оно не было изменено. Как только анклав подтверждает себя пользователю анклава, между ними может быть установлен безопасный канал, по которому могут быть предоставлены секретные ключи и конфиденциальная информация.

Был предложен ряд атак по сторонним каналам, которые позволяют локальным злоумышленникам считывать память других процессов в той же системе, включая память гипервизоров, ядра операционной системы, код управления системой и анклавы SGX. Эти атаки можно разделить на несколько категорий. Категория атак с контролируемым каналом охватывает атаки, которые используют контроль ненадежной ОС над системными событиями, такими как переключение контекста, доступ к памяти, сброс TLB, прерывания и сбои страниц, для извлечения информации по сторонним каналам. Примеры таких атак включают SGX-Step, Nemesis и Off-Limits. Категория кэш-атак относится к атакам, которые используют кэширование загрузки памяти из основной памяти, что оставляет эффекты в состоянии системы, которые можно измерить вне приложения анклава. Примеры атак в этой категории включают CacheQuote, Malware Guard Extensions, Software Grand Exposure и MemJam. Атаки с прогнозированием ветвлений используют мелкозернистый поток управления запущенных приложений SGX, затеняя модуль прогнозирования ветвлений. Примеры атак, попадающих в эту категорию, включают BranchScope, Bluethunder и Branch Shadowing. Атаки со спекулятивным выполнением работают путем неправильного предсказания ветвей и выполнения кода, который в противном случае не был бы выполнен, спекулятивным образом. Примеры атак включают Spectre, SgxPectre и SpectreRSB. Категория временной загрузки кэша данных относится к таким атакам, как Meltdown и Foreshadow, которые злоупотребляют доступом к памяти, который временно доступен из-за неупорядоченного выполнения инструкций, даже если эти инструкции впоследствии откатываются. Атаки выборки данных микроархитектуры включают CacheOut, CrossTalk, ZombieLoad и SGAxe и работают путем раскрытия информации из промежуточных буферов целевой микроархитектуры.Атаки с внедрением сбоев часто работают путем динамического изменения частоты или напряжения ЦП с целью искажения вычислений приложений анклава. Атаки, которые попадают в эту категорию, включают Plundervolt.

У разработчиков приложений и решений есть потрясающая возможность взять на себя ответственность за безопасность своих данных с помощью новых аппаратных средств управления для облачных и корпоративных сред. Intel® Software Guard Extensions (Intel® SGX) 1 2 предлагает аппаратное шифрование памяти, которое изолирует определенный код приложения и данные в памяти. Intel® SGX позволяет коду уровня пользователя выделять частные области памяти, называемые анклавами, которые предназначены для защиты от процессов, работающих с более высокими уровнями привилегий. Только Intel® SGX предлагает такой детальный уровень контроля и защиты.

Улучшите свой код и защиту данных

Intel® SGX помогает защититься от многих известных и активных угроз. Он добавляет еще один уровень защиты, помогая уменьшить поверхность атаки системы.

Узнайте, как сочетание усиленных функций безопасности и проверки Intel® SGX, а также постоянное сотрудничество Intel с ее обширной экосистемой безопасности помогают свести к минимуму потенциальную поверхность атаки и снизить даже теоретические риски.

Решения и услуги Intel SGX

Обратитесь к партнерам Intel, OEM-производителям и поставщикам облачных услуг и найдите продукты и решения для решения самых сложных бизнес-задач.

Разработка технологий безопасности на основе кремния

Узнайте, как разработать безопасный код пользовательского уровня для выделения частных областей памяти, защищенных от процессов, выполняющихся с более высокими уровнями привилегий.

Масштабируемые процессоры Intel® Xeon® 3-го поколения с Intel® SGX

Процессоры Intel® Xeon® обеспечивают расширенные возможности безопасности, которые можно использовать в сочетании с существующей инфраструктурой для улучшения и защиты наиболее важных частей рабочей нагрузки или службы. Благодаря расширенным расширениям Intel® Software Guard Extensions (Intel® SGX) процессоры Intel® Xeon® Scalable могут разбивать приложения на анклавы с усиленной защитой процессора, чтобы усилить защиту выбранных приложений или данных от раскрытия или изменения.

