Infraestrutura Segurança

Apresentando a computação confidencial Azure

A Microsoft investe um bilhão de dólares por ano em cibersegurança e boa parte desse valor é usado para que o Microsoft Azure seja a plataforma de nuvem mais confiável. A partir de uma rigorosa segurança física do datacenter, garantindo a privacidade dos dados, criptografando dados em repouso e em movimento, novos usos do aprendizado de máquinas para detecção de ameaças e o uso de controles exigentes de ciclo de vida do software operacional, o Azure representa a vanguarda da segurança e privacidade na nuvem.

A computação confidencial Azure oferece uma proteção que, até hoje, não existia em nuvens públicas, como a criptografia de dados durante o uso. Isso significa que os dados podem ser processados na nuvem com a garantia de que estarão sempre sob o controle do cliente.

Apesar dos controles avançados de cibersegurança e mitigação, alguns ainda relutam em mover seus dados mais sensíveis para a nuvem por medo de ataques quando estão em uso. Com a computação confidencial, é possível mover os dados para o Azure com a certeza de que estão seguros, em repouso e em uso, das seguintes ameaças:

  • Insiders mal-intencionados com privilégio administrativo ou acesso direto ao hardware no qual está sendo processado;
  • Hackers e malwares que exploram erros no sistema operacional, na aplicação ou no hypervisor;
  • Terceiros que acessam sem o seu consentimento.

A computação confidencial garante que, quando os dados estiverem “limpos”, um requisito necessário para um processamento eficiente, eles são protegidos dentro de um Ambiente de Execução Confiável (TEE, na sigla em inglês, também conhecido como enclave), um exemplo está na figura abaixo. Os TEEs garantem que não há nenhuma maneira de visualizar dados ou as operações internas de fora, mesmo com um depurador. Eles ainda garantem que apenas o código autorizado tenha permissão para acessar os dados. Se o código for alterado ou adulterado, as operações são negadas e o ambiente desabilitado. O TEE reforça essas proteções ao longo da execução do código dentro dele.

O suporte é disponível para dois TEEs, Virtual Secure Mode e Intel SGX. O Virtual Secure Mode (VSM) é um TEE baseado em software implementado pelo Hyper-V no Windows 10 e no Windows Server 2016. O Hyper-V impede que o código do administrador seja executado no computador ou no servidor, e também que administradores locais e do serviço em nuvem visualizem o conteúdo do enclave VSM ou modifiquem sua execução. Também é oferecido o Intel SGX baseado em hardware com os primeiros servidores compatíveis com SGX na nuvem pública.

A Microsoft já usa enclaves para proteger tudo, desde operações financeiras em blockchain, dados armazenados no servidor SQL e a própria infraestrutura no Azure. Recentemente foi anunciado o uso da mesma tecnologia para implementar a criptografia em uso para o banco de dados Azure SQL e servidor SQL. Essa é uma evolução do recurso Always Encrypted, que garante que os dados sensíveis dentro de um banco de dados SQL possam ser criptografados em todos os momentos sem comprometer a funcionalidade das consultas. O Always Encrypted consegue fazer isso por delegar as computações de dados confidenciais a um enclave, onde os dados são decifrados e processados com segurança.

Além do servidor SQL, uma ampla aplicação da computação confidencial Azure vem crescendo em muitas indústrias, incluindo finanças, saúde, inteligência artificial, entre outras. Em finanças, por exemplo, as estratégias de gerenciamento de patrimônio e dados de portfólio pessoal não seriam mais visíveis fora de um TEE. As instituições de saúde podem colaborar com o compartilhamento de dados privados de pacientes, como sequências genômicas, para obter mais informações do aprendizado de máquina em vários conjuntos de dados sem o risco de vazamento para outras organizações. Nos segmentos de petróleo e gás e Internet das Coisas, os dados sísmicos sensíveis que compõem a propriedade intelectual de uma empresa podem ser movidos para processamento na nuvem, mas com as proteções da tecnologia criptografada em uso.

Fonte