Как стать автором
Обновить
0

Intel SGX Card. Своего SGX достоин каждый сервер

Время на прочтение 3 мин
Количество просмотров 6.3K


Разрешите вам напомнить, что представляют из себя Intel Software Guard Extensions. Как следует из названия, дело тут в безопасности. Человечество придумало множество программных способов защитить свою IT-инфраструктуру от злонамеренного или неправомочного кода, однако все эти способы имеют свои принципиальные ограничения. Чтобы их обойти, необходимо, чтобы защита начиналась в самом сердце компьютера — его процессоре и опиралась на его функционал.

Используя данный принцип, корпорация Intel разработала расширения Intel SGX — набор инструкций ЦП, дающих возможность приложениям создавать анклавы, защищенные области в адресном пространстве приложения, обеспечивающие конфиденциальность и целостность даже при наличии вредоносных программ с привилегированными правами.

Этот пост о новой аппаратной основе Intel SGX для любой серверной платформы — карте Intel SGX Card.

Принципы работы анклавов Intel SGX таковы:

  • Доступ к памяти анклава на чтение и запись извне анклава отсутствует вне зависимости от текущего уровня прав и режима работы ЦП.
  • Анклавы рабочего уровня недоступны для отладки как программными, так и аппаратными отладчиками. (Можно создать анклав с атрибутом отладки, при наличии которого отладчик Intel SGX может просматривать содержимое анклава аналогично стандартному отладчику. Это сделано, чтобы повысить удобство процесса разработки программного обеспечения.)
  • В среду анклава невозможно войти с помощью классических вызовов функций, переходов, манипуляций с регистрами или со стеком. Единственный способ вызвать функцию анклава — с помощью новой инструкции, выполняющей несколько защитных проверок.
  • Память анклава защищена с помощью стандартных алгоритмов шифрования с защитой от воспроизведения. Если прочесть память или подключить модули оперативной памяти к другой системе, удастся получить только зашифрованные данные.
  • Ключ шифрования памяти изменяется случайным образом при каждом изменении цикла электропитания (например, при загрузке, при возобновлении работы после сна и гибернации). Ключ хранится внутри ЦП и недоступен извне.
  • Данные изолированы в анклавах и доступны только для кода данного анклава.

image
Intel SGX существенно сокращает периметр уязвимости ПО

Решение Intel Software Guard Extensions было представлено в 2016 году, с тех пор его поддержку получили ряд серверных процессоров Intel Xeon, после чего, в свою очередь, ряд крупнейших облачных провайдеров и производителей ПО, таких как Alibaba Cloud, Baidu, IBM и Microsoft оценили преимущества технологии и стали ее внедрять в свои сервисы и продукты. Однако на пути триумфального шествия Intel SGX оказалось техническое препятствие: процессоров, не поддерживающих технологию, все еще намного больше, чем поддерживающих. Особенно не хватает Intel SGX в многосокетных конфигурациях, сплошь и рядом применяющихся в облачных сервисах и датацентрах.



Решение пришло с неожиданной стороны. У Intel есть устройство под названием Intel Visual Compute Accelerator (VCA), мы о нем вкратце рассказывали. Это специализированный ускоритель для повышения производительности обработки медиа контента, по сути — полноценный сервер в формате карты PCIe x16, его характеристики приведены в посте по ссылке выше. Именно VCA решили взять за основу, и после некоторых доработок — отключения графического ядра, оптимизаций средств безопасности и т.д. — получилась Intel SGX Card, карта, оснащенная тремя процессорами с поддержкой Intel Software Guard Extensions, готовая взять на себя взаимодействие с анклавами SGX — от хост-системы этого уже не требуется.

На эту самую карту можно оффлоадить требовательную к ресурсам нагрузку, для которой необходима дополнительная защита. Стандартная серверная 2U платформа на базе Intel Xeon Scalable поддерживает до 4 карт PCIe х16; таким образом на одном сервере до 12 процессоров могут работать с деликатными данными. Как показано на рисунке выше, конфигурация среды для приложений стала более комфортной и гибкой, в их распоряжении как защищенные так и простые области памяти, процессорные ядра с поддержкой SGX и без и так далее.

Intel SGX Card — это вариант для поставщика разнообразных цифровых услуг подготовить свою инфраструктуру к использованию Intel Software Guard Extensions, не дожидаясь, когда выйдут Intel Xeon Scalable с поддержкой этой технологии. Возможно, он кому-то окажется полезным.
Теги:
Хабы:
+15
Комментарии 21
Комментарии Комментарии 21

Публикации

Информация

Сайт
www.intel.ru
Дата регистрации
Дата основания
Численность
5 001–10 000 человек
Местоположение
США
Представитель
Анастасия Казантаева

Истории