Qu’est-ce que le confidential computing ?

Avant de pouvoir être traitées par une application, les données doivent être décryptées dans la mémoire. Ce processus rend les données vulnérables (avant, pendant et après le traitement) aux vidages de mémoire, aux compromissions par des utilisateurs root et à d’autres exploits malveillants.

Le confidential computing résout ce problème de cybersécurité en utilisant un environnement d’exécution sécurisé (« trusted execution environment » ou TEE) basé sur le matériel, qui est une enclave sécurisée au sein d’un processeur. Le TEE est sécurisé à l’aide de clés de chiffrement intégrées, et des mécanismes d’attestation intégrés garantissent que les clés ne sont accessibles qu’au code d’application autorisé. Si un logiciel malveillant ou tout autre code non autorisé tente d’accéder aux clés, ou si le code autorisé est piraté ou modifié de quelque manière que ce soit, le TEE refuse l’accès aux clés et annule le calcul.

De cette manière, les données sensibles peuvent rester protégées en mémoire jusqu’à ce que l’application demande au TEE de les décrypter pour les traiter. Bien que les données soient déchiffrées tout au long du processus de calcul, elles sont invisibles pour le système d’exploitation, pour l’hyperviseur d’une machine virtuelle (VM), pour d’autres ressources de la pile informatique et pour le fournisseur de services cloud et ses employés.

Pour protéger les données sensibles même pendant leur utilisation et étendre les avantages du cloud computing aux workloads sensibles. Lorsqu’il est utilisé conjointement avec le chiffrement des données au repos et en transit et avec un contrôle exclusif des clés, le confidential computing élimine le plus grand obstacle au transfert des ensembles de données sensibles ou hautement réglementés et des workloads d’application d’un environnement informatique sur site rigide et coûteux vers un écosystème de cloud public plus flexible et plus moderne. 

Pour protéger la propriété intellectuelle. Le confidential computing ne se limite pas à la protection des données. Le TEE peut également être utilisé pour protéger une logique métier propriétaire, des fonctions analytiques, des algorithmes de machine learning ou des applications entières.

Pour collaborer en toute sécurité avec vos partenaires sur de nouvelles solutions cloud. Par exemple, l’équipe d’une entreprise peut combiner ses données sensibles avec les calculs propriétaires d’une autre entreprise pour créer de nouvelles solutions tout en préservant la confidentialité des données. Aucune des deux entreprises n’a besoin de partager contre sa volonté des données ou quelque chose qui relève de la propriété intellectuelle.

Pour éliminer les inquiétudes lors du choix des fournisseurs de cloud. Le confidential computing permet au chef d’entreprise de choisir les services de cloud computing qui répondent le mieux aux exigences techniques et commerciales de son organisation, sans se soucier du stockage et du traitement des données des clients, de la technologie propriétaire et d’autres actifs sensibles. Cette approche permet également d’atténuer les problèmes qui se présentent si le fournisseur de cloud propose des services commerciaux concurrents.

Pour protéger les données traitées en périphérie. L’edge computing est un cadre informatique distribué qui rapproche les applications d’entreprise des sources de données (comme les appareils IdO ou les serveurs edge locaux). Lorsque ce cadre est utilisé comme partie dans un modèle de cloud distribué, les données et les applications aux nœuds périphériques peuvent être protégées par le confidential computing.

En 2019, un groupe de fabricants de processeurs, de fournisseurs de cloud et d’éditeurs de logiciels (Alibaba, AMD, Baidu, Fortanix, Google, IBM et Red Hat, Intel, Microsoft, Oracle, Swisscom, Tencent et VMware) a formé le Confidential Computing Consortium¹ (CCC) sous les auspices de la Fondation Linux.

Les objectifs du CCC sont de définir des normes sectorielles pour le confidential computing et de promouvoir le développement d’outils de confidential computing open source. Deux des premiers projets open source du Consortium, Open Enclave SDK et Red Hat Enarx, aident les développeurs à créer des applications qui s’exécutent avec ou sans modification sur les plateformes TEE. 

Cependant, certaines des technologies de confidential computing les plus utilisées aujourd’hui ont été lancées par des entreprises membres avant la formation du Consortium. Par exemple, la technologie Intel SGX (« Software Guard Extensions »), qui permet l’utilisation des TEE avec les processeurs Intel Xeon, est disponible depuis 2016. IBM dispose de capacités de confidential computing généralement disponibles avec ses serveurs virtuels et bare metal sur IBM Cloud.