Qu’est-ce que le confidential computing ?

La technologie de confidential computing isole les données sensibles dans une enclave protégée du CPU pendant le traitement. Les contenus de l’enclave, qui comprennent les données en cours de traitement et les techniques utilisées pour les traiter, n’est accessible qu’aux codes de programmation autorisés. Ils sont invisibles et inconnus pour quoi que ce soit ou qui que ce soit d’autre, y compris du fournisseur de cloud.

Alors que les dirigeants d’entreprise s’appuient de plus en plus sur les services de cloud public et de cloud hybride, la confidentialité des données dans le cloud est un impératif. L’objectif principal du confidential computing est de garantir aux dirigeants que leurs données dans le cloud sont protégées et confidentielles, et de les encourager à transférer davantage de leurs données sensibles et de leurs workloads informatiques vers des services de cloud public .

Depuis des années, les fournisseurs de cloud proposent des services de chiffrement pour sécuriser les données au repos (stockage, bases de données et centres de données) et les données en transit (déplacement par une connexion réseau). Le confidential computing élimine la vulnérabilité de sécurité des données restante en protégeant les données utilisées pendant le traitement ou l’exécution. Les données sont ainsi protégées à chaque étape de leur cycle de vie.

Avant de pouvoir être traitées par une application, les données doivent être décryptées dans la mémoire. Ce processus rend les données vulnérables (avant, pendant et après le traitement) aux vidages de mémoire, aux compromissions par des utilisateurs root et à d’autres exploits malveillants.

Le confidential computing résout ce problème de cybersécurité en utilisant un environnement d’exécution sécurisé (« trusted execution environment » ou TEE) basé sur le matériel, qui est une enclave sécurisée au sein d’un processeur. Le TEE est sécurisé à l’aide de clés de chiffrement intégrées, et des mécanismes d’attestation intégrés garantissent que les clés ne sont accessibles qu’au code d’application autorisé. Si un logiciel malveillant ou tout autre code non autorisé tente d’accéder aux clés, ou si le code autorisé est piraté ou modifié de quelque manière que ce soit, le TEE refuse l’accès aux clés et annule le calcul.

De cette manière, les données sensibles peuvent rester protégées en mémoire jusqu’à ce que l’application demande au TEE de les décrypter pour les traiter. Bien que les données soient déchiffrées tout au long du processus de calcul, elles sont invisibles pour le système d’exploitation, pour l’hyperviseur d’une machine virtuelle (VM), pour d’autres ressources de la pile informatique et pour le fournisseur de services cloud et ses employés.

Pour protéger les données sensibles même pendant leur utilisation et étendre les avantages du cloud computing aux workloads sensibles. Lorsqu’il est utilisé conjointement avec le chiffrement des données au repos et en transit et avec un contrôle exclusif des clés, le confidential computing élimine l’un des principaux obstacles au transfert de jeux de données et de workloads d’applications sensibles ou hautement réglementés vers un écosystème de cloud public, tout en garantissant la souveraineté des données, un aspect déterminant dans le domaine du cloud hybride et de l’IA.

Pour protéger la propriété intellectuelle. Le confidential computing ne se limite pas à la protection des données. Le TEE peut également être utilisé pour protéger une logique métier propriétaire, des fonctions analytiques, des algorithmes de machine learning ou des applications entières.

Pour collaborer en toute sécurité avec vos partenaires sur de nouvelles solutions cloud. Par exemple, l’équipe d’une entreprise peut combiner ses données sensibles avec les calculs propriétaires d’une autre entreprise pour créer de nouvelles solutions tout en préservant la confidentialité des données. Aucune des deux entreprises n’a besoin de partager contre sa volonté des données ou quelque chose qui relève de la propriété intellectuelle.

Pour éliminer les inquiétudes lors du choix des fournisseurs de cloud. Le confidential computing permet au chef d’entreprise de choisir les services de cloud computing qui répondent le mieux aux exigences techniques et commerciales de son organisation, sans se soucier du stockage et du traitement des données des clients, de la technologie propriétaire et d’autres actifs sensibles. Cette approche permet également d’atténuer les problèmes qui se présentent si le fournisseur de cloud propose des services commerciaux concurrents.

Pour protéger les données traitées en périphérie. L’edge computing est un cadre informatique distribué qui rapproche les applications d’entreprise des sources de données (comme les appareils IdO ou les serveurs edge locaux). Lorsque ce cadre est utilisé comme partie dans un modèle de cloud distribué, les données et les applications aux nœuds périphériques peuvent être protégées par le confidential computing.

En 2019, un groupe de fabricants de processeurs, de fournisseurs de cloud et d’éditeurs de logiciels (Alibaba, AMD, Baidu, Fortanix, Google, IBM et Red Hat, Intel, Microsoft, Oracle, Swisscom, Tencent et VMware) a formé le Confidential Computing Consortium¹ (CCC) sous les auspices de la Fondation Linux.

Les objectifs du CCC sont de définir des normes sectorielles pour le confidential computing et de promouvoir le développement d’outils de confidential computing open source. Deux des premiers projets open source du Consortium, Open Enclave SDK et Red Hat Enarx, aident les développeurs à créer des applications qui s’exécutent avec ou sans modification sur les plateformes TEE.

Cependant, certaines des technologies de confidential computing les plus utilisées aujourd’hui ont été lancées par des entreprises membres avant la formation du Consortium. Par exemple, la technologie Intel SGX (« Software Guard Extensions »), qui permet l’utilisation des TEE avec les processeurs Intel Xeon, est disponible depuis 2016. IBM dispose de capacités de confidential computing généralement disponibles avec ses serveurs virtuels et bare metal sur IBM Cloud.