本文介紹ACK-TEE（ACK-Trusted Execution Environment）機密計算的概念、核心功能、適用場景、產品方案，以及ACK-TEE和ACK安全沙箱的配合作用等，
基礎概念
為有強安全訴求的用戶提供了基于硬體加密技術的云原生一站式機密計算容器平臺 ，它可以幫助您保護資料使用（計算）程序中的安全性、完整性和機密性，同時簡化了可信或機密應用的開發、交付和管理成本，機密計算可以讓您把重要的資料和代碼放在一個特殊的可信執行加密環境（Trusted Execution Environment，TEE）中，而不會暴露給系統其他部分，其他應用、BIOS、OS、Kernel、管理員、運維人員、云廠商、甚至除了CPU以外的其他硬體均無法訪問機密計算平臺資料，極大減少敏感資料的泄露風險，為您提供了更好的控制、透明度和隱秘性，
核心功能
- 保護并驗證云端代碼和資料的完整性，
- 加密資料和代碼，避免在使用程序中被惡意窺探和竊取，
- 保障您對資料全生命周期的控制，
適用場景
-
區塊鏈
增強事務處理、共識、智能合約以及密鑰存盤的隱私性和安全性， -
密鑰管理
把密鑰管理功能放在Enclave中，提供類似硬體安全模塊（HSM）的功能， -
機密計算
敏感資料，對敏感資料的多方計算提供了隱私隔離， -
金融
保護支付、交易的安全性， -
AI
保護模型等核心機密資料，保護知識產權， -
邊緣計算
保護云、邊、端三位一體相互通信的安全以及隱秘性， -
資料共享與計算
不同用戶或廠商之間相互共享資料以便挖掘更大的資料經濟價值，但不想把自己的資料泄露給對方，
產品方案
ACK-TEE1.1版的產品方案圖如下所示，
ACK已經上線了基于Intel SGX2.0技術的加密計算托管集群，以便幫助您簡化可信或機密應用的管理和交付成本，在公有云處理資料和代碼時，保護您資料和代碼的完整性和隱秘性，從可信計算基礎中擺脫云廠商的影響，有關如何在ACK上直接創建加密計算托管集群，請參見創建加密計算托管集群，
創建加密計算托管集群說明如下：
Worker節點需選擇規格族為安全增強計算型c7t、安全增強通用型g7t、安全增強記憶體型r7t的型號，說明 Intel IceLake僅支持基于Intel SGX DCAP的遠程證明方式，不支持基于Intel EPID方式的遠程證明方式，您的程式可能需要適配后才能正常使用遠程證明功能，關于遠程證明的更多資訊，請參見attestation-services，
節點初始化時會自動安裝SGX2.0驅動以及TEE-SDK，TEE SDK是阿里云提供的開發加密計算應用的開發者套件，該套件提供與Intel Linux SGX SDK一致的開發模型和編程介面，
為了便于SGX2.0應用訪問AESM，集群默認安裝了AESM DaemonSet， 通過自研的sgx-device-plugin，您可輕松實作對SGX節點EPC記憶體資源的發現、管理以及調度，
ACK-TEE機密計算和ACK安全沙箱配合作業的應用場景
傳統OS（作業系統）容器攻擊模型
傳統OS容器（或稱為RunC容器）和宿主機共享Kernel，當內核出現漏洞，容器中惡意應用（如三方或您的應用）會利用漏洞逃逸并滲透到后端系統，危害其他應用和整個服務系統，
ACK安全沙箱隔離惡意應用并阻斷攻擊
ACK安全沙箱容器是基于輕量虛擬機技術（Kangaroo）實作的強隔離，每個Pod都有自己獨立的OS和Kernel，這樣惡意應用的攻擊面從宿主機級別縮小至Pod級別，從而保護其他應用和后端系統，阻斷攻擊
ACK-TEE加密保護運行中的應用
ACK-TEE是ACK基于Kubernetes提供的機密計算解決方案，用于保護您的敏感代碼和資料，如IP保護、密鑰保護、隱秘通信等，
云計算為您和企業提供了極大的便利，然而資料泄露成了上云程序中最大的擔憂之一，資料泄露可能來源：
- 黑客攻擊
- 云廠商的不可信任
- 云基礎設施安全缺陷
- 運維和管理人員
安全沙箱和ACK-TEE配合隔離惡意應用并保護敏感應用
ACK安全沙箱和ACK-TEE定位完全不同，它們之間可以相互配合，這樣在您的集群中，既可以隔離惡意應用，又可以保護敏感的應用和資料，做到真正的雙向保護，
轉載請註明出處，本文鏈接：https://www.uj5u.com/qukuanlian/394010.html
標籤：區塊鏈