無論是使用內部數據中心的企業，還是遷移至云的企業，數據安全都是其最關心的問題。機密計算（Confidential Computing，簡稱CC），作為一項突破性技術，因其可以讓用戶對“使用中”數據進行加密，備受業界關注。

　　什么是機密計算？

　　機密計算，是一項突破性技術，可以對正在處理的數據，即對“使用中”數據進行加密。其誕生的背景是：過去，很多企業在安全方面的大多數努力，都集中在通過加密保護“靜止的”或“傳輸中”的數據。但一個相對容易被忽視的領域是，“使用中”數據（Data-in-use）的加密。隨著企業業務上云，如何保護“使用中”的數據，成為企業面臨的最大挑戰之一。在這種背景下，旨在保護“使用中”數據機密性和完整性的“機密計算”應運而生。

　　機密計算的原理是使用基于硬件的技術將數據、特定功能或整個應用程序與操作系統、虛擬機管理程序、虛擬機管理器以及其他特權進程隔離開來。在后臺，機密計算環境將數據加密保存在內存、CPU外部的其他位置，稱為“可信執行環境（Trusted Execution Environment，簡稱TEE）”。

　　可信執行環境（TEE），是讓機密計算發揮作用的關鍵所在，它是指可以提供一種與不可信環境隔離的安全計算環境，將阻止任何更改應用程序代碼或篡改數據的嘗試。這在多用戶系統，例如虛擬化和公共云系統（其數據交叉污染是真正的風險）中尤其重要，這種隔離和可信驗證機制使得機密計算成為可能。

　　TEE一般是直接基于硬件實現的，比如Intel SGX以及ARM TrustZone等；基于虛擬化技術也可以構造TEE，比如微軟的VSM，Intel的Trusty for iKGT & ACRN等。事實上，這個概念的早期版本可以追溯到十多年前在許多PC中可用的TPM模塊。與現代版本TEE不同的是，它們內置于芯片的核心中，而不是作為可能會因互連而受到損害的外部附件。

　　2019年，機密計算首次被Gartner列入《2019年云安全技術成熟度曲線報告》；2020年，機密計算仍是Gartner云安全成熟度曲線上的33種技術之一。

　　科技巨頭入局

　　作為一項前瞻性技術，目前許多科技巨頭紛紛入局，大力探索和開發機密計算。

　　微軟Azure

　　2017年，微軟新增加了一項名為Azure機密計算的安全功能，以確保數據在處理時能得到更多的控制。

　　Azure機密計算會阻止由更改或篡改代碼觸發的操作，從而以良好的方式關閉整個TEE。該技術可防止針對應用程序、操作系統或系統管理程序漏洞的惡意軟件或攻擊者獲得對正在使用數據的訪問。還可以阻止具有直接訪問系統權限或擁有管理特權的惡意內部人員。

　　在實現方式上，微軟的機密計算有兩種模式：第一個是在Windows Server 2016和Windows 10 Hyper-V虛擬化軟件組件中找到基于軟件的虛擬安全模式，第二個是內置在Azure云服務器處理器中的英特爾軟件保護擴展（SGX）技術。

　　目前，微軟正在與其他軟件和硬件合作伙伴合作，以啟用其他類型的TEE。

　　阿里云

　　阿里云是亞太區首個推出基于SGX機密計算的云服務商，并在全球范圍內首個將SGX技術商業化，讓云上用戶都可以以最簡單便捷的方式享受高等級數據保護能力。

　　基于Intel SGX機密計算技術，阿里云為云上客戶提供了系統運行時的可信能力，云上開發者可以利用SGX技術提供的可信執行環境，將內存中的關鍵代碼和數據保護起來，即便具有更高特權的系統組件（包括BIOS、虛擬化底層、操作系統內核）也無法獲得關鍵代碼和數據，讓客戶可以擺脫對云平臺的依賴，通過擁有云上的可信執行環境，防止數據被竊取或被篡改。

　　阿里云在機密計算領域所做的工作不止如此：

　　2017年，阿里云和英特爾聯合發布了基于芯片級的SGX機密計算技術，保障云上客戶數據安全；

　　2018年4月，在RSA2018大會上，阿里云宣布支持阿里云機密計算技術的“神龍云”服務器正式商業化；

　　2018年9月，在云棲大會上，阿里云發布了FPGA機密計算技術，將機密計算從處理器擴展到FPGA設備，讓主流的機器學習計算模型和數據相關的計算都可以運行在可信環境中；

　　2018年9月，在云棲大會上，阿里云還發布了智能網卡機密計算技術，將系統的可信擴展到網絡上，通過智能網卡機密計算技術實現可信網絡；

　　2018年10月，阿里云又推出了基于SGX技術的區塊鏈服務平臺；

　　2019年的云棲大會上，阿里云智能與阿里云數據庫團隊聯合發布了全加密數據庫產品。

　　谷歌云

　　在Google Cloud Next 2020大會上，谷歌云（Google Cloud）推出了一款“可保密虛擬機”（Confidential VMs）。這種新型的虛擬機可以利用谷歌的加密計算，實現對靜止狀態和內存數據的保密。

　　在后端，機密虛擬機使用了基于AMD二代霄龍處理器（EPYC）的安全加密虛擬化技術，實現了使用中數據的加密。密鑰由CPU可信執行環境生成且無法導出，即便是谷歌自身也無法得知密鑰。

　　此外，谷歌還表示他們已經推出虛擬機的加固服務項目Shielded VMs，能在root軟件和其他漏洞攻擊下保護系統。

　　布局未來

　　隨著企業將業務數據遷離本地或遷至多租戶云計算環境，現在他們迫切需要能夠保護客戶數據完整性以及保護使用中數據的專有算法。因此，云供應商正在啟動新的機密計算實例供客戶使用。這消除了組織運行自己機密計算系統的必要性，從而形成了一個雙贏的局面：客戶獲得了保護其數據資產所需的東西；云提供商引入了客戶不一定擁有的必要硬件資產。

　　這種新的可用性正推動越來越多的處理器包含內置的機密計算概念。而且由于云提供商通常在可用性早期階段就獲得了新的高端處理能力，這使得用戶社區的訪問速度要比用戶自己獲取的訪問速度快得多。此外，鑒于在云中運行的硬件和工具包的可用性，它使應用程序提供商能夠快速將機密計算設計到他們的產品中，并進一步擁有一個更成熟的市場來收回開發投資。

　　Gartner預計，需要大約5年至10年，機密計算才會普遍使用。建議企業在未來6-12個月內探索使用機密計算技術，向主要應用解決方案提供商說明，希望其遵守機密計算戰略，并在約定時間內提供技術實施。畢竟，想要贏得市場占有率，獲得競爭優勢，就必須先人一步。