硬核出击，只为守护你的秘密！

目前，网络威胁行为日益复杂，几乎每周都能听到关于重大数据泄露事件的新闻，网络安全已远超 IT 领域的范围，成为备受高层关注的问题。正因如此，企业范围内的机密计算越来越受到重视——该计算策略通过受信执行环境（TEE），对内存中正在处理的数据进行保护，避免其暴露给整个系统。

在深入了解 Amazon Nitro Enclaves 之前，先来普及一些背景知识。在我们最近发布的报告 The Rise of Confidential Computing — Trust: The New Battlefield in the Age of Digital Transformation（《机密计算的兴起——信任：数字化转型的新战场》）中，我和同事 Shelly Kramer 探讨了机密计算的优势，包括对使用中的数据进行保护、并允许开发技术部署选项以避免内部威胁。

当今的商业环境下，数据泄露可能会造成停工期间高达数百万美元的收入损失，并对企业、消费者信任和品牌声誉造成极其恶劣的影响。机密计算的作用，就在于解决需立即关注的重大挑战。云服务供应商正积极尝试各种解决方案以满足这一需求。各家供应商又采用了略为不同的方法来满足提供受信执行环境的需求。我们认为，Amazon Nitro Enclaves 采用的方法值得关注，并将受益于对任何云服务采用者的深入评估和考虑。

至于说到最大的优势？与处理器无关，Amazon Nitro Enclaves 可在大多数基于 Intel 和 AMD 的 Amazon EC2 实例类型上使用，为最终用户提供最大的灵活性。

前面说了怎么多，你知道 Amazon Nitro Enclaves 是什么吗？

Amazon Nitro Enclaves 是一项 Amazon EC2 功能，使客户能够创建隔离的计算环境，并通过物理基础架构的硬件功能提供对其强大的保护，使其免受环境中其他部分的影响。这样，用户可以基于安全区域来创建或获取其信任的应用程序，从而在无需信任操作系统、特权管理员或对其计算基础结构有访问权限的对手的安全性的情况下，也能保证所操作敏感数据或使用的知识产权的保护。安全区域不提供永久式存储，也没有外部联网或操作员访问权限；通信只能通过受信任的渠道与创建环境的实例进行。

Amazon Nitro Enclaves 使用安全虚拟套接字（VSOCK）接口——这是自 2016 年以来 Linux 内核中通常提供的开源技术——作为安全区域中运行的“受信”软件与 Amazon EC2 实例中运行的“一般”或“不受信”软件之间的唯一通信渠道。最终，该功能既支持采用分区和隔离模式来保护数据，同时也有效降低了表层攻击的成功率。

至于最大的优势？Amazon Nitro Enclaves 与处理器无关，它可在大多数基于 Intel 和 AMD 的 Amazon EC2 实例类型上使用，为最终用户提供最大的灵活性。

Amazon Nitro Enclaves 如何成为 TEE 最佳方案？与机密计算又有何联系？

亚马逊云科技在 Amazon Nitro Enclaves 的推广中并未提及“机密计算”。当前，行业分析师、财团和亟待改善安全状况的客户对这一概念有着不同的理解。一段时间以来，IT 部门着眼于通过加密来保护静态数据和传输的数据，但在内存数据的保护方面，选择乏善可陈。这一情况引起了管理层和监管者的质疑和重视。

一些云服务提供商在营销中称，“机密计算”让客户将责任托付给受信任的硬件制造商，而减少了对云服务供应商的信任。而亚马逊云科技始终向客户传递这一清晰的理念：亚马逊云科技负责云基础架构“本身”的安全性，而客户负责的是“在云中”运行的安全性。

通过在 Amazon Nitro 系统中内置技术和运营保障的结合，亚马逊云科技为客户提供了在最新一代 Amazon EC2 实例上运行客户计算工作的安全和机密保障——即亚马逊云科技设计的硬件和固件的特有组合。Nitro Hypervisor 是该系统的一个组件。它是一个基于固件的虚拟机管理程序，通过处理器的硬件功能在创建 Amazon EC2 实例和 Amazon Nitro Enclaves 时严格隔离物理系统资源。和商业成品组件或商用开源虚拟化解决方案不同，Nitro Hypervisor 专用于满足亚马逊云科技及其客户的安全和运营需求，包括保护当前运行的最为严苛、敏感性最高的工作内容。

从体系结构上讲，一些针对服务器处理器、基于硬件的新型技术保护措施，例如 AMD SEV-ES、AMD SEV-SNP、Intel® TDX 或 ARM 机密计算架构（ARM Confidential Compute Architecture，CCA）可以集成到 Amazon Nitro Enclaves 的实现中，且不会实际改变用户体验或影响安全区域应用程序的兼容性。这就为亚马逊云科技提供了一种方法来继续提高其用于保证隔离和保密的硬件功能的门槛。

某些客户可能会要求直接采用针对具体供应商、基于硬件的受信执行环境，例如 Intell® SGX，而不是支持多个硬件供应商的 TEE（例如 Amazon Nitro Enclaves）。在这些情况下，云服务提供商将需要提供对专有硬件功能的访问。客户应了解，这种做法可能会缩小可用容量，或额外增加实现的复杂性。

基本了解 Amazon Nitro Enclaves 之后，现在一起来看看在实际应用表现怎么样吧~

从金融服务、国防到生命科学，Amazon Nitro Enclaves 可应用于多个具有敏感数据安全保护需求的行业及领域。Amazon Nitro Enclaves 通过创建高度受控、受限、受约束的用户环境，帮助防御从内部到外部的多种复杂威胁。

Amazon Nitro Enclaves 的部分优势包括：

灵活性

Amazon Nitro Enclaves 可以控制分配给安全区域环境的内存和处理能力，并且用户可以根据需要更改 CPU 内核和内存。Amazon Nitro Enclaves 可以在多种 CPU 供应商支持的 Amazon EC2 实例上使用，并与所有编程语言及框架兼容。

低成本

Amazon Nitro Enclaves 基本上不产生费用。亚马逊云科技仅针对组织的初始 Amazon EC2 实例和其他亚马逊云科技服务计收标准费用。

安全性

对任何类型敏感信息的保护显然是重中之重。Amazon Nitro Enclaves 根据有签名的证明文件进行认证，用以验证安检的身份并确保只有授权的代码才能运行。

既然 Amazon Nitro Enclaves 有这么多优势，那它的存在有什么重要意义呢？

正如我们在报告中所述，机密计算目前尚处于起步阶段。所有的大型云服务公司都在努力开发最安全的技术，以实现任何状态下的数据保护。一个组织最适合的方案将始终取决于用户的喜好和特定的业务需求。

我们认为，多年以来，亚马逊云科技在 Nitro System 的硬件技术上大量投入，证明了这一主流趋势：各大科技巨头越来越多地以新颖、重要的方式来解决数据安全问题。Amazon Nitro Enclaves 的推出，便是将这些投入的成果将直接交付给客户，对他们在云中存储和处理的敏感数据和进行隔离和保护。

总体而言，我们认为整个行业对所有状态下数据安全性的关注和投入会不断加强。我们期盼“机密计算和受信执行环境”方面的重大进展，并且期待亚马逊云科技一如既往地以其具备综合实力的产品来参与这一领域的激烈竞争。

原文链接：硬核出击，只为守护你的秘密！