Architektura Zero-Knowledge Cloud: technologiczne mechanizmy izolacji i ochrony danych w projekcie Next Gen Cloud

Zintegrowane zarządzanie kluczami i poufne przetwarzanie danych

W ramach projektu Next Gen Cloud zespół Oktawave opracował zintegrowaną architekturę do bezpiecznego zarządzania i przetwarzania danych w rozproszonych środowiskach chmurowych. System łączy mechanizmy zarządzania cyklem życia kluczy kryptograficznych z technologiami izolacji procesów obliczeniowych. Celem jest dostarczenie ekosystemu realizującego funkcje sprzętowych modułów bezpieczeństwa (HSM) w modelu programowym, przy zachowaniu sprzętowego zakotwiczenia zaufania (Root of Trust).

Wirtualizacja funkcji bezpieczeństwa i izolacja TEE

Fundamentem rozwiązania jest system zarządzania kluczami (KMS) zintegrowany z aplikacjami poprzez interfejsy API. Kluczowym wyróżnikiem jest przeniesienie operacji kryptograficznych do Trusted Execution Environments (TEE).

Wykorzystanie rozszerzeń sprzętowych procesora pozwala na stworzenie izolowanych enklaw, w których operacje na kluczach są odseparowane od systemu operacyjnego hosta oraz hiperwizora. Podejście to pozwala na dynamiczną orkiestrację zasobów kryptograficznych w chmurze, przy zachowaniu rygorów bezpieczeństwa typowych dla dedykowanych modułów HSM.

Rozszerzone prymitywy kryptograficzne i odporność kwantowa

System implementuje wyspecjalizowane standardy kryptograficzne, adresujące specyficzne wymagania zaawansowanych systemów zabezpieczających dane:

  • Kryptografia post-kwantowa (PQC): Wdrożenie algorytmów ML-KEM (Kyber) oraz ML-DSA (Dilithium) zapewnia odporność na przyszłe zagrożenia związane z rozwojem obliczeń kwantowych, zgodnie z aktualnymi wytycznymi NIST.
  • Format Preserving Encryption (FPE): Umożliwia szyfrowanie danych z zachowaniem ich oryginalnego formatu, co pozwala na ochronę wrażliwych pól w bazach danych bez modyfikacji schematów istniejących systemów (legacy). Wykorzystanie szyfrowania FPE może pełnić rolę „honeypota”, zabezpieczając dane może pomagać w precyzyjnym określeniu źródła ewentualnego wycieku.

Confidential Computing: Dekompozycja domeny zaufania

Istotnym elementem projektu jest wdrożenie paradygmatu Confidential Computing, który rozszerza ochronę danych o stan data-in-use. Architektura pozwala na:

  • Akcelerację bezpiecznych obliczeń: Implementację izolowanych środowisk dla jednostek GPU, co pozwala na wydajne i poufne przetwarzanie dużych zbiorów danych, np. w zaawansowanych modelach AI/ML.
  • Optymalizację TCB (Trusted Computing Base): Technologiczną koncentrację obszaru zaufania wyłącznie na zasobach bezpośrednio zarządzanych przez właściciela danych.
  • Hardware-based Isolation: Wykorzystanie technologii takich jak Intel SGX do sprzętowej izolacji procesów, co gwarantuje poufność obliczeń niezależnie od warstwy systemowej i administracyjnej.
  • Wzmocnienie suwerenności danych: Umożliwienie klientom zachowania pełnej i wyłącznej kontroli nad kluczami kryptograficznymi w każdym środowisku chmurowym i hybrydowym.

Kryptografia rozproszona i protokoły MPC

Dopełnieniem systemu są mechanizmy Secure Multi-party Computation (MPC). Pozwalają one na realizację obliczeń na danych pochodzących od wielu niezależnych stron w taki sposób, że żadna z nich nie poznaje danych wejściowych pozostałych uczestników. Prace objęły optymalizację warstwy komunikacyjnej, w tym wdrożenie uwierzytelnionych kanałów oraz kryptograficznej tablicy ogłoszeń (bulletin board), niezbędnej do zapewnienia spójności w protokołach rozproszonych.

Implementacja i wnioski: Od koncepcji Next Gen do Oktawave TrustVault

Synergia opisanych technologii znajdzie swoje praktyczne zastosowanie w produkcie Oktawave TrustVault, wkrótce dostępnym w ofercie komercyjnej Oktawave. Jest to rozwiązanie typu software-defined, które przenosi teoretyczne założenia projektu Next Gen Cloud w fazę produkcyjną, oferując najwyższy standard ochrony danych bez konieczności inwestowania w kosztowną, fizyczną infrastrukturę HSM. 

Wdrożenie TrustVault pozwala organizacjom na:

  • Realizację modelu Zero-Knowledge Cloud: Dzięki wykorzystaniu atestowanych enklaw Intel SGX, system gwarantuje, że wyłączny dostęp do kluczy posiada ich właściciel, technicznie uniemożliwiając wgląd w dane osobom nieuprawnionym.
  • Pełną suwerenność i zgodność: Architektura wspiera przetwarzanie danych wrażliwych w sektorach finansowym, medycznym i publicznym, zapewniając zgodność z rygorystycznymi standardami branżowymi przy użyciu otwartych protokołów, takich jak KMIP czy HTTP/REST.
  • Skalowalność i transparentność: Rozproszona architektura klastrowa oraz wykorzystanie modelu open-source pozwalają na elastyczne dopasowanie wydajności systemu do bieżących potrzeb biznesowych oraz przeprowadzanie niezależnych audytów bezpieczeństwa.

W efekcie, połączenie izolacji enklaw bezpieczeństwa z nowoczesnymi prymitywami kryptograficznymi tworzy środowisko, w którym bezpieczeństwo nie jest jedynie deklaracją proceduralną, lecz wynika bezpośrednio z weryfikowalnych mechanizmów sprzętowych. Oktawave TrustVault stanowi tym samym fundament dla organizacji dążących do pełnej cyfrowej suwerenności. 

O projekcie

Projekt Next Gen Cloud realizowany jest w ramach europejskiej inicjatywy IPCEI (Important Projects of Common European Interest), której celem jest rozwój nowoczesnej, bezpiecznej i suwerennej infrastruktury chmurowej w Europie.

Ostatnie wpisy

Może zainteresują Cię także…