Das exponentielle Wachstum von Datasets hat dazu geführt, dass vermehrt darauf geachtet wird, wie Daten offengelegt werden – sowohl im Hinblick auf den Schutz von Verbraucherdaten als auch im Hinblick auf Compliance. In diesem Kontext wird Confidential Computing zu einem wichtigen Tool, das Organisationen bei der Erfüllung ihrer Datenschutz- und Sicherheitsanforderungen im Zusammenhang mit Geschäfts- und Verbraucherdaten unterstützt.

Confidential Computing-Technologie verschlüsselt Daten im Arbeitsspeicher und verarbeitet sie erst, nachdem die Cloudumgebung überprüft wurde, um Zugriffe durch Cloudbetreiber, böswillige Administratoren und privilegierte Software wie etwa dem Hypervisor zu verhindern. Sie ergänzt bereits vorhandene Lösungen, die ruhende Daten sowie Daten während der Übertragung schützen, und sorgt dafür, dass Daten nun auch während der Verwendung – und somit während des gesamten Lebenszyklus – geschützt sind.

Confidential Computing eröffnet Organisationen auf der ganzen Welt neue Möglichkeiten. So können sie jetzt beispielsweise Datenanalysen und maschinelles Lernen mit mehreren Parteien nutzen und Datasets von Parteien kombinieren, die diese Datasets bislang nicht teilen wollten oder konnten. Die Daten bleiben dabei teilnehmerübergreifend privat. Von RBC wurde eine Plattform für Datenschutz wahrende Analysen erstellt, die Kunden nutzen können, um die Rabattoptimierung zu verbessern. Die Plattform generiert Erkenntnisse zu Kaufpräferenzen von Kunden, indem sie die Kredit- und Debitkartentransaktionen von RBC vertraulich mit Einzelhändlerdaten zu den von Kunden erworbenen Artikeln kombiniert.

Branchenführung und Standardisierung

Microsoft ist seit langem einer der Vordenker im Bereich Confidential Computing. „Confidential Computing“ wurde durch Azure in der Cloud eingeführt, als wir als erster Cloudanbieter virtuelle Computer für Confidential Computing sowie Unterstützung von vertraulichen Containern in Kubernetes angeboten haben, damit Kunden besonders sensible Workloads in vertrauenswürdigen Ausführungsumgebungen (Trusted Execution Environments, TEEs) ausführen können. Microsoft ist auch eines der Gründungsmitglieder des Confidential Computing Consortium (CCC). Hierbei handelt es sich um eine Gruppe von Hardwareherstellern und Cloud- bzw. Lösungsanbietern, die gemeinsam an der Verbesserung und Standardisierung des Datenschutzes in der gesamten Technologiebranche arbeiten.

Grundlagen von Confidential Computing

Unsere Messlatte für Vertraulichkeit orientiert sich an den Zielen des CCC und legt sie noch etwas höher, um eine umfassende Grundlage für Confidential Computing zu schaffen. Wir sind bestrebt, Kunden die technischen Mittel zur Verfügung zu stellen, mit denen sie Daten von Microsoft-Operatoren, von ihren eigenen Operatoren oder von beiden isolieren können. In Azure stehen Confidential Computing-Angebote zur Verfügung, die über die Hypervisorisolierung zwischen Kundenmandanten hinausgehen, um Kundendaten vor dem Zugriff durch Microsoft-Operatoren zu schützen. Darüber hinaus verfügen wir über Confidential Computing mit Secure Enclaves, um den Zugriff durch Kundenoperatoren zu verhindern.

Unsere Grundlage für Confidential Computing umfasst Folgendes:

