Pourquoi les enclaves de mémoire sont à la base de l’informatique confidentielle

Fonctionnalité sponsorisée Il existe des dizaines de millions de lignes de code dans des milliers de logiciels, sur un serveur typique du centre de données. Tous ces éléments présentent collectivement une énorme surface d’attaque pour divers types de logiciels malveillants.

Et peu importe à quel point les fournisseurs et les développeurs de projets open source essaient de sécuriser le code qu’ils produisent, il reste sensible aux vulnérabilités.

Cela place le centre de données dans un dilemme, étant donné que la valeur des applications modernes découle du fait qu’elles peuvent facilement partager des données et les résultats du traitement de ces données. La cybersécurité est une préoccupation depuis le premier moment où deux ordinateurs ont été mis en réseau. Mais il est passé dans la cour des grands avec la commercialisation d’Internet et peu de temps après, l’émergence des applications web.

Il a fallu beaucoup de temps pour proposer des plates-formes informatiques offrant une sécurité adéquate sans laisser trop de contrôle aux fabricants de systèmes. La technologie Trusted Computing des années 2000 se concentrait principalement sur la gestion des droits numériques (DRM). Bien qu’il soit trop draconien pour le centre de données d’entreprise, il était bien adapté aux institutions militaires et gouvernementales qui ont besoin d’un contrôle absolu sur les données et les applications résidant sur les machines connectées à leurs réseaux.

TEE adopte une approche différente

L’infrastructure sur site et cloud de plus en plus utilisée par les entreprises nécessite une approche différente, et c’est là que le mouvement Confidential Computing et son idée d’un environnement d’exécution sécurisé, ou TEE, sont intervenus.

Pour les centres de données, la base de l’informatique confidentielle sur les processeurs Intels Xeon SP est son extension Software Guard, ou SGX. L’extension a été initialement ajoutée dans les processeurs Skylake Xeon SP de première génération et a été progressivement ajoutée à d’autres processeurs depuis. La zone de mémoire protégée créée par SGX a également été augmentée au fil du temps, ce qui la rend non seulement adaptée pour contenir des clés cryptographiques, mais également pour héberger des ensembles de données entiers et les applications qui les utilisent.

L’idée est de créer des partitions sécurisées enclavées dans la mémoire système principale où les données et les applications peuvent résider et s’exécuter dans un état chiffré, ce qui les rend impénétrables aux étrangers. Eh bien, au moins assez impénétrable pour qu’il soit très difficile d’essayer de pirater les zones de mémoire cryptées du système à moins d’utiliser l’extraction de DRAM à froid ou les techniques de piratage cryptographique quantique de surveillance de bus et de cache, en d’autres termes, ce qui rend la perspective extrêmement peu attrayante pour l’auteur tellement moins susceptible de se produire.

Le premier principe du début du 21^St siècle est qu’une quantité exponentielle de données est générée à l’échelle mondiale. Et cela signifie que de plus en plus de transactions avec des informations personnelles ont lieu chaque jour. De même, le volume et la sophistication du piratage, du phishing et des ransomwares augmentent en parallèle. Ainsi, l’informatique confidentielle – mise en œuvre de différentes manières par le matériel et les logiciels – doit habiter tout appareil traitant des données sensibles.

« Sur ses gardes »

Le chiffrement des données existe depuis longtemps. Il a d’abord été mis à disposition pour les données au repos sur des périphériques de stockage tels que les disques et les lecteurs flash, ainsi que pour les données en transit lorsqu’elles traversaient la carte réseau et sortaient sur le réseau. Mais les données utilisées, littéralement des données dans la mémoire d’un système dans lequel elles sont traitées, n’ont pas, jusqu’à assez récemment, été protégées par cryptage.

