机密计算时代或将很快到来

机密计算并不是什么新概念，早在2020年，研究机构Gartner就在其年度云安全技术成熟度曲线中，将机密计算列为33种关键安全技术之一。但是Gartner曾经认为，机密计算需要较长时间的理论研究与研发准备，距离成熟的商业市场应用，还需要5到10年的时间。 不过由于行业对数据安全在使用过程中的保护需求快速增长，机密计算的应用步伐有望大大加快。有研究机构预测，机密计算技术在未来1~2年内就会成为安全计算的标准方法，尤其是在云计算环境中。

数据保护技术的变革

众所周知，数据只有被更多使用，才能发挥出更大的价值。但现有的数据防护技术，更多是针对数据静态存储和传输时的防护，对使用中的数据却难以进行有效的保护，因为应用系统需要明文数据(未经加密或其他方式保护的数据)才能进行计算，这意味着恶意软件可以在系统内存中对机密数据进行窃取。 使用过程中的数据所面临的威胁并非只在理论上存在。以美国零售商塔吉特(Target)为例，该公司就曾遭到内存截取恶意软件的攻击，该恶意软件在数据处理时从POS系统的内存中窃取信用卡信息，整个过程如同刷卡操作一样简单。 机密计算的另一个应用需求是云计算环境中的数据隐私保护。经过十多年的发展，云计算服务已经非常普遍，但很多企业的管理者对于将隐私业务数据交给第三方云服务提供商的系统来保管依然不放心。数据隐私性和机密性仍是当前主要的云安全问题。 云上业务系统面临的一个严重数据安全隐患在于，要想充分利用分析、索引、协作工具以及内容共享等云服务，就需要对数据进行解密以便处理。但是这种解密恰恰违背了数据安全防护的基本原则：始终保护敏感数据资产免受未经授权的任何人的访问。

应用价值不断增长

机密计算是一种技术上的根本性变化，它可以保证敏感数据在内存中处理时也处于加密状态，而不是以明文的方式使用。机密计算在基于硬件的可信执行环境(TEE)中执行计算，从而保护使用中数据。这项技术的原理是，在处理过程中将敏感数据隔离在安全的CPU内存空间(enclave)中，以便云供应商或其他任何第三方看不到这些数据。通过在硬件最低层提供安全，机密计算可以确保数据机密性、数据完整性和代码完整性。这些技术特性意味着企业中的敏感数据在使用过程中可以最大程度的不再暴露在其他应用程序、虚拟机管理程序、操作系统或云服务提供商的面前。 企业有望从机密计算获得的价值主要包括： (1) 更有力地保护知识产权和敏感数据 机密计算加强了保护组织最敏感数据资产的力度。知识产权、商业机密、合同和个人消费者/用户数据在处理过程中都受到了保护，防范未经授权的访问。这种加强保护敏感数据的做法可以带来企业声誉和竞争力方面的优势。 (2) 改善数据监管合规 越来越多的数据隐私法规致力于在敏感数据泄露后保护消费者，如果企业想避免数据泄露，有必要兼顾以上这三种数据状态的所有潜在攻击面，而不是只关注静态数据或传输中数据。机密计算能够帮助企业改善合规工作，尤其在使用云计算基础设施时。 (3) 充分利用云功能 一些企业为了优先考虑安全性，限制了对云服务的更多使用，因为这些云应用程序需要加密才能正常运行。机密计算在云端提供了所需级别的数据机密性，同时让组织仍可以充分利用云功能，比如大数据处理、高级分析或运行云原生应用程序等。 (4) 更好地协作创新 数据孤岛常成为通过相互协作的多方计算进行创新的障碍。分布式云计算能力促进了多个企业组织之间数据共享和分析，但企业组织在对敏感信息进行防护需求时所采用的防止恶意第三方进行非法访问的防护手段阻碍了这一技术的发展。通过借助机密计算，让更多企业组织可以更安全地进行数据共享使用，不必担心数据在使用时发生泄露。这方面有广阔的实际应用场景，如金融机构共享数据以检测欺诈，医疗机构结合医疗数据改善诊断，开发新的疾病治疗方案等。

商业应用步伐不断加快

在企业应用需求和技术应用价值的双重推动下，机密计算概念的市场发展比预期要快很多。作为一项前瞻性技术，目前许多科技巨头纷纷入局，大力探索和开发机密计算。 阿里云是较早推出机密计算的大型公有云服务商，已在全球范围内将机密计算商业化，其云上用户目前可以通过机密计算技术来实现更高等级数据保护能力。 在微软的云服务中，也包含了一项名为Azure机密计算的安全功能，以确保数据在处理时能得到更多的控制。 在Google Cloud Next 2020大会上，谷歌云(Google Cloud)推出了一款“可保密虚拟机”(Confidential VMs)。这种新型的虚拟机可以利用谷歌的加密计算，实现对静止状态和内存数据的保密。在后端，机密虚拟机使用了基于AMD二代霄龙处理器(EPYC)的安全加密虚拟化技术，密钥由CPU可信执行环境生成且无法导出，即便是谷歌自身也无法得知密钥。 由于机密计算的应用前景已经明朗，其产业生态也在不断完善。包括阿里巴巴、华为、AMD、微软、甲骨文、Google等科技巨头公司在内的企业，已在Linux基金会下启动成立了机密计算技术应用联盟，旨在进一步加快技术应用标准的定义和开源工具的开发。 随着机密计算的应用加速，企业组织现阶段已经能够得益于这项技术的应用。研究机构建议企业应尽快探索机密计算技术的使用，特别是对于在云环境上部署应用系统和数据的企业。虽然目前机密计算在产品功能方面尚不完善，但基于现有技术的部署已经可以将数据安全性在原有基础上向前推进一大步。 虽然机密计算有望在敏感数据安全领域带来一场革命，但是研究人员同时也提醒企业，不能忽视大多数攻击和数据窃取仍然通过终端漏洞来实现，企业还是需要持续监控和实时保护好终端设备的安全。