AI+安全
數據安全
數據基礎設施
態勢感知
云安全
基礎安全
終端安全
商用密碼
軟件供應鏈安全
網絡空間靶場
工業互聯網安全
物聯網安全
安全托管服務
運營管理服務
公司
安恒信息聯手英特爾深度適配基于Intel® SGX的大數據隱私計算平臺
白皮書獲取可點擊文末“閱讀原文”獲取
安恒信息與英特爾強強聯合，基于Intel® Software Guard Extensions （Intel® SGX）針對大數據應用層面完成了深度適配，優化了安恒隱私計算平臺和隱私計算一體機，提供了高效、穩定、安全、方便、快捷的基于機密計算技術的海量數據市場化解決方案，助力數據要素流通、賦能數據價值釋放。
有別于傳統的對存儲和傳輸中的數據進行加密的技術，機密計算技術是一種通過具有通用計算能力的硬件提供的可信執行環境對使用中的數據提供安全保護的計算模式。作為應用最廣泛的機密計算方案之一，Intel® SGX能夠幫助用戶構建基于硬件的數據中心可信執行環境 (TEE)，通過將特權代碼排除在受信任的范圍之外，Intel® SGX 能夠更有效地抵御多種類型的攻擊。它可顯著加強數據安全，滿足對于機密計算的廣泛需求。
Intel® SGX提供了一種基于硬件的內存加密機制，將內存中的特定應用代碼和數據隔離開來。它允許為用戶級代碼分配專用內存區域?— 飛地 (Enclave)，以免受到擁有更高權限的進程的影響。除了有助于防御基于軟件的攻擊外，Intel® SGX的驗證機制還能夠幫助用戶確保應用程序所在的飛地是一個真正的Intel® SGX 環境，沒有受到相關攻擊。
為了增加大規模部署的靈活性，Intel基于當前業內典型的云基礎架構管理平臺OpenStack以及Kubernetes等，全面集成了Intel® SGX 的安全功能，推出了基于Intel® SGX 的安全云管理解決方案Intel® Secured Cloud Management Stack，幫助云計算用戶更好地防范云端安全風險并實現快速部署。該方案能夠支持用戶在云端以簡單靈活的方式使用Intel® SGX 功能，更有效地保護云端的實例（包括虛擬機，裸金屬服務器以及Kubernetes集群中的Pod），使運行于上述實例中的應用獲得芯片級的數據安全保護能力。
此外，這一方案還實現了對整個安全云基礎架構的自動化部署，支持在云端對Intel® SGX進行完備的資源管理，并提供相應實例的生命周期管理能力。基于上述能力，該方案能夠賦能大數據、聯邦學習、安全多方計算、安全密鑰管理等應用，幫助用戶更好地保護云端數據。
安恒隱私計算平臺基于第三代Intel®?至強® 可擴展處理器，通過Intel®?Secured?Cloud Management Stack與Intel®?SGX可信執行環境進行了深度融合，完成了英特爾和安恒信息解決方案的驗證并聯合發布。在方案中，利用Intel® SGX技術將可信執行環境與安全島隱私計算應用系統的計算任務、數據合約綁定，給用戶提供了從硬件到軟件的，數據全生命周期的安全保護；Intel處理器豐富的擴展功能，更為安恒隱私計算平臺提供高安全性、高運行效率、高穩定性的支撐。
如圖所示，安恒隱私計算平臺包括安全支撐系統、性能支撐系統和大數據平臺支撐系統，給安全島機密計算中臺及上層應用平臺提供了性能、安全性及穩定性上的支撐。
基于Intel®?Secured?Cloud Management Stack提供的硬件機密計算功能所構建的安全支撐系統，通過支持SGX的機密虛機、機密裸機、機密容器等給程序和數據提供安全的執行環境。基于硬件安全啟動功能構建的系統可信模塊，給安恒隱私計算平臺上運行的系統提供了系統層面的可信保證。基于硬件遠程證明、安全隔離的合約可信模塊，可以給安恒隱私計算平臺上運行的應用程序與數據提供可信保障。基于硬件安全存儲、安全通信、密碼運算、數據封裝的數據全生命周期加密模塊，可以給應用系統中的數據提供硬件級別的數據安全保護。基于硬件密鑰管理的密鑰管理和身份認證模塊，可以給業務系統提供安全、靈活的用戶管理功能。
在性能支撐系統中，安恒隱私計算平臺的架構設計中包含兩個部分：首先，對于密碼計算任務，使用Intel的密碼加速能力組件，如AES-NI指令集、Intel® QAT加速卡等，給密碼算法與基于密碼算法的各種應用提供加速服務。其次，對于普通計算任務，特別是大數據、深度學習相關的任務，可以采用Intel下一代至強平臺內置的Intel® AMX加速引擎為業務系統的性能提供優化。
大數據平臺支撐系統構建在安全支撐系統和性能支撐系統之上，為上層安全島隱私計算中臺提供大數據計算、存儲的能力。其中大數據平臺的核心組件運行時的安全性由基于Intel® SGX的安全支撐系統保障，性能支撐系統與大數據平臺結合以提升大數據處理過程中的性能與穩定性。
該方案構建安全支撐系統，給安恒隱私計算平臺的應用中臺提供安全保證。安全保證從以下幾個方面實現：
基于Intel的機密計算技術SGX，最小化了可信執行環境的攻擊面、最大化了芯片算力，給各種應用領域提供了可信的底層支撐。
結合硬件及軟件，保證了數據全生命周期的安全。硬件層面基于Intel芯片，軟件層面使用有安恒信息獨立開發的安全島數據互聯平臺，安全層面由安恒信息多維度的網絡安全防護系統進行保障，滿足了企業對IT設施和軟件嚴格的安全性要求。
機密計算技術與密鑰管理與身份認證綁定，為每個用戶的身份驗證及數據安全保護提供安全保護功能。
機密計算技術與數據合約綁定，為每個計算任務創建獨立的可信環境，使不同合約之間的數據完全隔離，最終實現數據的“可用不可見”、“可用不可取”，保障多源多方數據安全計算的可靠、可控和可溯。
機密計算技術與其他隱私計算平臺結合，提供安全、可信、快速執行計算任務的基礎，可為安全島其他隱私計算平臺提供底層支撐。其他隱私計算平臺包括安全多方計算平臺、聯邦學習平臺。
可信執行環境內的操作被詳細審計和記錄，并保存在區塊鏈上，實現操作監控和歷史回放，方便后續事件溯源。
