re:Invent 2023 | 保护与亚马逊云科技机密计算同时使用的敏感数据

关键字: [Amazon Web Services re:Invent 2023, Nitro Enclaves, Sensitive Data, Protect, 亚马逊云科技, Confidential Computing, Nitro Enclaves]

本文字数: 2000, 阅读完需: 10 分钟

视频

如视频不能正常播放，请前往bilibili观看本视频。>> https://www.bilibili.com/video/BV1e94y1A7wE

导读

亚马逊云科技的机密计算可满足组织保护使用中的代码和数据免遭未经授权访问的需求。本讲座涵盖保密计算的基本概念，并探索 Amazon EC2 功能不同点（Amazon Nitro 系统和 Amazon Nitrio Enclaves），这些功能可帮助企业提高隔离和处理敏感数据的安全标准。了解最近推出的其他基于 CPU 的功能，如 AMD SEV-SNP，以满足特定客户的需求。最后，了解有关架构的信息，并深入探讨区块链密钥管理、金融服务、支付处理和多方协作方面的用例。

演讲精华

以下是小编为您整理的本次演讲的精华，共1700字，阅读时间大约是8分钟。如果您想进一步了解演讲内容或者观看演讲全文，请观看演讲完整视频或者下面的演讲原文。

演讲者Arvind以充满激情的方式开始了关于“利用亚马逊云科技的机密计算保护敏感数据”的主题演讲。作为负责亚马逊云科技机密计算业务的专家，他将与JD Bean（主要负责安全架构）和Alex Roiz（来自Stripe的软件开发工程师）共同进行演讲。

Arvind对能有机会向选择参加他们演讲的观众们发表讲话表示感激，承认在这个活动中还有很多其他优秀的演讲可以选择。他表示，首次有客户加入他们的演讲，分享使用Nitro Enclaves构建应用程序的经验，让他感到谦逊和感激。他向观众保证，他们不仅将从他和JD那里听到，还将直接从Stripe听到关于他们亲身体验使用亚马逊云科技机密计算功能的过程。

Arvind强调，无论观众们在云计算旅程中处于什么阶段，只要他们在处理敏感数据的业务中并希望保护这些数据，他们就处在正确的演讲中。他甚至欢迎那些纯粹出于好奇而来的人，赞扬他们的兴趣，并承诺他们会学到一些新知识。

随后，他概述了演讲的议程，从亚马逊云科技对机密计算的视角及其各种安全和隐私方面的介绍开始，接着讨论Nitro系统提供的无操作员访问保障，之后是关于Nitro Enclaves本身的内容，包括其关键特性和好处。接下来，来自Stripe的Alex将分享他们使用Nitro Enclaves构建的体验。Arvind还将讨论其他使用案例，最后通过强调进一步的学习资源来结束演讲。

在定义机密计算时，Arvind将其描述为使用专门的硬件和固件来保护在使用中的数据免受未经授权访问的保护机制。他强调“使用中的数据”是关键焦点，解释称虽然存在保护静止数据和传输中的数据的机制，但机密计算将保护扩展到了数据被处理的过程中。通过保护静止、传输和使用中的数据的端到端保护，机密计算旨在填补关键的安全漏洞。

亚马逊云科技已明确了解机密计算解决方案需要应对的两个主要安全和隐私挑战：一是确保客户数据不被云服务提供商（例如亚马逊云科技的工程师和管理员）访问；二是即使对客户本身，也要防止其数据被内部恶意人员或有高级权限的组织成员访问。据阿尔文表示，机密计算的核心在于保护使用中的数据，而这两大挑战分别是防范云服务提供商和客户的侵犯。他还列举了一些敏感数据类型，如个人可识别信息、医疗保健数据、财务详情、数字资产及机器学习模型等知识产权。虽然这些数据类型已在云中进行处理，但随着监管要求的提高和安全意识的增强，在使用过程中更好地保护它们的需求也在不断增加。亚马逊云科技为此提供了两种符合上述两大挑战的机密计算解决方案：一为Nitro系统，作为硬件基础，可阻止云服务提供商接触客户实例；二为Nitro Enclaves，提供强化且隔离的计算环境，即便在客户自身情况下，也能保护使用中的数据。阿尔文随后邀请JD Bean上台，详细介绍Nitro系统如何实现“无操作员访问”的机密计算。JD强调，对于希望保护EC2中敏感数据的客户而言，简单而言，只需使用自2018年推出的基于Nitro的实例类型即可。因为Nitro系统的独特设计能够防止任何亚马逊云科技操作员访问客户实例。

