Zaświadczanie

Przetwarzanie jest istotną częścią naszego codziennego życia, zasilając wszystko, od naszych smartfonów do krytycznej infrastruktury. Jednak zwiększenie środowisk regulacyjnych, częstość występowania cyberataków i rosnące wyrafinowanie atakujących utrudniły zaufanie do autentyczności i integralności technologii obliczeniowych, od których zależymy. Zaświadczenie, technika weryfikowania składników oprogramowania i sprzętu systemu, jest krytycznym procesem ustanawiania i zapewniania, że technologie obliczeniowe, na których polegamy, są wiarygodne.

W tym dokumencie przyjrzymy się temu, czym jest zaświadczenie, typy zaświadczania firmy Microsoft oferuje dzisiaj oraz jak klienci mogą korzystać z tego typu scenariuszy zaświadczania w rozwiązaniach firmy Microsoft.

Co to jest zaświadczenie?

W zdalnym zaświadczeniu "jeden element równorzędny ("Attester") generuje wiarygodne informacje o sobie ("Dowody"), aby umożliwić zdalnemu elementowi równorzędnemu (osobie uzależnionej) podjęcie decyzji o tym, czy attester jest zaufanym elementem równorzędnym. Procedury zaświadczania zdalnego są ułatwione przez dodatkową istotną stronę ("Weryfikator"). Mówiąc prościej, zaświadczenie jest sposobem udowodnienia, że system komputerowy jest godny zaufania. Aby lepiej zrozumieć, czym jest zaświadczanie i jak działa w praktyce, porównujemy proces zaświadczania w obliczeniach z rzeczywistymi przykładami z paszportami i testami w tle. Definicja i modele, których używamy w tym dokumencie, zostały opisane w dokumencie Architektura architektury IETF (Remote Attestation ProcedureS) grupy zadaniowej (IETF). Aby dowiedzieć się więcej, zobacz Internet Engineering Task Force: Remote ATtestation procedureS (RATs) Architecture (Grupa zadaniowa inżynierii internetowej: zdalna procedura ATtestation) Architektura.

Model paszportu

Model paszportu — służby imigracyjne

1. Obywatel chce, aby paszport udał się do kraju/regionu obcego. Obywatel przesyła wymogi dowodowe do kraju/regionu hosta.
2. Kraj/region hosta otrzymuje dowody zgodności z zasadami od osoby fizycznej i sprawdza, czy dostarczone dowody potwierdzają, że dana osoba jest zgodna z zasadami wydawania paszportu.
   • Akt urodzenia jest ważny i nie został zmieniony.
   • Wystawca aktu urodzenia jest zaufany
   • Osoba nie jest częścią listy z ograniczeniami
3. Jeśli kraj/region hosta zdecyduje, że dowody spełniają swoje zasady, kraj/region hosta wystawi paszport dla obywatela.
4. Obywatel podróżuje do obcego narodu, ale najpierw musi przedstawić swój paszport agentowi patrolu granicznego kraju/regionu do oceny.
5. Zagraniczny agent patrolu granicznego kraju/regionu sprawdza szereg zasad dotyczących paszportu przed jego zaufaniem
   • Usługa Passport jest autentyczna i nie została zmieniona.
   • Paszport został wyprodukowany przez zaufany kraj/region.
   • Usługa Passport nie wygasła ani nie została odwołana.
   • Paszport jest zgodny z polityką wymogu wizowego lub wiekowego.
6. Zagraniczny kraj/region Agent Straży Granicznej zatwierdza paszport, a obywatel może wejść do kraju/regionu obcego.

