Confidential-Computing-Technologie schützt Daten während der Verarbeitung. Die exklusive Kontrolle über die Verschlüsselungsschlüssel sorgt für eine höhere End-to-End-Datensicherheit in der Cloud.

Confidential Computing ist eine Cloud-Computing-Technologie, bei der sensible Daten während der Verarbeitung in einer geschützten CPU-Enklave isoliert werden. Der Inhalt der Enklave - die verarbeiteten Daten und die zu ihrer Verarbeitung verwendeten Techniken - sind nur für autorisierten Programmiercode zugänglich und für alle anderen, einschließlich Cloud-Anbieter, unsichtbar und nicht bekannt.

Da sich Führungskräfte von Unternehmen immer mehr auf öffentliche und hybride Cloud -Services verlassen, ist der Datenschutz in der Cloud unerlässlich. Das Hauptziel des Confidential Computings besteht darin, den Führungskräften eine größere Sicherheit zu geben, dass ihre Daten in der Cloud geschützt und vertraulich sind, und sie zu ermutigen, mehr ihrer sensiblen Daten und Arbeitslasten in öffentliche  Cloud -Services zu verlagern.

Seit Jahren bieten Cloud-Anbieter Verschlüsselungsservices an, um Daten im Ruhezustand (in Speichern und Datenbanken) und bei der Übertragung (über eine Netzwerkverbindung) zu schützen. Confidential Computing beseitigt die verbleibende Schwachstelle in der Datensicherheit, indem es die Daten  während der Nutzung,  d. h. während der Verarbeitung oder Laufzeit, schützt.

Bevor sie von einer Anwendung verarbeitet werden können, müssen die Daten im Speicher entschlüsselt werden. Dadurch sind die Daten vor, während und nach der Verarbeitung anfällig für Speicherabzüge, die Kompromittierung von Root-Benutzern und andere bösartige Angriffe.

Confidential Computing löst dieses Problem durch den Einsatz einer hardwarebasierten vertrauenswürdigen Ausführungsumgebung (Trusted Execution Environment, TEE), die eine sichere Enklave innerhalb einer CPU darstellt. Die TEE ist durch eingebettete Verschlüsselungsschlüssel gesichert; eingebettete Beglaubigungsmechanismen stellen sicher, dass die Schlüssel nur für autorisierten Anwendungscode zugänglich sind. Wenn Malware oder anderer nicht autorisierter Code versucht, auf die Schlüssel zuzugreifen,  oder wenn der autorisierte Code gehackt oder in irgendeiner Weise verändert wird,  verweigert die TEE den Zugriff auf die Schlüssel und bricht die Berechnung ab.

Auf diese Weise können sensible Daten im Speicher geschützt bleiben, bis die Anwendung die TEE anweist, sie für die Verarbeitung zu entschlüsseln. Während der Entschlüsselung und während des gesamten Berechnungsprozesses sind die Daten für das Betriebssystem (oder den Hypervisor in einer virtuellen Maschine), für andere Compute-Stack-Ressourcen und für den Cloud-Provider und seine Mitarbeiter unsichtbar.

• Schutz sensibler Daten, auch während der Nutzung -   und Ausweitung der Vorteile von  Cloud Computing auf sensible Workloads. In Verbindung mit der Verschlüsselung von Daten im Ruhezustand und bei der Übertragung mit exklusiver Kontrolle über die Schlüssel beseitigt Confidential Computing das größte Hindernis für die Verlagerung sensibler oder stark regulierter Datensätze und Anwendungs-Workloads von einer unflexiblen, teuren lokalen IT-Infrastruktur auf eine flexiblere und moderne Public- Cloud-Plattform. 
• Um geistiges Eigentum schützen. Confidential Computing ist nicht nur für den Datenschutz. Die TEE kann auch verwendet werden, um proprietäre Geschäftslogik, Analysefunktionen, Algorithmen für maschinelles Lernen oder ganze Anwendungen zu schützen.
• Um sicher mit Partnern bei neuen Cloud-Lösungen zusammenzuarbeiten. So kann beispielsweise das Team eines Unternehmens seine sensiblen Daten mit den geschützten Berechnungen eines anderen Unternehmens kombinieren, um neue Lösungen zu entwickeln - ohne dass eines der beiden Unternehmen Daten oder geistiges Eigentum preisgibt, das es nicht preisgeben möchte.
• Um Bedenken bei der Auswahl von Cloud-Anbietern auszuräumen.  Beim Confidential Computing kann ein Unternehmensleiter die Cloud-Computing-Services auswählen, die den  technischen und geschäftlichen Anforderungen des Unternehmens am besten entsprechen, ohne sich Gedanken über die Speicherung und Verarbeitung von Kundendaten, geschützten Technologien und anderen sensiblen Werten machen zu müssen. Dieser Ansatz trägt auch dazu bei, zusätzliche Wettbewerbsbedenken zu zerstreuen, wenn der Cloud-Provider auch konkurrierende Unternehmensservices anbietet.
• Schutz der in der Peripherie verarbeiteten Daten. Edge Computing ist ein verteiltes Computing-Framework, das Unternehmensanwendungen näher an Datenquellen wie IoT-Geräte oder lokale Edge-Server bringt. Wenn dieses Framework als Teil von verteilten Cloud-Mustern verwendet wird, können die Daten und Anwendungen an den Edge-Knoten durch vertrauliche Datenverarbeitung geschützt werden.

