Zintegrowane zarządzanie kluczami i poufne przetwarzanie danych
W ramach projektu Next Gen Cloud zespół Oktawave opracował zintegrowaną architekturę do bezpiecznego zarządzania i przetwarzania danych w rozproszonych środowiskach chmurowych. System łączy mechanizmy zarządzania cyklem życia kluczy kryptograficznych z technologiami izolacji procesów obliczeniowych. Celem jest dostarczenie ekosystemu realizującego funkcje sprzętowych modułów bezpieczeństwa (HSM) w modelu programowym, przy zachowaniu sprzętowego zakotwiczenia zaufania (Root of Trust).
Wirtualizacja funkcji bezpieczeństwa i izolacja TEE
Fundamentem rozwiązania jest system zarządzania kluczami (KMS) zintegrowany z aplikacjami poprzez interfejsy API. Kluczowym wyróżnikiem jest przeniesienie operacji kryptograficznych do Trusted Execution Environments (TEE).
Wykorzystanie rozszerzeń sprzętowych procesora pozwala na stworzenie izolowanych enklaw, w których operacje na kluczach są odseparowane od systemu operacyjnego hosta oraz hiperwizora. Podejście to pozwala na dynamiczną orkiestrację zasobów kryptograficznych w chmurze, przy zachowaniu rygorów bezpieczeństwa typowych dla dedykowanych modułów HSM.
Rozszerzone prymitywy kryptograficzne i odporność kwantowa
System implementuje wyspecjalizowane standardy kryptograficzne, adresujące specyficzne wymagania zaawansowanych systemów zabezpieczających dane:
- Kryptografia post-kwantowa (PQC): Wdrożenie algorytmów ML-KEM (Kyber) oraz ML-DSA (Dilithium) zapewnia odporność na przyszłe zagrożenia związane z rozwojem obliczeń kwantowych, zgodnie z aktualnymi wytycznymi NIST.
- Format Preserving Encryption (FPE): Umożliwia szyfrowanie danych z zachowaniem ich oryginalnego formatu, co pozwala na ochronę wrażliwych pól w bazach danych bez modyfikacji schematów istniejących systemów (legacy). Wykorzystanie szyfrowania FPE może pełnić rolę „honeypota”, zabezpieczając dane może pomagać w precyzyjnym określeniu źródła ewentualnego wycieku.
Confidential Computing: Dekompozycja domeny zaufania
Istotnym elementem projektu jest wdrożenie paradygmatu Confidential Computing, który rozszerza ochronę danych o stan data-in-use. Architektura pozwala na:
- Akcelerację bezpiecznych obliczeń: Implementację izolowanych środowisk dla jednostek GPU, co pozwala na wydajne i poufne przetwarzanie dużych zbiorów danych, np. w zaawansowanych modelach AI/ML.
- Optymalizację TCB (Trusted Computing Base): Technologiczną koncentrację obszaru zaufania wyłącznie na zasobach bezpośrednio zarządzanych przez właściciela danych.
- Hardware-based Isolation: Wykorzystanie technologii takich jak Intel SGX do sprzętowej izolacji procesów, co gwarantuje poufność obliczeń niezależnie od warstwy systemowej i administracyjnej.
- Wzmocnienie suwerenności danych: Umożliwienie klientom zachowania pełnej i wyłącznej kontroli nad kluczami kryptograficznymi w każdym środowisku chmurowym i hybrydowym.
Kryptografia rozproszona i protokoły MPC
Dopełnieniem systemu są mechanizmy Secure Multi-party Computation (MPC). Pozwalają one na realizację obliczeń na danych pochodzących od wielu niezależnych stron w taki sposób, że żadna z nich nie poznaje danych wejściowych pozostałych uczestników. Prace objęły optymalizację warstwy komunikacyjnej, w tym wdrożenie uwierzytelnionych kanałów oraz kryptograficznej tablicy ogłoszeń (bulletin board), niezbędnej do zapewnienia spójności w protokołach rozproszonych.
Implementacja i wnioski: Od koncepcji Next Gen do Oktawave TrustVault
Synergia opisanych technologii znajdzie swoje praktyczne zastosowanie w produkcie Oktawave TrustVault, wkrótce dostępnym w ofercie komercyjnej Oktawave. Jest to rozwiązanie typu software-defined, które przenosi teoretyczne założenia projektu Next Gen Cloud w fazę produkcyjną, oferując najwyższy standard ochrony danych bez konieczności inwestowania w kosztowną, fizyczną infrastrukturę HSM.
Wdrożenie TrustVault pozwala organizacjom na:
- Realizację modelu Zero-Knowledge Cloud: Dzięki wykorzystaniu atestowanych enklaw Intel SGX, system gwarantuje, że wyłączny dostęp do kluczy posiada ich właściciel, technicznie uniemożliwiając wgląd w dane osobom nieuprawnionym.
- Pełną suwerenność i zgodność: Architektura wspiera przetwarzanie danych wrażliwych w sektorach finansowym, medycznym i publicznym, zapewniając zgodność z rygorystycznymi standardami branżowymi przy użyciu otwartych protokołów, takich jak KMIP czy HTTP/REST.
- Skalowalność i transparentność: Rozproszona architektura klastrowa oraz wykorzystanie modelu open-source pozwalają na elastyczne dopasowanie wydajności systemu do bieżących potrzeb biznesowych oraz przeprowadzanie niezależnych audytów bezpieczeństwa.
W efekcie, połączenie izolacji enklaw bezpieczeństwa z nowoczesnymi prymitywami kryptograficznymi tworzy środowisko, w którym bezpieczeństwo nie jest jedynie deklaracją proceduralną, lecz wynika bezpośrednio z weryfikowalnych mechanizmów sprzętowych. Oktawave TrustVault stanowi tym samym fundament dla organizacji dążących do pełnej cyfrowej suwerenności.
O projekcie
Projekt Next Gen Cloud realizowany jest w ramach europejskiej inicjatywy IPCEI (Important Projects of Common European Interest), której celem jest rozwój nowoczesnej, bezpiecznej i suwerennej infrastruktury chmurowej w Europie.
Ostatnie wpisy
Może zainteresują Cię także…
