AMI TruE® 可信环境平台安全解决方案，适用于云端和边缘计算中的机密计算

2021年4月6日

概述

快速浏览一下最近的新闻标题，例如据报道影响了数百家企业和政府机构的美国公司 SolarWinds 遭受的攻击，证实了黑客们不断开发创新方法，以获得持久且无法检测的方式来控制包含有价值信息的系统，并将这些信息窃取用于邪恶目的。

由于系统固件具有特殊的执行权限，且操作系统和安全软件难以检测到未经授权的更改，因此它正迅速成为恶意攻击者最新、最主要的攻击目标——这使得安全专家、系统制造商和其他相关方越来越重视这一领域。英特尔 TXT 和 TPM，结合兼容的 BIOS，可通过远程认证提供固件完整性保证，确保当前固件未被篡改。

但这真的足够吗？如果恶意黑客能够访问内存内容，从而暴露该平台上运行的所有数据或工作负载呢？是否存在更可靠的解决方案来保护正在使用的数据？

保护云端和边缘工作负载

云采用速度加快，部分原因是近期新冠疫情引发的远程办公和学习需求。这种增长带来的一个结果是，来自不同企业的工作负载往往运行在同一云供应商托管的硬件上。对于这些数据中心和云服务提供商的管理员来说，最关键的问题是如何确保客户的工作负载免受运行在同一平台上的其他租户的影响。这些客户有哪些选择，可以让他们放心地将计算工作负载迁移到云端？

出于类似的原因，终端用户对网络带宽和延迟的期望大幅提高。为了满足这一需求，电信运营商和数据中心运营商不断增加边缘基础设施。然而，随着远程基础设施的增加，如何保障运行在这些远程硬件上的工作负载的安全也成为一个令人担忧的问题。即使远程基础设施遭到入侵，电信服务提供商如何才能确保其工作负载的安全？

为了应对这些安全和信任挑战，AMI TruE™ 可信环境平台安全解决方案利用英特尔^®软件防护扩展 (Intel® ^SGX ) 和英特尔^®数据中心安全库，为机密计算和安全的云及边缘工作负载提供真正的可信环境——继续阅读以了解更多信息！

英特尔^®软件防护扩展

英特尔^®软件防护扩展 (Intel® ^SGX ) 利用基于硬件的内存加密技术，为工作负载提供运行时保护，该技术可将特定的应用程序代码和数据隔离在内存中。它允许用户级代码分配称为 SGX 安全区的私有内存区域，这些区域旨在防止更高权限级别进程的访问。

SGX 安全区中的代码和数据由 CPU 封装中生成的加密密钥进行加密。只有当它们到达 CPU 封装内部时才会解密。安全区中的代码和数据不会泄露给平台上的任何软件，包括操作系统内核、虚拟机管理器 (VMM)、系统 BIOS 或其他系统固件等特权软件。SGX 认证允许远程方验证 SGX 安全区的真实性。为了支持运行时认证，安全区的开发者、数据中心所有者和远程方都需要采取特定的操作。

云服务和电信运营商可以利用英特尔 SGX 技术，放心地将敏感数据处理任务卸载到远程的非可信边缘基础设施。同样，客户也可以放心，即使使用云服务和电信服务提供商，他们的工作负载也能得到隔离和保护。要了解更多关于 SGX 工作原理的信息，请访问https://www.intel.com/content/www/us/en/architecture-and-technology/software-guard-extensions.html。

AMI TruE：面向机密计算和可信云执行的解决方案

固件安全领域的创新需要对固件及其开发有深刻的理解。凭借超过 35 年的 BIOS、UEFI 和 BMC 固件开发经验，AMI 完全有能力提升业界的固件安全性，并在平台层面建立信任。作为英特尔公司的长期合作伙伴，AMI 与英特尔紧密合作，共同提供领先的固件和安全技术，例如英特尔 SGX。

AMI 致力于帮助客户和最终用户更轻松地采用英特尔解决方案和技术，并以此为荣。AMI TruE 正是这种成功合作的绝佳例证——这是一款来自 AMI 的全方位数据中心安全解决方案，它利用英特尔® 安全技术和英特尔^®数据中心安全库，为云执行提供可信环境，并且具有可扩展性，专为云到边缘应用而构建。AMI TruE 利用英特尔^® SGX 技术，支持机密计算，简化工作负载认证的部署，并在不泄露机密性的前提下保护应用程序密钥。此外，AMI TruE™ 还能建立并跟踪数据中心中服务器的可信计算状态，确保符合数据主权法规，在可信服务器上运行敏感工作负载，并为不受信任的平台提供补救措施。