Computação Confidencial do Azure

O Microsoft Cloud for Sovereignty permite que os clientes configurem e protejam seus dados e recursos de forma a ajudá-los a cumprir seus requisitos regulatórios, de segurança e de soberania específicos. Este processo garante que os dados do cliente não estejam acessíveis a partes fora do controle do cliente, mesmo a fornecedores de nuvem, administradores ou usuários. Quando você combina Computação Confidencial do Azure (ACC) com o Microsoft Cloud for Sovereignty, eles fornecem controle sobre o acesso às cargas de trabalho do cliente.

A computação confidencial é um termo da indústria definido pelo Confidential Computing Consortium (CCC), uma fundação dedicada a definir e acelerar a adoção da computação confidencial. O CCC define computação confidencial como a proteção dos dados em uso, realizando cálculos em um Ambiente de Execução Confiável (TEE) baseado em hardware..

Um TEE é um ambiente que impõe a execução apenas de código autorizado. Qualquer código fora desse ambiente não pode ler ou adulterar quaisquer dados no TEE. O modelo de ameaça à computação confidencial visa remover ou reduzir a capacidade de um operador de provedor de nuvem e de outros atores no domínio do locatário acessarem códigos e dados durante a execução.

Quando usada com criptografia de dados em repouso e em trânsito, a computação confidencial elimina a maior barreira de criptografia: a criptografia durante o uso. Ele protege conjuntos de dados e cargas de trabalho de aplicativos confidenciais ou altamente regulamentados em uma plataforma segura de nuvem pública. A computação confidencial vai além da proteção genérica de dados. Os TEEs também ajudam a proteger lógica de negócios proprietária, funções analíticas, algoritmos de aprendizado de máquina ou aplicativos inteiros.

O ACC reduz a necessidade de confiança em vários aspectos da infraestrutura de computação em nuvem. A computação confidencial do Azure minimiza a confiança em ambos os processos do sistema, como o kernel do sistema operacional host e o hipervisor, e nos operadores humanos que incluem o administrador da VM e o administrador do host. Em combinação com soluções existentes, que protegem os dados em repouso, como Criptografia de dados Microsoft e em trânsito, como TLS ou IPsec, os dados agora estão protegidos durante o uso porque a própria memória permanece criptografada, ou seja, proteção completa durante todo o ciclo de vida dos dados.

Com as grades de proteção e a aplicação da conformidade do Microsoft Cloud for Sovereignty, o ACC fornece proteção aprimorada de dados e cargas de trabalho soberanos, confidenciais ou altamente regulamentados dentro da escalabilidade, flexibilidade, disponibilidade e serviços poderosos da plataforma de Nuvem Pública do Azure. Para saber mais sobre os benefícios da Computação Confidencial do Azure, consulte Produtos de computação confidencial do Azure.

Soberania suportada na Computação Confidencial do Azure

A soberania dos dados garante que os clientes controlem exclusivamente os recursos do cliente, como VMs, e que outras pessoas não possam acessar a estes recursos. A ACC ajuda os clientes a alcançar a soberania dos dados, fornecendo confidencialidade de toda a raiz da confiança, do hardware ao aplicativo. As máquinas virtuais confidenciais (CVMs) das séries Azure DCasv5 e DCadsv5 são VMs isoladas por hardware que protegem dados na memória de outras VMs, hipervisor e código de gerenciamento de host. Mesmo os engenheiros do Azure com acesso administrativo ao host da VM não conseguem acessar os dados do cliente na memória. Esta série também oferece pré-criptografia de disco do sistema operacional antes do provisionamento de VM com diferentes soluções de gerenciamento de chaves.

A soberania é aprimorada em todos os níveis, fornecendo ambientes de computação confidencial para:

• Atestado do Microsoft Azure, um serviço de atestado remoto que valida a confiabilidade de vários TEEs e verifica a integridade dos binários em execução dentro dos TEEs. Esta validação da raiz fundamental da confiança é essencial para garantir a soberania dos dados.
• Início confiável traz recursos de segurança reforçados, inicialização segura, módulo de plataforma virtual confiável e monitoramento de integridade de inicialização, que protegem contra kits de inicialização, rootkits e malware em nível de kernel.
• Gerenciamento de Identidade de Hardware Confiável, um serviço que administra o gerenciamento de cache de certificados para todos os TEEs que residem no Azure e fornece informações de Trusted Computing Base (TCB) para impor uma linha de base mínima para soluções de atestado.