随着技术的发展，亚马逊云科技（Amazon Web Services）推出了Nitro系统，这是一种全新的虚拟化技术，旨在提高其云计算服务的性能和安全性。Nitro系统的核心是一种名为Nitro卡的专用硬件，它负责管理虚拟机实例的运行。这种设计使得虚拟机监控器非常轻量，可以直接将资源分配给客户实例，而无需依赖于通用目的操作系统或交互式访问。

Nitro卡配备了强大的安全性，确保了系统引导时的完整性。这意味着只有可信的代码才能在Nitro卡上运行。此外，Nitro卡没有SSH访问或亚马逊云科技操作员登录机制，它的唯一对外API用于非敏感的管理操作，如实例生命周期，这些操作都需要经过审核和授权。

为了确保Nitro系统的安全性，亚马逊云科技已经采取了一系列措施，包括邀请第三方评估来验证是否存在任何亚马逊云科技操作员访问功能。此外，无亚马逊云科技操作员访问的承诺已纳入亚马逊云科技服务条款，默认适用于所有客户。

总的来说，Nitro系统是基于一个新的设计理念，通过消除亚马逊云科技操作员的任何访问权限，为更高级的数据保护功能（如Nitro密室）奠定了基础。Nitro密室是一种加固的隔离环境，可以划分出CPU和内存，为敏感数据使用创建一个受保护的空间，防止暴露给实例中的其他组件。

他列举了一些应用案例，包括加密操作、机器学习推理以及其他敏感数据的处理。金融行业、医疗行业和公共服务等领域的亚马逊云科技客户已经开始利用安全区域来保护关键数据。

随后，Arvind邀请来自Stripe的Alex分享他们使用Nitro安全区域的亲身经历。

Alex介绍了Stripe作为支付处理平台的基本情况，数百万家公司都在使用该平台进行收款和转账。处理信用卡明细、银行账户信息以及金融交易等敏感数据时需要保护加密密钥以确保安全性并符合相关标准。

他阐述了他们的评估标准：

1. 仅限于对可信服务的访问，而非直接对人类。
2. 保持密钥使用的审计追踪。
3. 确保拥有密钥访问权限的任何软件都已过审查并按照政策发布。

在此之前，Stripe已经使用了诸如HSM和操作系统增强等技术。由于Nitro安全区域的隔离特性限制了外部通信和存储，因此它成为了一个理想选择。非交互式访问阻止了意外的泄露。与亚马逊云科技服务如KMS的集成简化了密钥管理。

Alex讲述了Stripe如何基于安全区域构建一个处理加密密钥的安全服务。在启动时，从KMS获取加密的密钥并提供给安全区域。安全区域使用其证明证书来验证其身份并从KMS获取用于操作使用的解密密钥。其他组件负责代理和日志记录。

Stripe在安全区域内用Go语言开发了自己的定制工具，并添加了亚马逊云科技提供的TCP代理所缺失的UDP支持。还生成了一个自签名的TLS证书，以加密父实例和安全区域之间的通信。

在进行性能测试时，发现大量的日志导致吞吐量下降和延迟增加。虚拟套接字实现并发流的处理效率低下。Stripe通过大幅减少安全区域内的日志量来解决这个问题。

在生产环境中，Stripe发现，由于其采用了安全区域（enclaves）技术，性能开销并未增加，反而提高了一致性和恢复时间。通过整合加密工作负载、简化基础设施、减轻操作员的工作负担，以及最重要的实现从故障中快速自动恢复，将恢复时间从一个小时缩短到几分钟。

在初始部署之后，Alex总结道，安全区域如今可以在后台稳定运行，无需进行主动管理。敏感密钥得到了保护，而不会影响性能。

Arvind接着分享了一些客户使用安全区域的创新用例：

• 一家美国主要银行使用安全区域来保护个人可识别信息，并确保遵守GDPR等法规。
• 一家医疗保健公司利用安全区域来保护医学图像和基因数据。只有授权的应用程序才能访问安全区域内的敏感数据分区。
• 一家游戏公司在内核中处理权益并验证用户的数字资产，以防止作弊和欺诈。
• 一个公共部门机构在内核中运行多方数据分析工作负载，使数据集保持隔离。

