Informatica riservata con l'estensione di dominio affidabile Intel (TDX)

L'informatica riservata con Intel Trust Domain Extensions (TDX) offre riservatezza alle macchine virtuali fornendo miglioramenti alla CPU che vengono sfruttati dal firmware e dall'hardware per garantire riservatezza e integrità. Tutto ciò che è contenuto nella macchina virtuale è riservato e non può essere intercettato. Inoltre, tutto ciò che è contenuto nella macchina virtuale è protetto e non può essere manomesso. Per ulteriori informazioni su TDX, vedere Estensioni del dominio di fiducia Intel.

Elaborazione riservata con le estensioni Intel Software Guard (SGX)

Il calcolo riservato con Intel ® Software Guard Extensions (SGX) protegge i vostri dati attraverso la sicurezza dei server basati sull'hardware utilizzando regioni di memoria isolate note come enclave crittografate. Questo calcolo basato sull'hardware consente di proteggere i dati dalla divulgazione o dalla modifica. Ciò significa che i dati sensibili vengono crittografati mentre si trovano nella memoria dell'istanza del server virtuale consentendo alle applicazioni di essere eseguite nello spazio di memoria privato. Per utilizzare SGX, è necessario installare il software della piattaforma sui nodi worker con capacità SGX. Quindi, progetta la tua applicazione per l'esecuzione in un ambiente SGX. Mentre i tuoi dati sensibili sono all'interno di un'enclave crittografata, i tuoi dati sono suddivisi in parti attendibili e non attendibili. Mentre le parti fidate vengono utilizzate nell'enclave crittografata, la CPU nega tutti gli altri accessi all'enclave, indipendentemente dai privilegi di accesso. I dati sono protetti da minacce interne ed esterne e non possono essere rubati o sabotati.

Quando si utilizza il calcolo riservato con SGX, i dati vengono protetti durante l'intero ciclo di vita del calcolo. Ciò significa che i dati sono accessibili solo al codice autorizzato e sono invisibili a chiunque altro, compresi il sistema operativo e IBM Cloud®.

Attestazione

Quando si sviluppa un'applicazione SGX di calcolo riservato, è necessario progettarla in modo da poter segmentare le informazioni che necessitano di riservatezza. In fase di esecuzione, le informazioni segmentate vengono conservate in enclavi criptate. Le informazioni riservate vengono caricate nelle enclavi criptate solo dopo che queste ultime ne dimostrano l'autenticità attraverso un processo chiamato attestazione. Per ulteriori informazioni sull'attestazione con Intel SGX e TDX, vedere Attestazione con Intel SGX o TDX e Data Center Attestation Primitives(DCAP).

Casi d'uso dell'informatica riservata con SGX e TDX

Di seguito sono riportati alcuni casi d'uso del calcolo riservato con SGX e TDX.

• Riservatezza e riservatezza dei carichi di lavoro e delle applicazioni in un ambiente Confidential Computing, per garantire che le applicazioni di sicurezza e di riservatezza dei dati siano sempre protette.

• AI e Analytics riservati consentono applicazioni di dati e business analytics, modelli di machine learning e applicazioni all'interno di enclave sicure. Include applicazioni SMPC che aiutano anche ad acquisire informazioni sui dati.

• Secure Multi - Party Compute abilita l'SMPC distribuito che consente di assicurarsi che i dati e gli insight dei partecipanti siano protetti anche quando calcolati al di fuori del loro controllo diretto.

• Digital Assets è la piattaforma affidabile per le soluzioni di custodia digitale, per archiviare e trasferire asset digitali di alto valore in portafogli altamente sicuri, affidabili su larga scala.

Profili compatibili con SGX e TDX

I seguenti profili supportano SGX.

• Tutti i profili bx3dc bilanciati
• Tutti i profili cx3dc di calcolo

I seguenti profili supportano il TDX.

• Tutti i profili bx3dc bilanciati
• Tutti i profili cx3dc di calcolo

I profili SGX e TDX potrebbero avere tempi di avvio leggermente più lunghi, approssimativamente nell'ordine di 180-240 secondi, a seconda delle dimensioni della memoria del profilo.

Per ulteriori informazioni sui profili, vedere Profili di istanza x86-64.

Limitazioni

Se si desidera utilizzare SGX o TDX, tenere presenti le seguenti limitazioni.

• Disponibile solo su server virtuali di terza generazione basati su Sapphire.

• SGX non protegge dagli attacchi side - channel.

• Solo le immagini seguenti supportano SGX e TDX. Tenete presente che le immagini con kernel versione 5.11 e precedenti non supportano SGX e le immagini con kernel versione 6.5 e precedenti non supportano TDX.

  • SGX
    • Red Hat 8.6, 8.8, 9.0, 9.2
    • Ubuntu 20.04, 22.04
    • CentOS Stream 8, 9
    • Rocky Linux 8.8, 9.2
    • SLES 15 SP4, SP5
  • TDX
    • Ubuntu 24.04
    • Red Hat 9.4
    • CentOS Stream 9
    • Rocky Linux 9.2, 9.4
    • SLES 15.6
    • Debian 13.3

• Limitazioni del TDX

  • Quando si forza il riavvio di un server virtuale abilitato per TDX, il server virtuale si spegne. A questo punto è necessario riavviare il server virtuale.
  • La console VNC non è supportata.
  • TDX non supporta l'interfaccia vsock per la generazione di quote. Per la generazione di quote, è necessario utilizzare tdvmcal.