Информация о продукте и эффективности

Ни один продукт или компонент не может быть абсолютно безопасным.

Технологии Intel могут потребовать активированного оборудования, программного обеспечения или активации службы. // Ни один продукт или компонент не может быть абсолютно безопасным. // Ваши затраты и результаты могут отличаться. // Производительность зависит от использования, конфигурации и других факторов. // См. наши полные юридические уведомления и отказ от ответственности. // Intel стремится уважать права человека и избегать соучастия в нарушениях прав человека. См. Глобальные принципы прав человека корпорации Intel. Продукты и программное обеспечение Intel предназначены для использования только в приложениях, которые не вызывают и не способствуют нарушению международно признанных прав человека.

Intel заботится о защите ваших самых конфиденциальных данных. Это одна из главных причин, по которой мы являемся надежным партнером Intel на протяжении десятилетий.

Они предлагают шведский стол передовых технологий, которые помогают пользователям скрывать конфиденциальные и секретные данные от посторонних глаз и предотвращать атаки со стороны государства. Они даже предлагают обширную библиотеку спецификаций продуктов (ARK), которая позволяет пользователям узнать, используют ли их продукты эти самые технологии.

Сегодня мы подробно рассмотрим одну из технологий Intel для ЦП: Intel® SGX. Мы расскажем, что это такое, для чего он используется, как он работает, кто его использует, какие процессоры Intel его поддерживают, как его включать и отключать и стоит ли учитывать последнее, и, наконец, поговорим о доступности. .

Без лишних слов, давайте сразу перейдем к этой замечательной технологии.

Графика: Intel SGX защищает данные, помещая их в безопасные анклавы или изолированные зашифрованные участки памяти, как показано на этой диаграмме Intel. Источник: Intel

Что такое Intel Software Guard Extensions (SGX)?

Intel Software Guard Extensions (SGX) – это набор инструкций по обеспечению безопасности, встроенный во многие центральные процессоры (ЦП) Intel на базе архитектуры x86. SGX дает разработчикам возможность разделить память компьютера на так называемые анклавы, которые представляют собой частные, предварительно определенные области памяти, которые могут лучше защитить конфиденциальную информацию пользователей.

Иными словами, SGX шифрует разделы памяти, используя инструкции безопасности, встроенные в ЦП.Это форма аппаратного шифрования, которая позволяет пользователям защищать свои самые важные данные, помещая их в высокозащищенную среду в памяти.

SGX — относительно новый продукт, дебютировавший в процессорах Intel Core шестого поколения и серверных процессорах Xeon E3 v6 пять лет назад.

Согласно статье, опубликованной Лабораторией компьютерных наук и искусственного интеллекта Массачусетского технологического института, первоначальной целью SGX было решение проблемы безопасного удаленного вычисления или «проблемы выполнения программного обеспечения на удаленном компьютере, которым владеет и обслуживает ненадежная сторона».

Доверенное оборудование устанавливает безопасный контейнер, и пользователь службы удаленных вычислений загружает нужные вычисления и данные в безопасный контейнер. Надежное оборудование защищает конфиденциальность и целостность данных во время выполнения над ними вычислений.

– Объяснение Intel SGX

из Массачусетского технологического института.

Если вам интересно узнать, как использовать Intel SGX на вашем сервере или рабочей станции, ознакомьтесь с подробным руководством по SGX от Дэниела Энеса, написанного для Medium, чтобы научиться программировать безопасный анклав.

Инфографика: Расширения Intel Software Guard (SGX)

Инфографика: эта инфографика от Intel объясняет SGX и упоминает примеры использования SGX. Источник: Intel

Для чего используется Intel SGX?

Intel SGX – это набор инструкций, используемых для повышения безопасности кода и данных приложений, что дает пользователям более высокий уровень защиты от раскрытия или изменения указанных данных. По сути, Intel SGX помогает защитить конфиденциальные данные пользователей от раскрытия или изменения, создавая доверенную среду выполнения в памяти.