Muitos clientes utilizam o Serviço Azure Kubernetes (AKS) para gerenciar as suas aplicações baseadas em contêiner e componentes de armazenamento e rede. Para ajudar a atender aos requisitos de soberania, confidencialidade e segurança, os clientes podem usar contêineres com reconhecimento de enclave do Azure App que são executados no AKS. Os nós de computação confidencial no AKS usam Intel SGX para criar ambientes de enclave isolados nos nós entre cada aplicativo de contêiner. O Azure também está visualizando suporte ao pool de nós de VM confidencial no AKS com componentes de VM AMD SEV-SNP. A AKS é a primeira a comercializar VM confidencial com pools de nós AMD SEV-SNP no Kubernetes, adicionando defesa detalhada ao perfil de segurança reforçado do Azure.

Gerenciamento de segredos confidenciais

O HSM gerenciado do Azure Key Vault (AKV) é um serviço de nuvem totalmente gerenciado, altamente disponível, de locatário único e compatível com padrões que protege chaves criptográficas de aplicativos usando módulos de segurança de hardware (HSM) validados pelo FIPS 140-2 Nível 3. O AKV mHSM utiliza as mesmas APIs que o Azure Key Vault Standard e Premium e integra-se com a maioria dos serviços do Azure para permitir a criptografia de serviços com chaves gerenciadas pelo cliente. A proteção de hardware garante que somente o cliente possa acessar as chaves de criptografia. Mesmo os engenheiros do Azure não conseguem acessá-los.

Secure Key Release (SKR) é uma funcionalidade do HSM gerenciado e oferta Premium do Azure Key Vault (AKV) que fornece mais controle de acesso. O Secure key release permite a liberação de uma chave protegida por HSM do AKV para um Ambiente de Execução Confiável (TEE) atestado, como um enclave seguro, TEEs baseados em VM, etc. O SKR adiciona outra camada de proteção às suas chaves de descriptografia/criptografia de dados onde você pode ter como alvo um ambiente de tempo de execução de aplicativo + TEE com configuração conhecida para obter acesso ao material principal. As políticas SKR definidas no momento da criação da chave exportável regem o acesso a essas chaves.

Serviços de análise confidencial

O setor público e os clientes do setor regulamentado do Azure têm uma necessidade urgente de capacidades analíticas avançadas que os ajudem a cumprir os seus requisitos de soberania, privacidade e segurança. O Microsoft Cloud for Sovereignty ajuda esses clientes a usar serviços como:

• Com o serviço Always Encrypted com enclaves seguras no Azure SQL , os clientes podem executar consultas SQL diretamente dentro de um TEE, para ajudar a garantir que dados confidenciais sejam protegidos contra malware e usuários não autorizados com alto privilégio.
• O Azure Databricks com VM de Computação Confidencial pode ajudar os clientes a executar análises, machine learning e outras cargas de trabalho de maneira que preservem a privacidade.
• O rápido crescimento da Internet das Coisas (IoT) abre novos riscos de soberania porque os dispositivos IoT Edge estão fora do controle geográfico do cliente e os indivíduos mal-intencionados podem ter acesso a eles fisicamente, colocando estes dispositivos em risco elevado de comprometimento. O Confidential IoT Edge adiciona confiança e integridade na borda, protegendo o acesso aos dados capturados e armazenados dentro de um dispositivo IoT, reduzindo o risco de adulteração ou comprometimento.
• Os clientes são incentivados a usar o Microsoft Azure Confidential Ledger (ACL) para gerenciar registros de dados confidenciais. A ACL é executada exclusivamente em enclaves seguros apoiados por hardware em um ambiente de tempo de execução altamente monitorado e isolado, que protege registros de dados confidenciais e os torna imutáveis.

Adote computação confidencial dentro do Microsoft Cloud for Sovereignty

Os clientes do Microsoft Cloud for Sovereignty podem usar a Zona de Destino Soberana para agilizar a adoção de recursos de computação confidencial da Microsoft em um ambiente compatível e soberano.

Para obter orientação sobre como começar a usar o ACC na Zona de Destino Soberana (SLZ), consulte SLZ no GitHub.