Confidential Computing: Schutz von Daten während ihrer Verarbeitung
Confidential Computing schützt Daten in der Cloud, sogar vor dem Cloudbetreiber. Wir erklären, wie die Technik funktioniert und wo ihre Grenzen liegen.
- David Knichel
Verschlüsselung ist heute an vielen Stellen üblich und oft fast unsichtbar. Daten liegen verschlüsselt auf Datenträgern (Verschlüsselung von „data at rest“), und sie werden verschlüsselt über Netzwerke übertragen („in transit“). Lange blieb aber eine Lücke technisch ungelöst: der Moment der Verarbeitung („data in use“). Typischerweise liegen Daten im Klartext im Arbeitsspeicher, sobald eine Anwendung mit ihnen arbeitet – und sind damit dem Serverbetreiber oder dem Betriebssystem zugänglich.
An dieser Stelle setzt „Confidential Computing“ an. Die Idee ist, heikle Daten in einer per Hardware geschützten Umgebung zu verarbeiten, sodass selbst ein Administrator und idealerweise auch der Betreiber des Rechenzentrums oder Servers nicht auf sie zugreifen können.
- Confidential Computing schützt Daten auch während ihrer Verarbeitung.
- Zwar rechnet die CPU auf unverschlĂĽsselten Daten, doch im (D)RAM liegt ausschlieĂźlich Chiffrat.
- Confidential Computing verlagert Vertrauen hin zum Hardwarehersteller.
„Data in use“ zu verschlüsseln, ist schwierig, weil mit verschlüsselten Daten typischerweise nicht gearbeitet werden kann – unter anderem genau dafür wird Verschlüsselung eingesetzt. Es gibt zwar spezielle, „homomorph“ genannte Verschlüsselungsverfahren, die Rechenoperationen auf verschlüsselten Daten ermöglichen, doch diese sind äußerst aufwendig und für viele große Workloads noch zu ineffizient. Gerade in Cloud-Umgebungen ist das problematisch, weil dort viele Schichten zwischen Anwendung und Hardware liegen: Host-Betriebssystem, Hypervisor, Management-Software und privilegierte Benutzer. Sobald eine einzige dieser Schichten kompromittiert wird, sind sensible Daten gefährdet. Confidential Computing verkleinert diese Angriffsfläche.
Das war die Leseprobe unseres heise-Plus-Artikels "Confidential Computing: Schutz von Daten während ihrer Verarbeitung ". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.