К таким конфиденциальным данным относится такая информация, как медицинские записи, финансовые отчеты, пароли, ключи шифрования, биометрические идентификационные данные — любая информация, раскрытие или изменение которой может причинить вред.

SGX используется для защиты от многих известных и активных угроз кибербезопасности, таких как атаки вредоносного программного обеспечения, за счет уменьшения поверхности атаки серверов и рабочих станций за счет использования безопасных анклавов, которые защищают информацию от процессов, работающих с более высокими уровнями привилегий.

Таким образом, если сложное вредоносное ПО, например, атакует уровни ОС, BIOS, VMM или SMM, Intel SGX предлагает дополнительный уровень защиты путем размещения ваших конфиденциальных данных в изолированной зашифрованной части памяти. Таким образом, эти уровни могут быть скомпрометированы, но ваши данные по-прежнему защищены, поскольку данные приложения, хранящиеся в самом анклаве, недоступны для внешних, непроверенных сторон и, таким образом, защищены от уничтожения, манипулирования или редактирования неавторизованными пользователями, т.е. , хакеры.

Используя эту новую доверенную среду выполнения на уровне приложений, разработчики могут обеспечить повышенную конфиденциальность удостоверений и записей, более безопасный просмотр, управление цифровыми правами (DRM), усиленную защиту конечных точек и множество сценариев использования с высоким уровнем безопасности, которые необходимо храните секреты более безопасно или защищайте данные.

- Intel

Существует множество вариантов использования SGX, включая, помимо прочего:

  • Приложения среды выполнения, защищенные выполнением в защищенных анклавах SGX
  • Защита связи пограничных устройств IoT между облаком и клиентом.
  • Защита интеллектуальной собственности
  • Защита связи между отправителями и получателями

Посетите веб-страницу Intel SGX, чтобы ознакомиться с полным списком вариантов использования.

Графика: краткое объяснение того, как Intel SGX защищает ваши данные. Источник: Intel

Как работает Intel SGX?

Quarkslab предлагает отличное объяснение процесса Intel SGX, дополненное простыми для понимания диаграммами, поэтому обязательно ознакомьтесь с их обзором.

Кроме того, Intel утверждает, что у SGX низкая кривая обучения, поэтому разработчикам не придется тратить массу времени на выяснение того, как он работает и как правильно его использовать.

Вкратце, вот как работает Intel SGX:

  1. Во время выполнения ваше приложение разделено на две части: защищенную часть и незащищенную часть.
  2. При запуске приложения создается анклав, который помещается в защищенную часть.
  3. При вызове функции анклава только код внутри анклава может видеть ее данные. Внешний доступ всегда запрещен. Когда он возвращается, данные анклава остаются в защищенной памяти.

Этот процесс может показаться немного абстрактным, особенно если вы плохо знакомы с SGX. К счастью, Intel проделала большую работу, изложив ее в своем кратком описании продукта Intel SGX.

Во время выполнения инструкции Intel SGX создают и выполняют анклав в специальной зашифрованной области памяти с ограниченным расположением входа/выхода, определенным разработчиком. Это помогает предотвратить утечку данных. Код анклава и данные внутри периметра ЦП работают в открытом виде, а данные анклава, записываемые в память, шифруются и проверяются на целостность, что помогает обеспечить некоторую уверенность в том, что не происходит несанкционированного доступа или отслеживания памяти анклава.

– Intel

Фото: Intel SGX широко используется в самых разных отраслях. Любой, у кого есть подходящие процессоры Intel, может воспользоваться этой технологией.

Кто использует Intel SGX?

Любой, у кого есть процессоры Intel с поддержкой SGX, может защитить выбор наиболее конфиденциальных данных с помощью SGX. Военные, коммерческие и промышленные программы и приложения, использующие серверы и рабочие станции с этими процессорами, имеют доступ к этой технологии. Он широко используется в самых разных отраслях, поскольку встроен прямо в ЦП и служит цели, которая не уникальна ни для одной отрасли: защита конфиденциальных данных приложений от несанкционированного доступа.