Model paszportowy — przetwarzanie

1. Zaufane środowisko wykonawcze (TEE), nazywane inaczej attesterem, chce pobrać wpisy tajne z menedżera wpisów tajnych, znanego również jako jednostka uzależniona. Aby pobrać wpisy tajne z Menedżera wpisów tajnych, TEE musi udowodnić, że jest godny zaufania i prawdziwy dla Secrets Manager. TEE przesyła swoje dowody do Weryfikatora, aby udowodnić, że jest godny zaufania i prawdziwy, który zawiera skrót jego wykonanego kodu, skrót środowiska kompilacji i certyfikat wygenerowany przez producenta.
2. Weryfikator , usługa zaświadczania, ocenia, czy dowody podane przez TEE spełniają następujące wymagania dotyczące zaufania.
   • Certyfikat jest ważny i nie został zmieniony.
   • Wystawca certyfikatu jest zaufany
   • Dowody TEE nie są częścią listy z ograniczeniami
3. Jeśli weryfikator zdecyduje, że dowody spełniają zdefiniowane zasady, weryfikator utworzy wynik zaświadczania i przekaże go TEE.
4. TEE chce wymieniać wpisy tajne z menedżerem wpisów tajnych, ale najpierw musi przedstawić wynik zaświadczania menedżerowi wpisów tajnych na potrzeby oceny.
5. Menedżer wpisów tajnych sprawdza szereg reguł w wynikach zaświadczania przed jego zaufaniem
   • Wynik zaświadczania jest autentyczny i nie został zmieniony.
   • Wynik zaświadczania został wygenerowany przez zaufany urząd.
   • Wynik zaświadczania nie wygasł ani nie został odwołany.
   • Wynik zaświadczania jest zgodny ze skonfigurowanymi zasadami administratora.
6. Menedżer wpisów tajnych zatwierdza wynik zaświadczania i wymienia wpisy tajne z TEE.

Model sprawdzania tła

Sprawdzanie w tle — weryfikacja szkoły

1. Osoba wykonuje kontrolę w tle z potencjalnym pracodawcą, aby uzyskać pracę. Osoba przedstawia swoje doświadczenie edukacyjne szkoły, w której uczęszczali do potencjalnego pracodawcy.
2. Pracodawca pobiera pochodzenie edukacyjne od osoby i przekazuje je do odpowiedniej szkoły do zweryfikowania.
3. Szkoła ocenia, czy doświadczenie edukacyjne podane przez osobę spełnia zapisy szkoły.
4. Szkoła wystawia wynik zaświadczania, który weryfikuje pochodzenie edukacyjne osoby pasuje do swoich zapisów i wysyła go do pracodawcy
5. Pracodawca, inaczej znany jako Jednostka uzależniona, może sprawdzić szereg zasad na wynik zaświadczania przed zaufaniem.
   • Zaświadczenie Wynik jest autentyczny, nie został zmieniony i naprawdę pochodzi ze szkoły.
   • Wynik zaświadczania został wyprodukowany przez zaufaną szkołę.
6. Pracodawca zatwierdza wynik zaświadczania i zatrudnia osobę.

Sprawdzanie w tle — przetwarzanie

1. Zaufane środowisko wykonawcze (TEE), nazywane inaczej attesterem, chce pobrać wpisy tajne z menedżera wpisów tajnych, znanego również jako jednostka uzależniona. Aby pobrać wpisy tajne z Menedżera wpisów tajnych, TEE musi udowodnić, że jest godny zaufania i prawdziwy. TEE wysyła swoje dowody do Secrets Manager, aby udowodnić, że jest godny zaufania i prawdziwy, który zawiera skrót jego wykonanego kodu, skrót środowiska kompilacji i certyfikat wygenerowany przez producenta.
2. Menedżer wpisów tajnych pobiera dowody ze środowiska TEE i przekazuje je do weryfikatora, który ma zostać zweryfikowany.
3. Usługa Weryfikatora ocenia, czy dowody podane przez teE spełniają zdefiniowane wymagania zasad dotyczące zaufania.
   • Certyfikat jest prawidłowy i nie został zmieniony.
   • Wystawca certyfikatu jest zaufany.
   • Dowody TEE nie są częścią listy z ograniczeniami.
4. Weryfikator tworzy wynik zaświadczania dla środowiska TEE i wysyła go do menedżera wpisów tajnych.
5. Menedżer wpisów tajnych sprawdza szereg reguł dotyczących wyniku zaświadczania przed jego zaufaniem.
   • Wynik zaświadczania jest autentyczny i nie został zmieniony.
   • Wynik zaświadczania został wygenerowany przez zaufany urząd.
   • Wynik zaświadczania nie wygasł ani nie został odwołany.
   • Wynik zaświadczania jest zgodny ze skonfigurowanymi zasadami administratora.
6. Menedżer wpisów tajnych zatwierdza wynik zaświadczania i wymienia wpisy tajne z TEE.

Typy zaświadczania

Usługi zaświadczania można używać na dwa różne sposoby, dzięki czemu każda z nich zapewnia własne korzyści.

