Klaster Container Service for Kubernetes (ACK) mendukung komputasi rahasia berbasis lingkungan eksekusi tepercaya (TEEs). Topik ini menjelaskan konsep dasar, fitur inti, skenario penggunaan, dan solusi komputasi rahasia berbasis TEE. Topik ini juga mencakup kolaborasi antara komputasi rahasia berbasis TEE dan kontainer sandbox.
Konsep Dasar
ACK menyediakan komputasi rahasia berbasis TEE, yaitu solusi cloud-native dan all-in-one yang memanfaatkan teknologi enkripsi perangkat keras. Komputasi rahasia berbasis TEE menjamin keamanan, integritas, dan kerahasiaan data. Solusi ini menyederhanakan pengembangan serta pengiriman aplikasi tepercaya atau rahasia dengan biaya lebih rendah. Komputasi rahasia memungkinkan isolasi data sensitif dan kode dalam TEE, mencegah akses oleh sistem lain. Data di TEE tidak dapat diakses oleh aplikasi eksternal, BIOS, sistem operasi, kernel, administrator, insinyur O&M, penyedia layanan cloud, maupun komponen perangkat keras selain CPU. Hal ini mengurangi risiko kebocoran data dan menyederhanakan manajemen data.
Fitur Inti
Menjamin integritas kode dan data di cloud.
Mengenkripsi data dan kode untuk mencegah pelanggaran data.
Memungkinkan manajemen siklus hidup data.
Skenario Penggunaan
Blockchains
Meningkatkan kerahasiaan dan keamanan untuk pemrosesan transaksi, konsensus, kontrak pintar, dan penyimpanan kunci.
Key management
Menerapkan fitur manajemen kunci dalam enclave, mirip dengan modul keamanan perangkat keras (HSM).
Genetic computing
Menjamin kerahasiaan data dengan mengisolasi data sensitif dalam lingkungan komputasi multi-pihak.
Finance
Mendukung pembayaran dan transaksi aman.
AI
Melindungi hak kekayaan intelektual dengan mengenkripsi informasi rahasia seperti model.
Edge computing
Mendukung komunikasi aman dan rahasia antara cloud, edge, dan terminal.
Data sharing and computing
Melindungi data dari pelanggaran saat pengguna atau vendor berbagi data untuk nilai ekonomi yang lebih tinggi.
Solusi
Gambar berikut menunjukkan arsitektur komputasi rahasia berbasis TEE V1.1.
ACK telah meluncurkan klaster Kubernetes terkelola untuk komputasi rahasia berbasis Intel Software Guard Extensions (SGX) 2.0. Klaster ini menyederhanakan manajemen aplikasi tepercaya atau rahasia serta mengurangi biaya pengiriman aplikasi tersebut. Solusi ini memanfaatkan trusted computing base untuk meminimalkan ketergantungan pada kepercayaan penyedia cloud saat memproses data dan kode di lingkungan cloud publik, meningkatkan keamanan data dan kode. Untuk langkah-langkah pembuatan, lihat Buat klaster ACK terkelola untuk komputasi rahasia.
Pastikan persyaratan berikut terpenuhi:
Node pekerja harus diterapkan menggunakan tipe instans dari keluarga instans berikut: instance families: c7t security-enhanced compute-optimized, g7t security-enhanced general-purpose, dan r7t security-enhanced memory-optimized.
CatatanIntel Ice Lake hanya mendukung layanan remote attestation berbasis Intel Software Guard Extensions Data Center Attestation Primitives (SGX DCAP). Layanan remote attestation berbasis Intel Enhanced Privacy Identification (EPID) tidak didukung. Anda harus menyesuaikan aplikasi Anda sebelum dapat menggunakan layanan remote attestation. Untuk informasi lebih lanjut tentang layanan remote attestation, lihat attestation-services.
Driver SGX 2.0 dan TEE SDK secara otomatis diinstal saat node klaster diinisialisasi. TEE SDK adalah kit pengembangan yang disediakan oleh Alibaba Cloud untuk mengembangkan aplikasi komputasi rahasia. Kit ini menyediakan model pengembangan dan antarmuka pemrograman yang konsisten dengan Intel Linux SGX SDK.
Secara default, Intel SGX Architectural Enclave Service Manager (AESM) DaemonSet diinstal. Ini memungkinkan aplikasi SGX 2.0 mengakses AESM.
Anda dapat menggunakan plug-in perangkat SGX yang dikembangkan oleh Alibaba Cloud untuk mendeteksi, mengelola, dan menjadwalkan sumber daya memori dalam Enclave Page Cache (EPC) dari node SGX.
Komputasi rahasia berbasis TEE berkolaborasi dengan kontainer sandbox
Containers in runC are vulnerable to attacks
Kontainer dalam runC berbagi kernel dengan host. Saat kerentanan escape kontainer terjadi di kernel, aplikasi jahat dalam kontainer dapat melarikan diri ke sistem backend, membahayakan aplikasi lain dan seluruh sistem.
Sandboxed containers isolate malicious applications and block attacks
Kontainer sandbox menyediakan isolasi yang ditingkatkan berdasarkan framework ringan Kangaroo. Setiap pod berjalan pada sistem operasi dan kernel independen. Saat kerentanan terjadi di kernel, hanya pod yang berjalan pada kernel tersebut yang terpengaruh, melindungi aplikasi lain dan sistem backend.
TEE-based confidential computing protects applications in use
Komputasi rahasia berbasis TEE adalah solusi komputasi terenkripsi yang disediakan oleh ACK. Ini melindungi kode dan data sensitif, seperti alamat IP, kunci, dan komunikasi rahasia.
Komputasi awan memberikan manfaat bagi perusahaan, namun migrasi data ke cloud dapat menimbulkan risiko pelanggaran data. Pelanggaran data dapat terjadi dalam skenario berikut:
Serangan
Vendor cloud yang tidak tepercaya
Cacat keamanan infrastruktur cloud
Staf O&M dan administrator yang tidak memenuhi syarat
TEE-based confidential computing collaborates with sandboxed containers to isolate malicious applications and protect sensitive data
Komputasi rahasia berbasis TEE dan kontainer sandbox menyediakan fitur berbeda. Anda dapat menggabungkan fitur-fitur tersebut dalam klaster Anda untuk mengisolasi aplikasi jahat dan melindungi aplikasi serta data sensitif.