• Hardwarebasierter Vertrauensanker, um sicherzustellen, dass Daten geschützt und im Chip verankert sind. Die Vertrauensstellung ist beim Hardwarehersteller verankert, sodass selbst Microsoft-Operatoren die Hardwarekonfigurationen nicht ändern können.
• Remotenachweis, damit Kunden die Integrität der Umgebung direkt überprüfen können. Kunden können vor dem Gewähren von Datenzugriff überprüfen, ob es sich bei der Hard- und Software, auf bzw. in der ihre Workloads ausgeführt werden, um genehmigte Versionen handelt und ob sie geschützt sind.
• Vertrauenswürdiger Start stellt sicher, dass virtuelle Computer mit autorisierter Software gestartet werden, und ermöglicht Kunden eine entsprechende Überprüfung mittels Remotenachweis. Dieser Mechanismus steht für alle virtuellen Computer zur Verfügung – auch für vertrauliche virtuelle Computer mit sicherem Start und vTPMs, um vor Rootkits, Bootkits und schädlicher Firmware zu schützen.
• Arbeitsspeicherisolation und -verschlüsselung, um den Schutz der Daten während der Verarbeitung zu gewährleisten. Azure bietet Arbeitsspeicherisolation auf VM-, Container- oder Anwendungsebene, um die unterschiedlichen Anforderungen von Kunden zu erfüllen, sowie hardwarebasierte Verschlüsselung, um die nicht autorisierte Betrachtung von Daten zu verhindern – selbst bei physischem Zugriff im Rechenzentrum.
• Sichere Schlüsselverwaltung, um sicherzustellen, dass Schlüssel während ihres gesamten Lebenszyklus verschlüsselt bleiben und eine Freigabe nur für den autorisierten Code erfolgt.

Die oben genannten Komponenten bilden zusammen die Grundlage für das, was wir als Confidential Computing betrachten. und aktuell verfügt Azure über mehr Confidential Computing-Optionen für Hardware und Software als jeder andere Cloudanbieter.

Innovative neue Hardware

Unsere neuen vertraulichen DCsv3-VMs auf Intel-Basis beinhalten Intel SGX für die Implementierung hardwaregeschützter Anwendungsenklaven. Mithilfe von SGX-Enklaven können Entwickler die Menge an Code, der Zugriff auf vertrauliche Daten hat, auf ein Minimum reduzieren. Darüber hinaus ermöglichen wir Total Memory Encryption-Multi-Key (TME-MK), damit jeder virtuelle Computer mit einem eindeutigen Hardwareschlüssel geschützt werden kann.

Unsere neuen vertraulichen DCasv5/ECasv5-VMs auf AMD-Basis bieten Secure Encrypted Virtualization-Secure Nested Paging (SEV-SNP), um hardwareisolierte virtuelle Computer zu ermöglichen, die Daten vor anderen virtuellen Computern, dem Hypervisor und dem Hostverwaltungscode schützen. Kunden können vorhandene virtuelle Computer ohne Codeänderungen per Lift & Shift migrieren und optional die erweiterte Datenträgerverschlüsselung mit selbst verwalteten oder von Microsoft verwalteten Schlüsseln nutzen.

Zur Unterstützung containerisierter Workloads sind alle unsere vertraulichen VMs in Azure Kubernetes Service (AKS) als Workerknotenoption verfügbar. Kunden können ihre Container jetzt mit Intel SGX- oder AMD SEV-SNP-Technologie schützen.

Dank der Optionen für die Arbeitsspeicherverschlüsselung und -isolation sind Kundendaten bei Azure besser und umfassender geschützt als in jeder anderen Cloud.

Branchenübergreifende Kundenerfolge

Viele Organisationen nutzen bereits die großartigen Datenschutz- und Sicherheitsvorteile von Azure Confidential Computing.

Secure AI Labs haben eine private Vorschau unserer AMD-basierten virtuellen Computer verwendet, um eine Plattform zu erstellen, auf der Forscher im Gesundheitswesen einfacher mit Gesundheitsdienstleistern zusammenarbeiten können, um die Forschung voranzutreiben. Luis Huapaya, VP of Engineering bei Secure AI Labs Inc, dazu: „Dank Azure Confidential Computing kann Secure AI Labs alle Vorteile der Ausführung in Azure nutzen, ohne Abstriche bei der Sicherheit machen zu müssen. Die Verwendung virtueller Nutzdaten in Azure Confidential Computing ist möglicherweise sogar sicherer als die lokale Verwendung auf einem privaten Server. Mit dem Remotenachweis steht zudem ein zentrales Sicherheitsfeature zur Verfügung, durch das virtuelle Nutzdaten ihre Identität kryptografisch nachweisen und außerdem überprüfen können, ob sie sich in einer Enklave befinden. Azure Confidential Computing mit AMD SEV-SNP erleichtert unsere Arbeit erheblich.“

Regulierte Branchen zählten aufgrund von Complianceanforderungen und hochsensiblen Daten zu den Early Adoptern. Inzwischen ist jedoch auch in anderen Branchen ein wachsendes Interesse zu beobachten – von der Fertigungsindustrie über den Einzelhandel bis hin zur Energiebranche, um nur einige Beispiele zu nennen.

