Google Cloud Confidential Computing mit Confidential VMs

Wir gehen davon aus, dass die Zukunft des Cloud-Computings mehr und mehr von privaten, verschlüsselten Diensten bestimmt sein wird, die den Nutzern die Sicherheit bieten, die Kontrolle über ihre vertraulichen Daten zu behalten. 

Bei Google Cloud werden Daten sowohl bei der Übertragung als auch im Ruhezustand verschlüsselt. Für die Verarbeitung müssen sie jedoch entschlüsselt werden. Confidential Computing ist eine bahnbrechende neue Technologie, mit der auch aktive Daten während der Verarbeitung verschlüsselt bleiben können. In Confidential-Computing-Umgebungen sind Daten im Arbeitsspeicher und anderen Bereichen außerhalb der CPU (Central Processing Unit) dauerhaft verschlüsselt. 

Confidential VMs, das erste Produkt im Confidential-Computing-Portfolio von Google Cloud, befindet sich derzeit in der Betaphase. Im Rahmen unserer Cloud-Infrastruktur setzen wir bereits verschiedene Isolations- und Sandboxing-Verfahren ein, um unsere Multi-Tenancy-Architektur zu schützen. Confidential VMs sind hierbei der nächste Schritt, denn damit ist eine Verschlüsselung im Arbeitsspeicher möglich. So lassen sich Arbeitslasten in der Cloud weiter isolieren. Alle unsere Kunden können sensible Daten mit Confidential VMs schützen. Besonders interessant ist diese Technologie jedoch für Branchen, die strikten Regulierungen unterliegen.

Neue Möglichkeiten eröffnen

Schon bei Asylo, einem Open-Source-Framework für vertrauliches Computing, ging es uns darum, dass Confidential-Computing-Umgebungen hohe Leistung bieten, einfach bereitzustellen und zu nutzen sowie für jede Arbeitslast geeignet sein sollten, die Sie in der Cloud ausführen möchten. Wir sind der Meinung, dass Sie bei Nutzerfreundlichkeit, Flexibilität, Leistung und Sicherheit keine Kompromisse machen sollten.

Mit der Betaversion von Confidential VMs sind wir der erste große Cloud-Anbieter, der ein solch hohes Maß an Sicherheit und Isolation ermöglicht. Wir bieten unseren Kunden damit eine einfache, nutzerfreundliche Option sowohl für neu erstellte Anwendungen als auch für solche, die per Lift-and-Shift übertragen werden. Unser Ansatz umfasst Folgendes:

• Völlig neuartige Mechanismen zur Sicherung der Vertraulichkeit: Unsere Kunden können jetzt die Vertraulichkeit selbst ihrer sensibelsten Daten während der Verarbeitung in der Cloud gewährleisten. Confidential VMs nutzen das SEV-Feature (Secure Encrypted Virtualization) der AMD EPYC™-CPUs der 2. Generation. Ihre Daten bleiben während der Verwendung, Indexierung, Abfrage und Nutzung für Trainings verschlüsselt. Die Verschlüsselungsschlüssel werden in der Hardware für jede einzelne VM generiert und können nicht exportiert werden.

• Führende Innovationen: Mit Confidential Computing erschließen sich ganz neue Möglichkeiten. Organisationen können nun vertrauliche Datasets teilen und gemeinsam Forschung in der Cloud betreiben, ohne sich Gedanken um eine etwaige Verletzung der Vertraulichkeit machen zu müssen. 

• Vertraulichkeit für Lift-and-Shift-Arbeitslasten: Unser Ziel ist es, Confidential Computing möglichst einfach zu gestalten. Der Wechsel zu Confidential VMs erfolgt nahtlos. Alle GCP-Arbeitslasten, die Sie aktuell auf virtuellen Maschinen ausführen, können auch auf einer Confidential VM laufen. Sie müssen dazu nur ein Kästchen anklicken.

Die Grundlagen von Confidential VMs

Confidential VMs laufen auf N2D-VMs mit AMD EPYC™-Prozessoren der 2. Generation. Dank des SEV-Features von AMD bieten Confidential VMs hohe Leistung auch für die anspruchsvollsten Computing-Aufgaben. Der VM-Arbeitsspeicher bleibt dabei durch einen dedizierten, VM-eigenen Instanzschlüssel verschlüsselt, der vom AMD EPYC-Prozessor generiert und verwaltet wird. Diese Schlüssel werden beim Erstellen der virtuellen Maschine vom AMD Secure Processor erzeugt und verbleiben dort. Sie sind weder für Google noch für andere VMs, die auf dem Host ausgeführt werden, zugänglich. 

Zusätzlich zur hardwarebasierten Verschlüsselung direkt im Arbeitsspeicher nutzen wir Shielded VMs als Grundlage für Confidential VMs, um das Betriebssystem-Image zu härten sowie die Integrität der Firmware, Kernel-Binärprogramme und Treiber zu gewährleisten. Google bietet unter anderem die Images Ubuntu 18.04, Ubuntu 20.04, Container-Optimized OS (COS 81) und RHEL 8.2 an. Mit CentOS, Debian und anderen Distributoren arbeiten wir an weiteren vertraulichen Betriebssystem-Images. 

Zusammen mit dem Entwicklerteam von AMD Cloud Solution haben wir dafür gesorgt, dass durch die Arbeitsspeicherverschlüsselung der VMs die Arbeitslastleistung nicht beeinträchtigt wird. Zur Bewältigung von Speicher- und Netzwerktraffic mit höherem Durchsatz als frühere Protokolle unterstützt das System jetzt neue OSS-Treiber (NVMe und gVNIC). Damit kann sichergestellt werden, dass die Leistungsmesswerte von Confidential VMs denen nichtvertraulicher VMs ähneln.

"Dank einer integrierten, sicheren, verschlüsselten Virtualisierung bieten AMD EPYC™-Prozessoren der 2. Generation ein innovatives, hardwarebasiertes Sicherheitsfeature, mit dem Daten in einer virtualisierten Umgebung geschützt werden können", erklärt Raghu Nambiar, Corporate Vice President Data Center Ecosystem von AMD. "Bei den neuen Google Compute Engine Confidential VMs der N2D-Reihe haben wir mit Google daran gearbeitet, den Kunden sowohl den Schutz ihrer Daten als auch eine hohe Leistung für ihre Arbeitslasten zu ermöglichen. Wir sind sehr zufrieden damit, dass die Confidential VMs bei unterschiedlichen Arbeitslasten eine ähnlich hohe Leistung wie die standardmäßigen N2D-VMs bieten."

Eine revolutionäre Technologie

Confidential Computing kann Ihnen dabei helfen, die Art und Weise, wie in Ihrer Organisation Daten in der Cloud verarbeitet werden, zu transformieren und gleichzeitig die Vertraulichkeit und den Schutz der Daten zu gewährleisten. Neben weiteren Vorteilen können Sie mit anderen Organisationen zusammenarbeiten, ohne die Vertraulichkeit Ihrer Datasets zu kompromittieren. Diese Zusammenarbeit wiederum kann zur Entwicklung neuer revolutionärer Technologien und Ideen führen. Stellen Sie sich beispielsweise vor, es gäbe damit die Möglichkeit, Impfstoffe schneller zu entwickeln und Krankheiten zu heilen. 

Wir sind schon gespannt darauf, welche Chancen diese Technologie Ihnen eröffnet. Weitere Informationen finden Sie auf unserer Seite Confidential Computing.