Однако в этой замечательной статье, опубликованной Массачусетским технологическим институтом, подробно описаны некоторые сценарии SGX. Один из перечисленных вариантов использования относится к медицинской визуализации, и, прочитав его, вы увидите, как эта технология может быть полезна в различных отраслях.

Служба облачных вычислений, которая обрабатывает конфиденциальные медицинские изображения, может использовать преимущества SGX, позволяя пользователям загружать зашифрованные изображения, а ключи шифрования отправляются пользователями программному обеспечению, работающему в защищенном анклаве. Этот анклав, разумеется, содержит алгоритм обработки и защищенный код для шифрования и расшифровки изображений. Код, который получает загруженные зашифрованные изображения и сохраняет их, останется за пределами анклава.

Дополнительную информацию о реализации Intel SGX см. в серии видеороликов Intel SGX.

Графика: интересно, поддерживают ли ваши процессоры Intel SGX? К счастью, есть несколько быстрых и простых способов узнать это. Источник: Intel

Какие процессоры Intel используют Intel SGX?

Вот пошаговый процесс определения того, какие процессоры Intel используют Intel SGX:

  1. Посетите расширенный поиск по спецификациям продукции Intel.
  2. Убедитесь, что выбран вариант "процессоры".
  3. В раскрывающемся списке слева «Выберите фильтр» выберите «Intel Software Guard Extensions (Intel SGX)».
  4. В правом раскрывающемся списке "выберите фильтр" выберите переменную, которая относится к вам.
  5. Просмотрите результаты, чтобы увидеть, есть ли в списке ваш ЦП.

Чтобы определить, поддерживает ли ваш процессор Intel SGX, вы можете:

  1. Посетите библиотеку спецификаций продуктов.
  2. Введите номер вашего процессора в строке поиска «поиск спецификаций».
  3. Ознакомившись со спецификацией процессора, нажмите «Безопасность и надежность» в оглавлении слева. Поддержка процессором SGX должна быть указана под одноименным заголовком.

Фото: вам придется поиграть с некоторыми настройками BIOS, чтобы включить, отключить или настроить автоматическое включение Intel SGX.

Как включить и отключить Intel SGX?

По данным Intel, прежде чем приложение сможет использовать Intel SGX, должны быть выполнены четыре условия:

  1. ЦП ваших серверов или рабочих станций должны поддерживать инструкции Intel SGX.
  2. Ваши BIOS также должны поддерживать Intel SGX.
  3. В ваших BIOS должен быть включен Intel SGX.
  4. На ваших серверах или рабочих станциях должно быть установлено ПО Intel SGX Platform Software.

В вашем BIOS, при условии, что ваш BIOS поддерживает конфигурацию BIOS и функции включения, отключения и программного управления SGX, пользователи могут включать SGX, отключать SGX или автоматически включать сервер или рабочую станцию ​​SGX при загрузке, последний из которых для чего нужна функция программного управления. Функция программного управления отлично подходит для пользователей, которые не хотят или не нуждаются в доступе к BIOS при каждой загрузке системы.

У Intel есть прекрасное руководство, подробно описывающее настройку и проверку SGX для систем Windows и Linux. Обязательно ознакомьтесь с ним и воспользуйтесь оглавлением в левой части этого руководства.

Если ваши ЦП не поддерживают Intel SGX, то попытки включить SGX бесполезны. Однако, если ЦП поддерживает его, следующим шагом по включению SGX будет проверка того, что ваш BIOS поддерживает SGX. Вы можете проверить, поддерживает ли ваш BIOS SGX, выполнив навигацию по BIOS вручную или используя процедуры обнаружения функций Intel.

