Producenci sprzętu standaryzują bezpieczeństwo chipów serwerowych dzięki Caliptra

Niektóre z czołowych marek w branży sprzętu połączyły siły, aby stworzyć wspólne technologie zwiększające bezpieczeństwo w chmurze.

Google, Nvidia, Microsoft i AMD nawiązały współpracę, aby stworzyć Caliptra, otwartą specyfikację do osadzania mechanizmów bezpieczeństwa w chipach. Specyfikacja, która jest open source i bezpłatna na licencji, została ogłoszona we wtorek podczas Open Compute Project Summit, który odbywa się w Santa Clara w Kalifornii. Firmy uczestniczące są członkami Open Compute Project (OCP), który będzie dbał o rozwój specyfikacji wraz z Linux Foundation.

Projekt Caliptra obraca się wokół ustanowienia korzeń zaufania (RoT) — budowanie warstw bezpieczeństwa w krzemie, dzięki czemu dane są szyfrowane i nie są ujawniane podczas podróży w centrach danych lub w chmurze.

„Musimy osadzić tę zdolność w krzemie. W pewnym momencie w przyszłości nie wystarczy mieć go na płycie głównej, na przykład w serwerze, jako osobny element obwodów” – powiedział podczas briefingu prasowego Cliff Grossner, wiceprezes ds. wywiadu rynkowego w OCP.

Caliptra rozszerza granice bezpieczeństwa danych z poziomu chipa do chmury. Specyfikacja zapewnia wspólny język dla producentów chipów i dostawców usług w chmurze do tworzenia technologii wokół poufne przetwarzanie, który zyskuje uwagę jako sposób ochrony danych przechowywanych, przesyłanych lub przetwarzanych w chmurze.

„Wraz z rozwojem przetwarzania brzegowego wynikający z tego wzrost wystawionej powierzchni ataku oznacza również potrzebę silniejszych rozwiązań bezpieczeństwa fizycznego” — napisał Mark Russinovich, dyrektor ds. technologii Microsoft ds. platformy Azure, w Wtorkowy wpis na blogu o Calitrze.

Definiowanie poufnego przetwarzania Open Source

Luki, takie jak Spectre i Meltdown, pokazały, że hakerzy mogą kraść dane, atakując sprzęt. Intel i AMD, których procesory dominują w infrastrukturze centrum danych i chmury, dodają własne funkcje, aby zablokować dane na poziomie chipa, ale Caliptra jest przedstawiana jako realna alternatywa open source.

Specyfikacja definiuje blok krzemowy wielokrotnego użytku, który można wrzucać do chipów i urządzeń w celu ustanowienia RoT. Blok krzemowy zapewnia weryfikowalne gwarancje kryptograficzne, że konfiguracja zabezpieczeń chipa jest prawidłowa. Zapewnia również mechanizm w chipie, aby zapewnić, że kod rozruchowy można zaufać.

„Jest to ulepszenie w stosunku do istniejących obecnie rozwiązań i oczekujemy, że w przyszłości spełni to zwiększone wymagania bezpieczeństwa dla obliczeń brzegowych i poufnych”, powiedział Grossner z OCP.

Połączenia specyfikacja zawiera mechanizmy ochrony danych przed szeregiem ataków elektromagnetycznych, kanałów bocznych i innych typowych ataków. Caliptra nie obejmuje jednak nowych wektorów ataku, takich jak komputery kwantowe, które zapewnią środki do: złamać zaawansowane szyfrowanie w kilka sekund.

Specyfikacja Caliptra obejmuje również główne aspekty zaświadczenie, który jest bardziej uściskiem dłoni na poziomie chipa, aby zapewnić, że tylko upoważnione strony mają dostęp do danych przechowywanych w enklawach sprzętowych. Bloki RoT w chipie izolują dane, zapewniając jednocześnie skuteczny mechanizm weryfikacji autentyczności i integralności kodu, oprogramowania układowego i innych zasobów bezpieczeństwa.

Zabezpieczanie Enterprise Cloud

Pierwsza specyfikacja Caliptra, wersja 0.5, może być prototypowana na programowalnych macierzach bramek przed wdrożeniem do ostatecznych projektów układów. Dokument specyfikacji wskazuje na technologię ukierunkowaną na infrastrukturę komputerową przedsiębiorstwa, a nie na komputery domowe lub biznesowe.

Założenia Caliptra, które obejmują uwierzytelnianie, wykrywanie i odzyskiwanie, mocno skłaniają się do ustanowienia krzemowego RoT dla chipów serwerowych i brzegowych, które są zbudowane inaczej niż chipy PC.

Firma Microsoft używa atestacji opartej na chipach Trusted Platform Module (TPM) jako mechanizm bezpieczeństwa dla Windows 10 i 11 system operacyjny. Firmowy Układ zabezpieczający Plutona, który ma wbudowany moduł TPM i może być używany do atestacji, został w dużej mierze odrzucony przez szeroko pojętą branżę komputerów PC.

Dyrektorzy Microsoftu i Google nie powiedzieli, czy i kiedy uczynią Caliptra częścią swoich usług w chmurze. Microsoft w zeszłym tygodniu rozszerzył wykorzystanie technologii AMD SNP-SEV o poufne przetwarzanie w chmurze. Azure oferuje również instancje maszyn wirtualnych z zastrzeżoną enklawą bezpieczeństwa SGX firmy Intel.

Rozszerzanie projektu Open Compute

Open Compute Project został założony w 2011 roku przez firmy takie jak Google i Meta (wtedy Facebook), które kupowały tysiące serwerów i szukały standaryzacji projektów sprzętowych w swoich megacentrach danych. Celem było skrócenie czasu budowy serwera i obniżenie kosztów poprzez usunięcie zbędnych komponentów.

Od tego czasu OCP wyrósł na potęgę, która liczy wszystkich głównych dostawców sprzętu infrastrukturalnego jako członków — z wyjątkiem Apple i Amazon, które polegają na wewnętrznie zaprojektowanym sprzęcie.

Wytyczne OCP obejmują również specyfikacje zasilania, chłodzenia, pamięci masowej i sieci, które są obecnie powszechnie stosowane. OCP zainspirowało również firmy spoza branży technologicznej, głównie z sektora finansowego, do eksperymentowania i opracowywania standardowych serwerów dla lokalnych centrów danych.

„Mamy liderów branży spotykających się tutaj w ramach społeczności OCP i chcemy wprowadzić standardową architekturę obiektu dla wdrożonych serwerów” – powiedział Grossner. „Bezpieczeństwo serwera stanie się skalowalne”.

Wcześniej serwery w dużej mierze były zależne od procesorów, ale teraz zawierają różne urządzenia obliczeniowe, takie jak procesory graficzne, do obsługi aplikacji takich jak sztuczna inteligencja. Ujednolicenie architektury bezpieczeństwa serwera było najwyższym priorytetem dla kierownictwa firmy zajmującego się mediami podczas rozmowy OCP.

„Ten ekosystem, w którym wszyscy gramy — zaczyna się od zaufania, które masz… w swoje komputery. Byliśmy na ścieżce do posiadania wielu rozwidlonych rozwiązań, a to po prostu nie jest dobre dla nikogo” – powiedział podczas rozmowy Mark Papermaster, dyrektor ds. technologii w AMD.