La tecnologia del confidential computing protegge i dati durante l'elaborazione. Il controllo esclusivo delle chiavi di crittografia offre una sicurezza dei dati end-to-end più avanzata nel cloud.

Il confidential computing è una tecnologia di cloud computing che isola i dati sensibili in un'enclave di CPU durante il processo di elaborazione. I contenuti dell'enclave - i dati che vengono elaborati e le tecniche utilizzate per il processo - sono accessibili solo a codice di programmazione autorizzato e sono invisibili e inconoscibili per qualsiasi altro componente o soggetto, compreso il provider cloud.

Dal momento che aziende leader si affidano sempre più a servizi su cloud ibrido  e pubblico, la privacy dei dati nel cloud è un'esigenza imprescindibile. L'obiettivo principale del confidential computing è quello di fornire una maggiore garanzia ai leader che i loro dati nel cloud siano protetti e mantenuti riservati e incoraggiarli a spostare più dati sensibili e carichi di lavoro informatici su servizi di cloud pubblico .

Per anni, i provider cloud hanno offerto servizi di crittografia per consentire di proteggere i dati inattivi (in storage e database) e i dati in transito (che passano attraverso una connessione di rete). Il confidential computing elimina la residua vulnerabilità della sicurezza dei dati proteggendo i dati in uso — ovvero, durante l'elaborazione o in fase di runtime.

Prima che possano essere elaborati da un'applicazione, i dati devono essere in chiaro nella memoria. Questo rende i dati vulnerabili, subito prima, durante e subito dopo l'elaborazione, a dump di memoria, compromissioni di utente root e altri utilizzi malevoli.

Il confidential computing risolve questo problema utilizzando efficacemente un ambiente di esecuzione affidabile basato su hardware, o TEE, che è un'enclave sicura all'interno di una CPU. L'ambiente di esecuzione affidabile è protetto utilizzando chiavi di crittografia incorporate; meccanismi di attestazione incorporati garantiscono che le chiavi siano accessibili soltanto al codice applicativo autorizzato. Se malware o altro codice non autorizzato tenta di accedere alle chiavi,  o se il codice autorizzato viene violato o alterato in qualsiasi modo,  l'ambiente di esecuzione affidabile nega l'accesso alle chiavi e annulla il processo di calcolo.

In questo modo, i dati sensibili possono rimanere protetti in memoria finché l'applicazione indica all'ambiente di esecuzione affidabile di decrittografarli per l'elaborazione. Mentre i dati vengono decrittografati e durante l'intero processo di calcolo, essi sono invisibili al sistema operativo (o all'hypervisor in una macchina virtuale), ad altre risorse dello stack di calcolo e al provider cloud e ai suoi dipendenti.

• Per proteggere dati sensibili, anche durante l'uso — e per estendere i vantaggi del cloud computing ai carichi di lavoro sensibili. Se utilizzato insieme alla crittografia dei dati, inattivi e in transito, con controllo esclusivo delle chiavi, il confidential computing elimina l'unica e più grande barriera allo spostamento di dataset e carichi di lavoro di applicazioni sensibili o estremamente regolamentati da un'infrastruttura IT on-premise non flessibile e costosa a una piattaforma di cloud pubblico più flessibile e moderna.
• Per proteggere la proprietà intellettuale. Il confidential computing non è utile solo per la protezione dei dati. L' ambiente di esecuzione affidabile può essere utilizzato anche per proteggere la logica di business proprietaria, le funzioni di analytics, gli algoritmi di machine learning o intere applicazioni.
• Per collaborare in sicurezza con i partner su nuove soluzioni cloud. Ad esempio, il team di una società può combinare i dati sensibili con i calcoli proprietari di un'altra società per creare nuove soluzioni - senza che nessuna delle due società condivida dati o proprietà intellettuale che non intende condividere.
• Per eliminare le preoccupazioni nella scelta dei provider cloud.  Il confidential computing consente al leader di una società di scegliere i servizi di cloud computing che meglio soddisfano i requisiti tecnici e di business dell'organizzazione, senza preoccuparsi della memorizzazione ed elaborazione dei dati del cliente, della tecnologia proprietaria e di altri asset sensibili. Questo approccio aiuta inoltre a mitigare qualsiasi ulteriore preoccupazione in merito alla concorrenza, se il provider cloud fornisce anche servizi di business concorrenziali.
• Per proteggere i dati elaborati sul perimetro. Per elaborazione perimetrale si intende un framework di elaborazione distribuito che avvicina le applicazioni enterprise alle origini dei dati, come i dispositivi IoT (Internet of Things) o i server perimetrali locali. Quando questo framework viene utilizzato come parte di modelli di cloud distribuito, i dati e l'applicazione sul perimetro possono essere protetti mediante il confidential computing.

