Confidential Computing – Intel TDX: Geschützt in der Public Cloud - Prof. Dr. Norbert Pohlmann

Confidential Computing – Intel TDX: Geschützt in der Public Cloud

S. Gajek, Norbert Pohlmann (Institut für Internet-Sicherheit),
„Confidential Computing – Intel TDX: Geschützt in der Public Cloud”,
iX – Magazin für professionelle Informationstechnik,
Heise-Verlag, 08/2023

Confidential Computing – Intel TDX
Vertrauenswürdigkeit ist ein immer wichtigerer Aspekt moderner IT. Intel hat die vierte Generation seiner XeonEnterprise-Prozessoren um die Trust Domain Extensions (TDX) erweitert. Damit lassen sich komplette VMs in einer vertrauenswürdigen Umgebung ausführen.

Das Vertrauen von Unternehmen in Cloud-Anwendungen ist heute noch eher gering, da Angst davor besteht, dass Unbefugte auf vertrauliche Daten in der Cloud zugreifen könnten. Als Lösung dafür nutzt Confidential Computing eine hardwaregestützte, vertrauenswürdige Ausführungsumgebung. Jegliche darin ausgeführte Software und die zugehörigen Daten sind vor Zugriffen von anderer Software oder Hardware geschützt.

Public Cloud mit dem Vertrauen eines On-Premises-Ansatzes
Durch die Verlagerung der IT in die Public Cloud können Unternehmen Kosten sparen und dennoch die IT-Sicherheit und den Datenschutz gewährleisten.
Confidential Computing (CC) ermöglicht einen durchgängigen Schutz sensibler Daten während ihres gesamten Lebenszyklus – vom Verlassen des Firmengeländes bis zum Eintritt in die Cloud-Infrastruktur –, indem man nur noch den Prozessoren und deren Anbietern vertrauen muss. Das bedeutet, dass selbst Cyberangreifer , Dienstleister und Cloud-Administratoren, die die Infrastruktur vollständig kontrollieren, keinen Zugriff auf unverschlüsselte Daten erhalten können.
Somit können Nutzer ihre Workload auf einer fremden Cloud-Infrastruktur schützen, was erhebliche Erleichterung in der Security-Compliance bringt und Anwendungen in der Cloud ermöglicht, die bislang nicht denkbar waren oder nur in einer On-Premises- oder hybriden Umgebung realisiert wurden. Aber auch für Datacenter-Betreiber ist die Confidential-Computing-Technologie gedacht.
Sie verbessert schlagartig die Resilienz gegen Cyberangriffe ihrer Workloads, ohne zusätzliche Kosten zu erzeugen.
Intel hatte schon vor Jahren seine Software Guard Extensions (SGX) vorgestellt, mit denen sich einzelne Applikationen in einer vertrauenswürdigen Ausführungsumgebung ausführen und schützen lassen. Mit Einführung der vierten Xeon-Enterprise-Generation hat der Chiphersteller sein Computing-Portfolio um Intel Trust Domain Extensions (TDX) erweitert. Sie führen komplette virtuelle Maschinen in einer vertrauenswürdigen Umgebung aus. Dies ermöglicht eine neue Virtualisierungsgeneration, die verspricht, auf der Basis der CPUinternen Sicherheitsfunktionen jegliche in der VM ausgeführte oder verarbeitete
Software und Daten zu schützen.
Erreicht wird dies durch eine Verschlüsselung der zugehörigen Daten im Arbeitsspeicher und Zugriffskontrollen innerhalb der CPU (siehe Kasten „TDXArchitektur und -Fähigkeiten“). Hyperscaler wie Alibaba, Azure, IBM und Google arbeiten intensiv an der Bereitstellung der Basistechnologie in ihrer Cloud, um dem langjährigen Wunsch nach harter Isolation zwischen Infrastruktur und Applikations- und Geschäftslogik, Datensouveränität sowie Compliance mit Datenschutz nachzukommen und damit die
Vorteile der öffentlichen Cloud mit dem gewohnten Vertrauen eines On-Premises-Ansatzes zu kombinieren.