Signal Messenger, eine weltweit verwendete Messaging-App, die für hohe Sicherheit und Datenschutz bekannt ist, nutzt Azure Confidential Computing mit Intel SGX zum Schutz von Kundendaten wie etwa Kontaktinformationen. Jim O'Leary, VP of Engineering bei Signal, sagt: „Wir nutzen Azure Confidential Computing, um skalierbare, sichere Umgebungen für unsere Dienste zu bieten und so tagtäglich die Sicherheits- und Datenschutzerwartungen von Millionen von Menschen zu erfüllen. Bei Signal stehen die Benutzer an erster Stelle, und Azure hilft uns mit Confidential Computing dabei, unsere Spitzenposition beim Datenschutz zu verteidigen.“

Wir freuen uns, dass Organisationen mehr Workloads über Azure abwickeln und dabei auf den Datenschutz von Azure Confidential Computing vertrauen, um die Datenschutzanforderungen ihrer Kunden zu erfüllen.

Vertrauliche Azure-Cloud

Azure ist der „Computer der Welt“ – von der Cloud bis zum Edge. Kunden unterschiedlichster Größe und aus verschiedensten Branchen möchten innovative Anwendungen für mehrere Clouds, lokale Umgebungen und den Edgebereich entwickeln, erstellen und sicher betreiben. Bei Azure sind wir davon überzeugt, dass sich Confidential Computing zu einem unverzichtbaren Baustein aller Computinginfrastrukturen entwickeln wird – ähnlich wie das inzwischen allgegenwärtige HTTPS zum Schutz von Daten beim Surfen im Internet. 

Unsere Vision ist es, aus der Azure-Cloud eine vertrauliche Azure-Cloud zu machen und sowohl in der Cloud als auch im Edgebereich von unverschlüsseltem Computing auf Confidential Computing umzustellen. Wir möchten es Kunden ermöglichen, ein Höchstmaß an Datenschutz und Sicherheit für alle ihre Workloads zu erreichen.

Zusätzlich zu den 20 Milliarden US-Dollar, die wir in den nächsten fünf Jahren in die Weiterentwicklung unserer Sicherheitslösungen investieren, arbeiten wir auch mit Hardwareanbietern zusammen und entwickeln Microsoft-interne Innovationen, um unseren Kunden ein Höchstmaß an Datensicherheit und Datenschutz zu bieten. Auf unserem Weg zur weltweit führenden vertraulichen Cloud treiben wir Confidential Computing-Innovationen horizontal in unserer Azure-Infrastruktur und vertikal in allen Azure-basierten Microsoft-Diensten voran.

Weitere Informationen zu Azure Confidential Computing finden Sie hier.

Weitere Informationen zu unseren neuesten Confidential Computing-Angeboten

• Vertrauliche virtuelle Computer mit Intel SGX-basierten Secure Enclaves (Vorschauversion)
• Vertrauliche virtuelle Computer mit AMD SEV-SNP (Vorschauversion)
• Vertrauenswürdiger Start mit sicherem Start und vTPMs auf allen virtuellen Azure-Computern der zweiten Generation, um sicherzustellen, dass auf einem virtuellen Computer nur vertrauenswürdiger Code ausgeführt wird

Erste Schritte mit vertraulichen Diensten, Tools und Frameworks

• Azure Confidential Ledger (jetzt als Vorschauversion über das Azure-Portal verfügbar)
• SQL: Always Encrypted mit Secure Enclaves
• Verwaltetes HSM von Azure Key Vault
• Microsoft Azure Attestation
• Confidential Consortium Framework (CCF) (Open-Source-Framework für private Blockchain-basierte Ledger)
• Open Enclave (Open-Source-SDK für Datenkontrolle auf C/C++-Codezeilenebene)
• ONNX-Runtime (Open-Source-Framework für vertrauliche ML-Rückschlüsse)
• Mystikos zum Portieren von .NET-Apps in Anwendungsenklaven
• Blaupause für Enklavengeräte für Confidential Computing am IoT-Edge
• Vertrauliche Container in AKS
• AKS mit Confidential Computing-Knoten

---

Azure. Erfinden mit dem Ziel im Blick.