ECS menyediakan perlindungan keamanan berlapis, termasuk enkripsi perangkat keras, trusted computing, dan confidential computing.
Ikhtisar
ECS menyediakan enkripsi memori default, trusted computing (vTPM), dan confidential computing (Confidential VMs dan enclaves).
Enkripsi memori default: Melindungi data dalam memori dari serangan fisik tanpa perubahan pada OS atau aplikasi Anda. Didukung secara default pada keluarga instans seperti g8i general-purpose, c8i compute-optimized, dan r8i memory-optimized.
Trusted computing: Instans tepercaya menggunakan vTPM sebagai root of trust untuk mengaktifkan trusted boot dan memverifikasi komponen inti selama startup, memastikan komponen tersebut tidak dimodifikasi.
Confidential computing: Menggunakan enkripsi dan isolasi perangkat keras CPU untuk menyediakan trusted execution environment (TEE) yang melindungi data dari modifikasi tidak sah. Fitur seperti remote attestation memverifikasi integritas platform cloud dan instans Anda.
Keamanan enclave: Berdasarkan Intel Software Guard Extensions (Intel SGX) 2.0 dan enclaves virtualisasi Alibaba Cloud, kemampuan ini mengurangi Trusted Computing Base (TCB) dan meminimalkan attack surface. Lihat Build an SGX confidential computing environment dan Build an enclave confidential computing environment.
Keamanan Confidential VM: Jalankan beban kerja sensitif yang dienkripsi selama pemrosesan tanpa perubahan kode. Confidential VM didasarkan pada Intel Trust Domain Extensions (Intel TDX). Lihat Build a TDX confidential computing environment.
Alibaba Cloud menerapkan chip keamanan perangkat keras Ali-PRoT (Platform Root-of-Trust) pada host ECS. Chip ini mengamankan perangkat keras dan firmware dasar tanpa konfigurasi tambahan. Kemampuan intinya meliputi:
Proactive firmware measurement: Sebelum host dinyalakan, Ali-PRoT memverifikasi integritas firmware (seperti BIOS dan BMC). Berbeda dengan metode pencatatan pasif tradisional, Ali-PRoT secara proaktif mendeteksi dan memblokir potensi ancaman sebelum firmware dieksekusi. Hanya server yang telah diverifikasi yang dapat dinyalakan.
Runtime tamper-proofing: Ali-PRoT terus-menerus memantau operasi baca dan tulis firmware pada waktu proses serta memblokir akses dan modifikasi tidak sah secara real time.
Hardware identity authentication: Ali-PRoT melakukan otentikasi identitas server fisik melalui identitas perangkat keras unik pada chip dan sistem kontrol keamanan platform cloud, mencegah perangkat tidak sah mengakses platform.