在结束语中，Arvind重申了亚马逊云科技的Nitro Enclaves等机密计算解决方案为使用中的敏感数据提供了革命性的安全保护，这是Nitro系统的硬件隔离的补充。从金融服务到医疗保健的行业客户已经开始实现巨大的价值。他让观众去几个资源了解更多，并尝试他们自己使用安全区域。

演讲以一个强有力的例子结束，说明像Stripe这样的客户与亚马逊云科技的紧密合作如何推动机密计算的边界。他们一起可以建立信任，并加速整个行业的创新。

下面是一些演讲现场的精彩瞬间：

领导者对那些选择参加亚马逊云科技活动的人表示感谢。

机密计算通过保护传输过程中的数据以及静止和使用中的数据，实现了端到端的数据保护。

Stripe构建了一个创新系统，利用信任边界建立了服务之间的安全TLS连接。

性能问题是由Linux虚拟套接字实现中的无效并发网络流处理所导致的。

领导者描述了他们的团队是如何通过优化日志策略来克服信任边界内的过度日志记录所带来的性能问题的。

亚马逊云科技的信任边界提供了稳定的延迟和简化的部署，而无需性能开销。

总结

这段视频探讨了亚马逊云计算技术如何提供保密计算功能来保护使用过程中的敏感客户数据。亚马逊云计算技术采用了一种双重保障的方法。首先，亚马逊云计算技术的Nitro系统为EC2实例提供了基于硬件的隔离，从而阻止了来自亚马逊云计算技术运营者的访问。这确保了客户数据不会受到云服务提供商自身的侵犯。其次，Nitro Enclaves允许客户在EC2实例内创建隔离的计算环境。即使在恶意内部人员或受损的管理凭据的情况下，也能保护数据。Enclaves没有外部连接，没有持久性存储，也没有交互式访问。适用场景包括处理像医疗信息、金融数据和知识产权等敏感的数据。密钥操作是在Enclave中执行的，以保持安全性。亚马逊云计算技术将Enclave与KMS进行集成以进行管理。Stripe使用Enclave来保护支付处理的加密密钥。Enclave提供了强大的隔离并可以轻松地与亚马逊云计算技术服务集成。性能开销可以忽略不计，运营复杂性得以降低。从故障中恢复的速度更快，因为密钥可以被自动加载到新的Enclave中。总的来说，使用Nitro Enclave的保密计算允许客户在使用过程中保护高度敏感的数据——免受云服务提供商、内部人员和不良行为者的侵害。亚马逊云计算技术使得在保持性能和使用原生服务的同时利用Enclave变得容易。

演讲原文

https://blog.csdn.net/just2gooo/article/details/135090781

想了解更多精彩完整内容吗？立即访问re:Invent 官网中文网站！

2023亚马逊云科技re:Invent全球大会 - 官方网站

点击此处，一键查看 re:Invent 2023 所有热门发布

即刻注册亚马逊云科技账户，开启云端之旅！

【免费】亚马逊云科技“100 余种核心云服务产品免费试用”

【免费】亚马逊云科技中国区“40 余种核心云服务产品免费试用”

亚马逊云科技是谁？

亚马逊云科技（Amazon Web Services）是全球云计算的开创者和引领者，自 2006 年以来一直以不断创新、技术领先、服务丰富、应用广泛而享誉业界。亚马逊云科技可以支持几乎云上任意工作负载。亚马逊云科技目前提供超过 200 项全功能的服务，涵盖计算、存储、网络、数据库、数据分析、机器人、机器学习与人工智能、物联网、移动、安全、混合云、虚拟现实与增强现实、媒体，以及应用开发、部署与管理等方面；基础设施遍及 31 个地理区域的 99 个可用区，并计划新建 4 个区域和 12 个可用区。全球数百万客户，从初创公司、中小企业，到大型企业和政府机构都信赖亚马逊云科技，通过亚马逊云科技的服务强化其基础设施，提高敏捷性，降低成本，加快创新，提升竞争力，实现业务成长和成功。