Включить Intel SGX несложно. Предоставлено Intel, вот как включить Intel SGX в BIOS всего за четыре шага:

  1. Во время загрузки системы нажмите клавишу(и) (обычно функциональную), чтобы войти в BIOS.
  2. Навигация по следующим меню: Intel Advanced Menu->CPU Configuration->SW Guard Extensions (SGX)
  3. В BIOS отображаются следующие параметры. Не все OEM-производители систем поддерживают все три варианта.
    1. Включено — параметр установлен, и Intel SGX доступен для использования приложениями.
      ПРИМЕЧАНИЕ. Если этот параметр включен, необходимо также настроить расширенное меню Intel->Конфигурация ЦП->PRMRR. . (Некоторые OEM-производители могут автоматически назначать значение PRMRR при включении Intel SGX.) Если OEM-производитель поддерживает выбор PRMRR, установите значение 32 МБ, 64 МБ или 128 МБ. Значение по умолчанию для эталонного BIOS Intel – 128 МБ.
    2. Управление программным обеспечением — ваше приложение должно использовать API для включения Intel SGX в процедуре обнаружения функций Intel SGX. Этот параметр может потребовать перезагрузки системы.
    3. Отключено: Intel SGX явно отключен и не может быть включен с помощью программных приложений.

    Подводя итог, важно, чтобы установщики приложений проверяли, поддерживают ли процессоры и BIOS их серверов и рабочих станций Intel SGX, установлено ли программное обеспечение платформы SGX и, наконец, включен ли, отключен или отключен SGX. настроить на автопилот. Некоторым приложениям на самом деле требуется Intel SGX для запуска, и они сообщат пользователю об ошибке, если Intel SGX не обнаружен или не включен.

    Графика. Что касается того, следует ли отключать Intel SGX, краткий ответ — нет. Еще лучше спросите себя: "Зачем мне отключать SGX?"

    Стоит ли отключать Intel SGX?

    Как правило, Intel SGX не следует отключать ни при каких обстоятельствах.

    Если вы планируете использовать Intel SGX для защиты своих приложений и конфиденциальных данных, следует полностью избегать отключения, поскольку отключение не обеспечивает никакой защиты приложений или данных. Вы даже не сможете установить программное обеспечение платформы Intel SGX, если SGX отключен.

    Чтобы избежать непреднамеренного отключения Intel SGX, просто установите в BIOS функцию программного управления. Таким образом, вам не нужно беспокоиться о доступе к функциям включения и отключения при каждой загрузке системы. Вы можете просто загрузить свою систему, зная, что Intel SGX был автоматически включен.

    Фотографии. Защищенные серверы и рабочие станции Trenton Systems оснащены процессорами Intel Core и Xeon, поддерживающими Intel SGX.

    Заключение: серверы и рабочие станции Trenton поддерживают Intel SGX

    Ну вот и все. Мы говорили о:

    • Что такое Intel SGX
    • Для чего используется Intel SGX
    • Как работает Intel SGX
    • Кто использует Intel SGX
    • Какие процессоры Intel используют SGX?
    • Как включить и отключить Intel SGX
    • Следует ли отключать Intel SGX

    Поскольку угрозы кибербезопасности становятся все более изощренными — подумайте о SolarWinds — жизненно важно знать о вариантах защиты ваших данных.

    В Trenton Systems наши серверы и рабочие станции оснащены процессорами, поддерживающими Intel SGX, и наша замечательная команда поддержки всегда рада помочь клиентам с настройкой SGX в BIOS.

    А поскольку мы являемся давним партнером Intel по решениям, у нас также есть прямая связь с Intel для получения помощи по любым сложным запросам SGX.

    Если вас интересуют доступные варианты, наша команда всегда готова помочь.

    Расширения Intel Security Guard Extensions (SGX) стали доступны для процессоров семейства Skylake. Intel SGX призван обеспечить дополнительный уровень безопасности, предотвращающий выполнение вредоносного программного обеспечения даже при наличии прав администратора.

    Использование модели SGX в вашей инфраструктуре, будь то локальное, общедоступное, частное или гибридное облако, создает надежную среду для обработки конфиденциальных данных. PhoenixNAP Bare Metal Cloud предлагает ряд серверов с поддержкой SGX.

    В этой статье объясняется, что такое Intel SGX, как он работает и каковы его преимущества. Мы также покажем вам, как выбрать ЦП, поддерживающий SGX, при развертывании сервера BMC.

