Azure機密計算將保持數據的秘密, 包括微軟

微軟周四宣布推出名為“機密計算”的Azure雲平台的新功能。該功能將允許在Azure上運行的應用程序不僅在靜態（存儲）或傳輸（通過網絡），而且在內存計算時保持數據加密。數據加密時的這種加密能力意味著即使是微軟管理員，政府手令和黑客也能保護數據。

機密計算將有兩種模式：一種是基於虛擬機，另一種則使用英特爾最近推出的Skylake-SP Xeon處理器中的SGX（“軟件防護擴展”）功能。這兩種模式都將允許應用程序對其代碼和數據的某些部分進行振鈴，以便它們在“可信執行環境”（TEE）中運行。 TEE內的代碼和數據不能從TEE外麵檢查。

虛擬機模式使用Windows 10和Windows Server 2016中引入的Hyper-V的虛擬安全模式（VSM）功能。使用VSM，應用程序的大部分部分將在常規操作係統的普通虛擬機中運行。受保護的TEE部件將在單獨的虛擬機中運行，該虛擬機僅包含基本存根操作係統（足以與常規VM通信）以及隻需要處理敏感數據的應用程序代碼的那些部分。

即使應用程序受到攻擊並且攻擊者可以訪問主虛擬機，VSM TEE中的數據將無法訪問，因為Hyper-V使虛擬機彼此分開。攻擊者必須妥協Hyper-V本身才能突破這種隔離。

SGX模式使用處理器功能在常規流程中切出TEE，而不需要虛擬機。處理器本身將對來自存儲器的數據進行加密和解密，使得數據僅在處理器本身內被解密。有了這種模式，Hyper-V的安全性並不重要;應用程序唯一需要信任的是處理器及其實施的SGX。有了SGX飛地，沒有人 - 甚至是微軟 - 都可以看到TEE中的數據。

微軟也表示正在努力開發其他TEE，可以想象，例如使用AMD的Epyc處理器的加密內存功能的基於虛擬機的TEE將是有意義的。

Azure機密通過早期訪問程序可以使用支持計算的虛擬機。該功能將支持運行Windows和Linux的虛擬機，並提供SDK，開發人員可以將部分應用程序寫入TEE中。