Nel 2019, un gruppo di produttori di CPU, provider cloud e società di software — Alibaba, AMD, Baidu, Fortanix, Google, IBM/Red Hat®, Intel, Microsoft, Oracle, Swisscom, Tencent e VMWare — ha formato il Confidential Computing Consortium (CCC) (link esterno a ibm.com), sotto gli auspici di The Linux Foundation.

Gli obiettivi del CCC consistono nel definire standard validi per tutto il settore per il confidential computing e promuovere lo sviluppo di strumenti di confidential computing open source. Due dei primi progetti open source del Consortium, Open Enclave SDK e Red Hat Enarx, aiutano gli sviluppatori a creare applicazioni che si eseguono senza modifiche nelle piattaforme TEE.

Tuttavia, alcune delle tecnologie di confidential computing più utilizzate oggi sono state introdotte dalle società membri prima della formazione del Consortium. Ad esempio, dal 2016 è stata resa disponibile la tecnologia Intel SGX (Software Guard Extensions), che abilita i TEE sulla piattaforma Intel Xeon CPU; nel 2018 IBM ha reso generalmente disponibili le funzionalità di confidential computing con i suoi prodotti Server virtuali IBM Cloud® Hyper Protect e IBM Cloud® Data Shield.

IBM ha investito nella ricerca e nelle tecnologie di confidential computing per più di un decennio e oggi offre una gamma di servizi cloud di confidential computing e di funzionalità di protezione dei dati leader di settore correlate:

• La famiglia dei Servizi cloud IBM Cloud Hyper Protect consente una protezione end-to-end dei processi di business dei clienti nel cloud e si basa su una tecnologia di enclave protetta che si avvale del primo e unico HSM (Hardware Security Module - Modulo di sicurezza hardware) del cloud con certificazione FIPS 140-2 Livello 4 del settore¹. La famiglia include IBM Cloud® Hyper Protect Crypto Services, che fornisce controllo completo delle chiavi di crittografia dei dati nel cloud e moduli di sicurezza hardware del cloud e l'unico modello KYOK (Keep Your Own Key) del settore per crittografare dati inattivi.²
• Cloud IBM Data Shield consente agli utenti di proteggere le applicazioni caricate in container in un'enclave sicura su un cluster Kubernetes Service e OpenShift, senza modifica del codice. Basato su Intel SGX e sulla Fortanix Runtime Encryption Platform, IBM Cloud Data Shield estende il supporto di linguaggi di Intel SGX da C e C ++ a Python e Java e fornisce applicazioni SGX per MySQL, NGINX e Vault.
• IBM Cloud® HPC Cluster consente ai clienti di creare cluster HPC scalabili in IBM Cloud in modo veloce e facile. Tra le altre funzioni di sicurezza, IBM Cloud HPC Cluster supporta riservatezza end-to-end con funzionalità dei modelli "bring your own encrypted operating system" (utilizza il tuo sistema operativo crittografato personale) e KYOK (Keep Your Own Key - Conserva le tue chiavi personali).
• IBM® Secure Execution for Linux (PDF) consente un TEE (trusted execution environment - ambiente di esecuzione affidabile) in ambienti di cloud ibrido IBM® LinuxONE o IBM Z®.

Per iniziare ad utilizzare il confidential computing su IBM Cloud, registrati per un IBMid e crea il tuo account IBM Cloud.