    Требования к использованию Intel SGX

    1. На вашем компьютере должен быть процессор Intel с поддержкой Intel SGX.
    2. В BIOS должен быть параметр для включения SGX.
    3. В зависимости от системы для параметра Intel SGX должно быть установлено значение «Включено» или «Управление программным обеспечением» в BIOS. На серверах PhoenixNAP BMC этот параметр уже включен.
    4. Вы должны установить пакет программного обеспечения платформы Intel SGX.

    Что такое Intel SGX (расширения Software Guard)?

    Корпорация Intel создала расширения Software Guard для улучшения защиты данных и безопасности кода приложений. Эта система защиты на основе процессора позволяет приложениям работать в частном пространстве памяти. Поэтому подверженность внутренним и внешним атакам во время выполнения минимальна.

    Intel SGX позволяет разработчикам использовать инструкции ЦП для усиления контроля доступа к:

    • Запретить изменение и удаление данных.
    • Предотвращение раскрытия данных.
    • Повышение безопасности кода.

    Этот набор инструкций процессоров с поддержкой SGX позволяет шифровать участки памяти для защиты ценных и конфиденциальных данных.

    Такая среда обеспечивает безопасное место для секретов, когда другие части инфраструктуры скомпрометированы. Это включает в себя BIOS, прошивку, корневой доступ, диспетчер виртуальных машин и т. д. Если приложение защищено с помощью Intel SGX, его работа и целостность не пострадают в случае атаки.

    Наиболее важные данные остаются недоступными для любого процесса или пользователя независимо от уровня разрешений. Причина в том, что приложение выполняется внутри доверенного сегмента памяти, к которому другие процессы не могут получить доступ.

    Что такое анклав SGX?

    Анклавы — это изолированные области памяти с конфиденциальными данными приложений, защищенными ЦП. Код и данные в этих областях памяти доступны только внутри анклава. Используя Intel SGX SDK, разработчики создают набор инструкций для резервирования части физической памяти для этой безопасной среды.

    Когда вы запускаете приложение внутри анклава, ЦП мгновенно шифрует его и сохраняет ключ. Поскольку ключ находится внутри ЦП, злоумышленник не может получить его, проверив системную память.

    Насколько безопасны анклавы?

    Анклавы — это чрезвычайно безопасная среда для работы с данными. Контроль доступа осуществляется внутри этих доверенных частей памяти, и даже физического доступа недостаточно, чтобы завладеть защищенными данными.

    Что делает анклавы безопасными, так это автоматическое аппаратное шифрование. Технология SGX использует ЦП для шифрования информации и хранения ключа внутри него. Следовательно, внешняя сторона не может получить ключ и скомпрометировать данные. Это означает, что даже поставщик облачных услуг не может получить доступ.

    Более того, когда приложение завершает работу или дает указание уничтожить анклав, вместе с ним теряется вся информация.

    Как работает Intel SGX

    При разработке приложения Intel SGX программист может выбрать, что анклавировать. Каждое приложение SGX состоит из двух частей:

    Ненадежная часть отвечает за создание анклава и общесистемную связь. Отсюда приложение вызывает только определенные доверенные функции для доступа к данным.

    Доверенная часть хранит анклав, созданный для обработки конфиденциальных данных. Код и данные отображаются открытым текстом исключительно внутри анклава. Данные, которые возвращает доверенная функция, остаются в этой защищенной области памяти. ЦП отклоняет все внешние запросы, и анклав остается защищенным.

    Затем приложение возобновляет работу в ненадежной части, где у него больше нет информации о конфиденциальных данных.

    Часть приложения, которая получает защищенные данные, находится в ненадежном разделе. Приложение может хранить данные вне анклава после их шифрования процессором. Ключ шифрования остается в анклаве, содержащем код дешифрования и необходимый алгоритм. Поэтому расшифровка возможна только в той же системе, где данные были запечатаны.

    Когда использовать Intel SGX?

    Intel SGX — это отличный инструмент для любого контекста, где конфиденциальность вычислений является обязательной. Поскольку эта технология является родной для процессоров с поддержкой SGX, ее может использовать любой, кому нужен дополнительный уровень безопасности.