Dostawca usług w chmurze

W firmie Microsoft udostępniamy zaświadczanie platformy Microsoft Azure (MAA) jako usługę dla klientów i platformę do zaświadczania zaufanych środowisk wykonywania (TEE), takich jak enklawy Intel Software Guard Extensions (SGX), enklawy zabezpieczeń opartych na wirtualizacji (VBS), zaufane moduły uruchamiania i poufne maszyny wirtualne. Korzyści wynikające z korzystania z usługi zaświadczania dostawcy usług w chmurze, takich jak zaświadczenie platformy Azure, obejmuje,

• Dostępne bezpłatnie
• Kod źródłowy jest dostępny dla klientów rządowych za pośrednictwem narzędzia Microsoft Code Center Premium
• Chroni dane podczas używania przez działanie w enklawie Intel SGX.
• Zaświadcza o wielu obiektach TEE w jednym rozwiązaniu.
• Oferuje silną umowę dotyczącą poziomu usług (SLA)

Tworzenie własnych

Klienci mogą tworzyć własne mechanizmy zaświadczania, aby ufać infrastrukturze obliczeniowej z narzędzi dostarczanych przez dostawców usług w chmurze i sprzętu. Tworzenie własnych procesów zaświadczania dla rozwiązań firmy Microsoft może wymagać użycia zaufanego sprzętowego zarządzania tożsamościami (THIM), rozwiązania, które obsługuje zarządzanie pamięcią podręczną certyfikatów dla wszystkich zaufanych środowisk wykonywania (TEE) znajdujących się na platformie Azure i udostępnia informacje o zaufanej bazie obliczeniowej (TCB) w celu wymuszenia minimalnej linii bazowej dla rozwiązań zaświadczania. Korzyści z tworzenia i używania własnej usługi zaświadczania obejmują,

• 100% kontroli nad procesami zaświadczania w celu spełnienia wymagań prawnych i zgodności
• Dostosowywanie integracji z innymi technologiami obliczeniowymi

Scenariusze zaświadczania w firmie Microsoft

W firmie Microsoft istnieje wiele scenariuszy zaświadczania, które umożliwiają klientom wybór między dostawcą chmury a scenariuszami tworzenia własnych usług zaświadczania. W każdej sekcji przyjrzymy się ofertom platformy Azure i dostępnym scenariuszom zaświadczania.

Maszyny wirtualne z enklawami aplikacji

Maszyny wirtualne z enklawami aplikacji są włączone przez intel SGX, co umożliwia organizacjom tworzenie enklaw, które chronią dane, i przechowywanie danych zaszyfrowanych podczas przetwarzania danych przez procesor CPU. Klienci mogą zaświadczać o enklawach Intel SGX na platformie Azure przy użyciu usługi MAA i samodzielnie.

• Strona główna zaświadczania Intel SGX
• Dostawca chmury: zaświadczenie kodu Intel SGX za pomocą usługi MAA
• Tworzenie własnych: otwieranie zaświadczania enklawy

Poufne maszyny wirtualne

Poufne maszyny wirtualne są włączone przez amd SEV-SNP, co umożliwia organizacjom posiadanie izolacji sprzętowej między maszynami wirtualnymi i bazowego kodu zarządzania hostami (w tym funkcji hypervisor). Klienci mogą potwierdzić swoje zarządzane poufne maszyny wirtualne na platformie Azure przy użyciu usługi MAA i na własną rękę.

• Strona główna zaświadczania poufnych maszyn wirtualnych
• Dostawca chmury: Co to jest zaświadczenie gościa dla poufnych maszyn wirtualnych?
• Tworzenie własnego: pobieranie i weryfikowanie surowego raportu AMD SEV-SNP na własną rękę

Poufne kontenery w usłudze Azure Container Instances

Kontenery poufne w usłudze Azure Container Instances udostępniają zestaw funkcji i możliwości w celu dalszego zabezpieczania standardowych obciążeń kontenerów w celu osiągnięcia wyższych celów dotyczących bezpieczeństwa danych, prywatności danych i integralności kodu środowiska uruchomieniowego. Kontenery poufne są uruchamiane w sprzęcie opartym na zaufanym środowisku wykonywania (TEE), które zapewnia wewnętrzne możliwości, takie jak integralność danych, poufność danych i integralność kodu.

• Dostawca chmury: zaświadczania w kontenerach poufnych w usłudze Azure Container Instances