Il chief security architect Mike Bursell affronta il tema della sicurezza nel public cloud
Le aziende stanno valutando come implementare un maggior numero di carichi di lavoro sul public cloud e trarre vantaggio da una strategia realmente open hybrid cloud. Attualmente, i requisiti legali, normative e le “best practice” di mercato lasciano molte imprese perplesse sulla possibilità di spostare workload sensibili off-premise, a cui un attore malevolo o un server compromesso potrebbero accedere e interferire con qualunque cosa: dalla configurazione del firewall agli stipendi, alle informazioni sulla salute o i dettagli delle carte di credito dei dipendenti. Alcuni workload sono così sensibili che non possono girare in modo sicuro neanche su macchine standard on-premise ma richiedono software e controlli hardware aggiuntivi.
Le soluzioni attuali offrono la cifratura per i dati a riposo (in storage) e in transito (sulla rete), ma non per quelli in uso (quando vengono effettivamente elaborati). Inoltre, alcuni workload si avvalgono di algoritmi che sono a loro volta sensibili (molte applicazioni di artificial intelligence / machine learning rientrano in questa categoria), e devono essere protetti. Fino a poco tempo fa, le opzioni al di là di specifici moduli hardware di sicurezza (HSM), che sono notoriamente costose e difficili da utilizzare, erano molto limitate. Gli HSM permettono di proteggere operazioni specifiche – tipicamente quelle di cifratura – con un elevato livello di security, ma oltre all’investimento significativo e alla loro complessità d’uso, hanno l’ulteriore aggravante di non essere in grado di scalare. Per le aziende con un crescente numero di applicazioni sensibili, che devono elaborar grandi quantità di dati sensibili, gli HSM non erano e non sono, la risposta.
In risposta a queste preoccupazioni, i produttori di chip hanno individuato una nuova funzionalità, denominata trusted execution environment (TEE), per le loro central processing unit (CPU). Questa tecnologia offre modalità per proteggere i workload dai software e I sistemi operative delle macchine sulle quali girano. Gli esempi migliori sono Intel SGX e AMD SEV, è anche se entrambi sono ancora abbastanza giovani, il mercato le ha già notate perché consentono di gestire applicazioni sensibili in una gamma di posti molto più ampia all’interno dell’open hybrid cloud. Si tratta di uno sforzo nascente, e l’hardware TEE-supported non è né diffuso né facile da usare, per cui un nuovo gruppo, Confidential Computing Consortium, è stato creato per favorire collaborazione, discussione ed engagement. Tra i membri c’è anche Red Hat e progetti come Enarx per semplificare l’implementazione di applicazioni in TEE sono già stati avviati.