    Любая отрасль может воспользоваться преимуществами SGX, а не только ИТ:

    • Финансы, страхование и социальная помощь
    • Военные
    • Коммерция

    Поскольку данные защищены во время использования, Intel SGX подходит для обмена информацией между несколькими организациями. Эта модель улучшает контроль над тем, какими данными делиться, кто может их видеть, как долго и с какой целью.

    • Intel® Xeon® E-2288G
    • Intel® Xeon® Gold 6326
    • Intel® Xeon® Platinum 8352Y

    Кроме того, большинство настольных и мобильных устройств с процессорами Intel Core 6-го поколения поддерживают SGX.

    Чтобы узнать, какие процессоры Intel используют SGX, перейдите на страницу поиска продуктов Intel. В раскрывающемся меню «Выбрать фильтр» прокрутите вниз и выберите Intel® Software Guard Extensions (Intel® SGX).

    Примечание. BIOS системы также должен поддерживать расширения Intel Software Guard.

    Как выбрать процессор с поддержкой SGX на портале BMC

    <р>1. Войдите на портал BMC.

    <р>2. Нажмите кнопку Развернуть новый сервер.

    <р>3. Найдите сервер с логотипом Intel SGX в разделе «Сервер». Используйте фильтр Intel SGX, чтобы сузить список.

    <р>4. Завершите процесс, как и с любым другим сервером BMC.

    Как включить Intel SGX в BIOS?

    Примечание. На серверах Bare Metal Cloud включена функция Intel SGX. С вашей стороны не требуется никаких дополнительных действий для включения Intel SGX на наших серверах.

    Если ЦП и системный BIOS поддерживают Intel SGX, вы можете включить его. Используйте соответствующую клавишу для входа в BIOS, в зависимости от производителя.

    Возможные настройки SGX в BIOS:

    • Отключено. Настройка по умолчанию для параметра Intel SGX. В этом режиме приложения не могут включать SGX.
    • Включено. Приложения могут использовать Intel SGX. Проверяет правильность конфигурации PRMRR для вашей системы.
    • Программное управление. Позволяет приложению указывать BIOS на автоматическое включение SGX.

    В некоторых интерфейсах UEFI BIOS SGX находится в разделе «Дополнительно» -> «Конфигурация ЦП».

    Некоторые устаревшие интерфейсы BIOS имеют параметр Intel SGX в меню конфигурации.

    Должен ли я отключить SGX?

    Опция Intel SGX обычно отключена по умолчанию. Вы можете оставить настройки со значениями по умолчанию. Однако, если вы используете приложения SGX, вы не должны отключать эту опцию в BIOS.

    С другой стороны, если параметр SGX включен в BIOS, а вы не используете приложения SGX или не собираетесь их использовать, эта функция может быть отключена.

    Преимущества Intel SGX

    Использование Intel Software Guard Extensions дает множество преимуществ. Очевидным является повышенная безопасность конфиденциальных и критически важных данных.

    Благодаря Intel SGX информация, которую необходимо проверить, может храниться на компьютере, а не отправляться на удаленный сервер. Сюда входят биометрические и другие данные аутентификации. Intel SGX защищает от сложных угроз, которые ставят под угрозу BIOS, системные компоненты и профили пользователей с правами root.

    Кроме того, запечатывание данных обеспечивает необходимую защиту интеллектуальной собственности даже за пределами анклавов. Ключ для расшифровки конфиденциальных данных находится в доверенной памяти, поэтому внешний доступ заблокирован.

    Эта модель обеспечивает плавное горизонтальное масштабирование.По мере роста требований бизнеса к пулу могут подключаться новые машины без прерывания работы. Прежде чем стать частью кластера доверенных серверов, узлы проверяются на наличие надлежащего уровня безопасности.

    Примечание. Чтобы узнать все, что вам нужно знать о Bare Metal Cloud, обратитесь к нашей статье Что такое Bare Metal Cloud.

    В статье объясняется модель Intel SGX, ее основные функции и показано, как определить, поддерживает ли ее ЦП.

    Чтобы начать использовать сервер с полной поддержкой Intel SGX, создайте учетную запись BMC и выберите свою конфигурацию.

    Читайте также: