Azure机密计算: 微软强化云数据的安全性

微软为新一系列的Azure安全功能——称之为“机密计算”——开放了早期访问计划，这种服务甚至可以防止那些可以访问硬件的员工访问数据。

这项新服务在数据保护方面的主要增强，是加密使用中的数据，这将为那些可能把最敏感的数据保存在公有云中的客户提供更好的安全保障。这项服务针对那些需要分享高度敏感数据的组织部门，例如财务和医疗等。

这种机密计算侧重于基于硬件的加密，以确保当数据需要干净处理的时候，数据是处于一种安全或者可信执行环境（TEE）中的。它采用了针对Azure SQL数据库和SQL Server所谓的“使用中加密”技术，是对现有加密静态数据和传输中数据的保护进行了扩展。

微软最初支持的是Windows Virtual Secure Mode，这是一种基于软件的TEE，是由Windows 10和Windows Server 2016中的Hyper-V实现的，还有一种基于硬件的TEE，是在Azure服务器上，支持英特尔的Software Guard Extensions（SGX）。据微软首席技术官Mark Russinovich表示，这些是“公有云中首个支持SGX的服务器”。此外微软还在与英特尔合作支持其他TEE。

英特尔向开发者提供SGX套件，允许开发者在受保护内存区域中自行应用程序代码。英特尔推出了支持第7代英特尔Core处理器以及用于数据中心服务器的英特尔志强处理器E3 v5芯片的SGX。

“TEE确保没有办法从外部查看内部数据或者操作，即使试用调试器也不行。TEE甚至确保了只有经过授权的代码才能访问数据。如果这个代码被更改或者篡改，操作将被拒绝，环境禁用。TEE会在执行代码的过程中强制实施这种保护，”Russinovich这样解释说。

机密计算旨在防止数据遭受来自可访问硬件的内部恶意人员、利用操作系统、应用以及虚拟机管理程序的外部攻击、以及未经授权的第三方访问等威胁。

Azure机密计算扩大了微软在CoCo框架（最近公布的针对机密区块链网络的系统）上对TEE的使用。

此外它还建立在已经提供的Always Encrypted数据库引擎上，允许数据所有者查看数据，但是防止那些管理数据的人查看。这项功能让企业组织可以对静态数据以及用于Azure存储的数据进行加密。

Russinovich认为，Azure机密计算对于那些分享财务数据、医疗数据和机器学习研究的客户来说是很有用处的。

“例如在财务方面，个人投资组合数据和财务管理策略在TEE之外是不可见的，”他指出。

“医疗机构可以通过共享他们的私密的病人数据（如基因组序列）进行协作，从跨多个数据集的机器学习中获得更深入的洞察，而避免了数据泄露给其他组织的风险。在石油和天然气，以及物联网场景下，对于企业来说意味着核心知识产权的敏感的地震数据，可以迁移到云端进行处理，但是是处于使用中数据加密的保护中。”