Avec l’ajout du cryptage de la mémoire et des enclaves, il est désormais possible de fournir une plate-forme informatique confidentielle avec un TEE qui assure la confidentialité des données. Cela empêche non seulement les entités non autorisées, qu’il s’agisse de personnes ou d’applications, de visualiser les données lorsqu’elles sont en cours d’utilisation, en transit ou au repos. Cela les empêche également d’ajouter, de supprimer ou de modifier des données ou du code pendant qu’ils sont en cours d’utilisation, en transit ou au repos.

Il permet en effet aux entreprises des secteurs réglementés (banque, assurance, finance, santé, sciences de la vie par exemple) ainsi qu’aux agences gouvernementales (notamment la défense et la sécurité nationale) et aux fournisseurs de services cloud multi-locataires de mieux sécuriser leurs environnements. Surtout, l’informatique confidentielle signifie que toute organisation exécutant des applications sur le cloud peut être sûre que tout autre utilisateur de la capacité du cloud et même les fournisseurs de services cloud eux-mêmes ne peuvent pas accéder aux données ou aux applications résidant dans une enclave de mémoire.

Les fonctionnalités Intel SGX qui offrent ces garanties sont désormais omniprésentes dans les processeurs Xeon de troisième génération et utilisent les circuits d’accélération cryptographique intégrés sur les processeurs. Sur les générations précédentes d’Intel Xeon, l’enclave de mémoire avait une capacité maximale de 256 Mo, mais avec la sortie de la troisième génération de cette technologie, elle est passée à 1 To qui peut débloquer des informations plus rapidement que jamais.

La combinaison du cryptage et de l’enclave de mémoire – qui est isolée des autres parties de l’espace mémoire où résident le système d’exploitation et d’autres logiciels – signifie que certaines données et applications peuvent être protégées contre la divulgation ou la modification.

L’informatique confidentielle peut également être synonyme de partage

Cela permet aux organisations qui ne travailleraient pas autrement ensemble de partager des données et de calculer sans avoir réellement accès à ces données, un processus appelé analyse et apprentissage fédérés.

Les analyses de préservation de la vie privée ont été révolutionnaires dans de nombreux secteurs, explique Laura Martinez, directrice du marketing de la sécurité des centres de données chez Intel. Prenons l’assurance comme exemple. Dans le passé, les compagnies d’assurance n’avaient pas la possibilité de partager des données. Cela a rendu difficile la détection du double dipping, c’est-à-dire lorsque de mauvais acteurs créent plusieurs réclamations pour le même événement de perte auprès de plusieurs assureurs, ce qui rend difficile de savoir si vous avez plus d’une police.

Jusqu’à récemment, aucune technologie ne prenait en charge ce type d’échange de données. Avec les progrès récents et l’adoption de la blockchain d’entreprise et de l’informatique confidentielle, des entreprises comme IntellectEU ont créé des solutions pour partager et faire correspondre les données de manière sécurisée et privée sans compromettre les données des clients.

La détection des fraudes est un bon exemple de la façon dont l’analytique et l’apprentissage automatique – depuis des enclaves sécurisées partagées – peuvent offrir des avantages qui n’étaient pas possibles avant Intel SGX. La santé en est une autre. La HIPAA et d’autres réglementations sont strictes dans leurs contrôles des données des patients, mais si vous voulez qu’un algorithme d’IA fonctionne correctement, vous avez besoin d’une énorme quantité de données. Et, si vous souhaitez former une application d’IA pour lire les scanners cérébraux, vous devez trouver un moyen de partager les données des patients sans violer les droits des patients.

Entrez l’enclave de mémoire et Intel SGX. L’Université de Pennsylvanie, en collaboration avec Intel et financée par les National Institutes of Health des États-Unis, a pu rassembler les scanners cérébraux de dizaines d’établissements de santé différents pour exécuter des algorithmes d’IA sur un ensemble de données beaucoup plus volumineux que n’importe quelle institution individuelle pourrait exécuter seule. .

Ce que ces cas d’utilisation démontrent, c’est que l’informatique confidentielle consiste souvent davantage à partager des données et des applications qu’à restreindre l’utilisation des données et des applications.

Sponsorisé par Intel.