微软将采用英特尔第4代Xeon Scalable处理器,以TDX技术强化Azure机密运算服务

在英特尔(Intel)发布最新的第4代Xeon Scalable处理器的同时,微软也宣布将更新自主机密运算云计算服务,预计在今年稍晚的时候,就会借由使用第4代Xeon Scalable处理器的TDX(Trusted Domain Extensions)技术,推出新的机密运算执行实例,供受高度监管的产业能够运用更具弹性的机密运算功能,在云计算处理敏感工作负载。

英特尔在2013年所推出的软件防护指令集(Software Guard Extensions,SGX),供用户运用应用程序层级的隔离,在本地数据中心、公有云甚至是边缘环境使用机密运算,最大程度缩小攻击面。英特尔在2021年所发布的第3代Xeon Scalable处理器全面支持SGX,而微软也使用该处理器推出机密运算Azure虚拟机DCsv3。

Azure机密运算虚拟机借由SGX安全技术创建安全区,在CPU处理资料的同时维持内存加密和隔离性,进一步保护敏感资料,避免这些资料暴露于操作系统、高权限管理程序甚至是Azure作业人员。

而英特尔新的虚拟机隔离技术TDX,适合用户将现有应用程序,直接移植到机密环境中。TDX引入新的架构元素,能够部署称为受信任区域的硬件隔离虚拟机,TDX的目标是要分离虚拟机、虚拟机管理程序,还有平台上非受信任区域的软件,以保护受信任区域免受其他软件的影响。

过去微软是第一家运用带有英特尔SGX的第3代Xeon Scalable处理器,提供机密运算服务,官方提到,微软与英特尔都是机密运算联盟(Confidential Computing Consortium)的成员,共同贡献多项机密运算开源项目,而微软也会继续在Azure中运用TDX技术,提供高端机密运算服务,扩展双方在机密运算的合作。

TDX能够用于举证(Attestation)整个虚拟机和容器的安全性,每一个虚拟机和容器都有唯一硬件密钥保护内存。微软提到,举证是机密运算的重要概念,使用户能够在任何程序代码访问和处理资料之前,先验证第三方硬件的信任根和软件堆栈。借由使用TDX,微软Azure Attestation将会成为标准功能,扩展用户举证能力。

微软解释,DCsv3虚拟机使用SGX提供的应用程序隔离,以最小信任边界保护应用程序运行,微软通过在产品组合加入TDX技术,便可以在虚拟机、容器或是应用程序层级提供隔离。如此微软能够提供更灵活的机密运算服务,而且通过在Azure上提供英特尔的机密运算解决方案,能够满足用户在资料主权和法规遵守的需求,使得Azure云计算作业员无法读取,甚至是更改用户在内存中的资料,以进一步强化Azure上的安全可信度。