Új módszerrel védi a virtuális gépeket a Google

A Confidential Virtual Machines az Azure Confidential Computing szolgáltatására reagál, csak éppen sokkal használhatóbb formában.

A felhőszolgáltatások terjedésével egyre több adatközpont épül a világon, így nem csoda, hogy az erre alapozó iparág virágzik. A legnagyobb cégek is nagy potenciált látnak ebben, nem véletlen, hogy a Google, a Microsoft és az Amazon is kínál megfelelő szolgáltatásokat, amelynek keretében nagyobb teljesítményű virtuális gépre lehet szert tenni. Az elsődleges tényező azonban mindig is a teljesítmény, illetve a megtérülés volt, viszont az utóbbi időszakban egyre durvább sebezhetőségek szakadtak rá az iparra, így a biztonság is a korábbinál lényegesebb kérdéssé vált.

Erre vonatkozóan először a Microsoft reflektált a Confidential Computing szolgáltatásával, amely többek között azt is garantálta, hogy az adatokhoz még a felhőszolgáltató se férhessen hozzá, vagyis az ügyfél gyakorlatilag teljes felügyelettel rendelkezett a bérelt rendszer fölött. A koncepció fantasztikus, hiszen gyakorlatilag igen nagy biztonságot jelent a megrendelő számára az az izoláció, amit egy ilyen szolgáltatás nyújthat.

A Google viszont egy ideje adós ezzel a rendszerrel, hiszen ugyanúgy fontos lehet számukra is az ügyfelek adatainak garantált biztonsága, illetve a bizalmas hozzáférés a virtuális géphez, de nem igazán hittek abban a koncepcióban, ahogy ezt a Microsoft kidolgozta. A fő oka ennek az volt, hogy az Azure rendszere az Intel SGX (Software Guard Extensions) technológiájára épült, amelyre vonatkozóan az utóbbi időben egyre több sérülékenység kerül elő, tehát ez elvben ugyan a biztonságot szolgálja, de a gyakorlatban láthatóan lyukas, és a biztonsági rések foltozásai nem kevés teljesítménycsökkenést hoznak magukkal. Ennél nagyobb probléma a szolgáltató számára az SGX technológia elérhetősége, ugyanis direkten ezt támogató Xeon processzorok kellenek a szerverekbe, ami limitálja a skálázhatóságot, továbbá van egy implementálási költség is a szoftveres oldalon, ugyanis a futtatott alkalmazásnak támogatnia kell az SGX-et, hogy egyáltalán működjön.

Nelly Porter, a Google vezető termékmenedzsere a CRN számára elmondta, hogy az Intel SGX elég jó megoldás a titkosítási kulcsok védelmére, valamint az SSL és TLS kapcsolatok áttekintésére, illetve az igazolási kérelmek aláírására, de jelentős ára van a technológia alkalmazásának, amely az alkalmazások újraírásában, illetve a jelentős teljesítménycsökkenésben nyilvánul meg.

A Google a fentiek miatt az első Zen dizájnnal bemutatott AMD SEV (Secure Encrypted Virtualization) megoldása felé vette az irányt. Nelly Porter szerint ennek az előnye, hogy könnyen alkalmazható, kis teljesítményveszteség mellett működik, illetve a skálázhatóság szempontjából sem kell limitációkkal számolni.

A Google Confidential Virtual Machines szolgáltatás tehát alapvetően hasonló koncepcióra építkezik, amire az Azure-féle Confidential Computing, csak a keresőóriás megoldásával nem kell átírni vagy módosítani az alkalmazásokat, hogy működjenek, mindössze egy beállítás módosításával át lehet térni normál virtuális gépről a bizalmas hozzáférést biztosító verzióra. Ezzel minden működik ugyanúgy, ahogy korábban, és a Google saját tesztjei szerint a biztonságos hozzáférés mindössze 2-6%-nyi lassulást jelent csak.

A tényleges hardver tekintetében Rome platformra épülő, második generációs, kereskedelmi szinten nem megvásárolható EPYC 7B12processzorok vannak alkalmazva. A rendszer olyan SEV modellel rendelkezik, amely 509 titkosítókulcsot támogat, ezeket az beépített ARM segédprocesszor generálja. Ezekhez a hypervisor sem férhet hozzá, ahogy a Google és az AMD sem, vagyis a megrendelők teljesen védett rendszert kaphatnak.

A Confidential Virtual Machines egyelőre béta szinten érhető el, de a bizalmas hozzáférés vélhetően nagy szerepet kap majd a jövőben. Persze még mindig az elején járunk a változásnak, viszont nagyjából másfél éves távlatban valószínűleg már elterjedtebbek lehetne az ilyen módon védett felhőszolgáltatások, elvégre az ügyfelek számára kritikus kérdés, hogy a felhőben tárolt adataikhoz kizárólag maguk férjenek hozzá, és még a felhőszolgáltatónak se legyen meg erre az elvi lehetősége.

Azóta történt

Előzmények

Hirdetés