2019 gründete eine Gruppe von CPU-Herstellern, Cloud-Anbietern und Softwareunternehmen - Alibaba, AMD, Baidu, Fortanix, Google, IBM/Red Hat®, Intel, Microsoft, Oracle, Swisscom, Tencent und VMware - das Confidential Computing Consortium (CCC) (Link befindet sich außerhalb von ibm.com) unter der Schirmherrschaft der Linux Foundation.

Die Ziele des CCC sind die Festlegung branchenweiter Standards für Confidential Computing und die Förderung der Entwicklung von Open-Source-Tools für Confidential Computing. Zwei der ersten Open-Source-Projekte des Konsortiums, Open Enclave SDK und Red Hat Enarx, unterstützen Entwickler bei der Erstellung von Anwendungen, die ohne Änderungen auf allen TEE-Plattformen laufen.

Einige der heute am weitesten verbreiteten Confidential Computing-Technologien wurden jedoch bereits vor der Gründung des Consortiums von den Mitgliedsunternehmen eingeführt. Die Intel SGX-Technologie (Software Guard Extensions), die TEEs auf der Intel Xeon-CPU-Plattform ermöglicht, ist beispielsweise seit 2016 verfügbar; 2018 hat IBM mit den Produkten IBM Cloud® Hyper Protect Virtual Servers und IBM Cloud® Data Shield Confidential Computing-Funktionen allgemein verfügbar gemacht.

IBM investiert seit mehr als einem Jahrzehnt in die Forschung und Technologien im Bereich Confidential Computing und bietet heute eine Reihe von Cloud-Services für Confidential Computing und damit verbundene, branchenführende Datenschutzfunktionen an:

• Die IBM Cloud Hyper Protect Cloud Services ermöglichen einen durchgängigen Schutz für die Geschäftsprozesse der Kunden in der Cloud und basieren auf der Secure Enclave-Technologie, die das branchenweit erste und einzige FIPS 140-2 Level 4 zertifizierte Cloud Hardware Security Module (HSM)¹ nutzt. Die Produktfamilie umfasst IBM Cloud® Hyper Protect Crypto Services, die eine vollständige Kontrolle über Cloud-Datenverschlüsselungsschlüssel und Cloud-Hardware-Sicherheitsmodule bieten, sowie den branchenweit einzigen Keep Your Own Key (KYOK) für die Verschlüsselung ruhender Daten.²
• IBM Cloud Data Shield ermöglicht es Anwendern, containerisierte Anwendungen in einer sicheren Enklave auf einem Kubernetes-Service und OpenShift-Cluster zu schützen, ohne den Code zu ändern. IBM Cloud Data Shield basiert auf Intel SGX und der Fortanix Runtime Encryption Platform und erweitert die Unterstützung der Intel SGX-Sprache von C und C++ auf Python und Java und bietet SGX-Anwendungen für MySQL, NGINX und Vault.
• IBM Cloud® HPC-Cluster ermöglicht es Kunden, schnell und einfach skalierbare, hochleistungsfähige Rechen-Cluster in der IBM Cloud aufzubauen. Neben anderen Sicherheitsfunktionen unterstützt IBM Cloud HPC Cluster die durchgängige Vertraulichkeit mit "Bring your own encrypted operating system" und "Keep Your Own Key"-Funktionen (KYOK).
• IBM® Secure Execution für Linux (PDF) ermöglicht eine Trusted Execution Environment (TEE) auf IBM® LinuxONE oder IBM Z® Hybrid Cloud-Umgebungen.

Um mit dem Confidential Computing auf IBM Cloud zu beginnen, melden Sie sich für eine IBMid an und erstellen Sie Ihr IBM Cloud-Konto.