Google推机密虚拟机器满足高安全性运算需求

Google发布第一款机密运算（Confidential Computing）虚拟机器，透过加密记忆体中的资料，以大幅提升云端运算的安全性，且因为其建立在庇护式虚拟机器（Shielded VM）之上，因此还可以免受rootkit攻击，Google提到，机密虚拟机器对受管制的产业特别有用，可以保护敏感资料不洩漏。

GCP虽然会加密静态资料以及传输中的资料，但是终究需要解密才能进行计算，这让恶意人士有机可乘，而机密运算技术是一种突破性的安全技术，可以在计算过程维持资料加密，而机密运算的环境，也会加密储存在记忆体，或是CPU外部其他地方的资料。

机密虚拟机器在搭载第二代AMD EPYC处理器的N2D虚拟机器上执行，使用AMD SEV功能，能以高效能执行高运算需求的工作，AMD EPYC处理器能够产生和管理，每个虚拟机器执行个体专用的金钥，并利用该金钥对虚拟机器记忆体进行加密。

金钥是由AMD安全处理器，在虚拟机器创建的时候生成，并且仅留存在虚拟机器中，因此无论是Google或是其他在主机上执行的虚拟机器，都无法取得这个金钥。Google提到，他们与AMD密切合作，可确保记忆体加密不会影响工作负载的效能，整体来说，机密虚拟机器的效能非常接近非机密虚拟机器。

除了基于硬体的记忆体加密外，机密运算虚拟机器是以庇护式虚拟机器为基础，能够强化作业系统映像档安全性，并且验证韧体、核心二进位档和驱动程式的完整性。Google提供机密运算虚拟机器可用的映像档，包括Ubuntu 18.04、Ubuntu 20.04和RHEL 8.2等，Google也正在与CentOS、Debian和其他发行版合作，以提供更多的机密作业系统映像档。

因为机密运算虚拟机器，使得许多使用情境变成可能，像是企业可以共享机密资料集，在云端合作进行研究，但同时又能保持机密性，且因为机密运算是建立在庇护式虚拟机器之上，可以防御rootkit和bootkit等恶意程式，确保作业系统的完整性，而Google也简化机密虚拟机器的使用，用户只要勾选启用机密运算，当前在GCP虚拟机器上执行的所有工作负载，同样都可以在机密虚拟机器上执行。