O ECS oferece proteção de segurança em camadas, incluindo criptografia de hardware, computação confiável e computação confidencial.
Visão geral
O ECS fornece criptografia de memória padrão, computação confiável (vTPM) e computação confidencial (VMs Confidenciais e enclaves).
Criptografia de memória padrão: protege dados na memória contra ataques físicos sem exigir alterações no sistema operacional ou nas aplicações. Famílias de instâncias como g8i de uso geral, c8i otimizada para computação e r8i otimizada para memória oferecem suporte a esse recurso por padrão.
Computação confiável: instâncias confiáveis usam um vTPM como raiz de confiança para ative a inicialização confiável e verifique componentes essenciais durante o boot, garantindo a integridade dos componentes.
-
Computação confidencial: usa criptografia e isolamento de hardware da CPU para fornecer um ambiente de execução confiável (TEE), protegendo dados contra modificações não autorizadas. Recursos como atestação remota verificam a integridade da plataforma em nuvem e das suas instâncias.
Segurança de enclave: baseada no Intel Software Guard Extensions (Intel SGX) 2.0 e nos enclaves de virtualização do Alibaba Cloud, essa capacidade reduz a Base de Computação Confiável (TCB) e minimiza a superfície de ataque. Consulte Criar um ambiente de computação confidencial SGX e Criar um ambiente de computação confidencial com enclave.
Segurança de VM Confidencial: execute cargas de trabalho sensíveis com criptografia durante o processamento, sem alterar o código. As VMs Confidenciais baseiam-se no Intel Trust Domain Extensions (Intel TDX). Consulte Criar um ambiente de computação confidencial TDX.
O Alibaba Cloud implanta o chip de segurança de hardware Ali-PRoT (Platform Root-of-Trust) nos hosts do ECS. Esse chip protege o hardware e o firmware subjacentes sem necessidade de configuração adicional. As principais capacidades incluem:
Medição proativa de firmware: antes da inicialização do host, o Ali-PRoT verifica a integridade do firmware (como BIOS e BMC). Diferentemente dos métodos tradicionais de registro passivo, o Ali-PRoT detecta e bloqueia proativamente ameaças potenciais antes da execução do firmware. Apenas servidores verificados iniciam.
Proteção contra adulteração em tempo de execução: o Ali-PRoT monitora continuamente leituras e gravações do firmware durante a execução, bloqueando acessos não autorizados e modificações em tempo real.
Autenticação de identidade de hardware: o Ali-PRoT autentica servidores físicos pela identidade de hardware exclusiva do chip e pelo sistema de controle de segurança da plataforma em nuvem, impedindo o acesso de dispositivos não autorizados à plataforma.
Recursos de segurança em resumo
