飞地和新交所：抵御深层攻击的护甲板

 
NotPetya的一个永恒的教训比以往任何时候都真实：在从基础硬件到顶级应用程序的整个系统堆栈中，几乎没有空间可以保证数据的安全。黑客不仅可以访问软件和存储驱动器，还可以探查BIOS和芯片组的弱点。保持数据的私密性和安全性，尤其是在系统之间交换数据时，意味着必须深入硬件内部。
关键点
黑客继续设计出更隐蔽的方式来挖洞以前安全的硬件。
英特尔SGX技术使用基于硬件的证明在系统内存中创建安全的加密区域(安全区)，以执行机密应用程序和数据。
采用率继续扩展到区块链，内容保护和基于云的数据库分析。
在系统内存中寻找安全性
十年前，据英特尔和迈克菲称，每天有25种新的网络威胁出现。现在，这个数字惊人地达到了500,000，目标是连接到互联网的所有事物。物联网和持久连接意味着威胁也将持久存在。 Gartner预测，到2024年，大多数企业将低估使用云的风险。例如，他们会无意间保留最敏感的数据，使黑客无法发现和利用。
为了更好地理解深层风险，请从上面回顾一下Mimikatz如何能够从RAM中提取未加密的密码。这是一连串的恶意软件，它们能够从通常与常规系统中的应用程序级和操作系统级恶意软件不相关的资源中进行部署。
想想隐藏在系统BIOS中的勒索软件(这是在专用芯片上的OS之前执行的软件)。如QNAP在去年11月针对QSnatch针对其NAS盒的攻击所承认的那样，设备容易受到攻击。即使是简单的物联网设备也不安全。德国研究人员在2019年发表了研究结果，表明攻击者如何操纵物联网设备中非常常见的模数转换(ADC)芯片来操纵CPU和公开AES加密密钥。
简而言之，如果某个组件可能包含恶意软件，那么黑客将找到一种方法来将其发送到此处。
长征
为了应对恶意软件威胁的长期兴起，英特尔创建了SGX(软件保护扩展)，这是一套指令代码，于2015年随英特尔的Skylake一代CPU首次亮相。它建立在现有技术的安全计算方法(例如可信平台模块(TPM)和英特尔可信执行技术(TXT))的基础上。反过来，SGX为后续的安全工作(包括机密计算)提供了许多基础。 SGX仍然广泛可用。许多系统默认情况下都将其禁用，但是通过了解SGX必须提供的功能并将其投入使用，企业可以采取严肃的步骤来保护其数据资产。
大多数反恶意软件措施都可以阻止威胁。但是，从某种意义上说，SGX认为系统已经受到威胁。 SGX使用CPU内的受信任硬件在系统内存中创建一个称为安全区的加密区域，该区域被CPU生成的加密密钥锁定。飞地中的任何内容均已加密，飞地外的任何功能均无法访问。这就像是一个与他或她的最好的朋友一起开发秘密语言的孩子，他们永远只在一个上锁的房间里使用这种语言。如果有人在门口聆听-甚至想出一种方法来窃听房间-没人会理解通信的内容。
怎么运行的
从技术上讲，SGX依赖于基于密钥的软件认证系统，该系统允许程序对另一组资源进行身份验证。用户可以将任何给定的数据集加载到安全的容器中，但是如果该数据的哈希值与容器期望的值不匹配，则该容器将被拒绝。结果，SGX使经过编码以利用SGX的应用程序更加安全。在恶意攻击者绕过应用程序，操作系统甚至BIOS安全性的其他层的情况下，SGX会将秘密数据安全地保留在隐蔽的地方，并且看不到它们，因为包含该数据的硬件资源是不可寻址的。
SGX是某些Intel Skylake芯片(Core i7，Core i9和Xeon E处理器)的标准配置。该功能必须由开发人员公开并启用。通过在BIOS中启用SGX，可以在RAM中建立两个区域：受信任和不受信任。兼容SGX的应用程序首先在受信任的RAM中创建“秘密”区域。然后，应用程序调用受信任的函数以在安全区域内工作。
一旦应用程序的受信任部分在安全区域内运行，应用程序就会将秘密的加密数据视为明文。 CPU拒绝所有其他尝试查看此数据的尝试。在那个阶段，应用程序可以离开安全区域，但是敏感数据会滞后。这里要记住的重要部分是，一旦应用程序的受信任例程有效地离开了建筑物，甚至应用程序都无法访问秘密数据。
另请注意，当系统进入睡眠状态或应用程序退出时，安全区将被破坏。此外，数据只能在同一受信任系统上解密/打开。这就是SGX在分析中具有如此巨大潜力的原因之一，在该分析中，远程数据需要在特定服务器上进行处理。该数据将仅在经过身份验证的特定计算机上打开并处理，从而使第三方的侦听无关紧要。
扩展用例
Fortanix是一家基于Mountain View的公司，其业务围绕密钥管理进行建模，其SDKMS(自防御密钥管理系统)基于SGX构建，为公共环境中的敏感数据提供了可信赖的环境。在部署SGX三年之后，Fortanix宣布该技术“允许用于各种企业用例，包括保护以数据为中心的工作负载，例如区块链，数据库，AI /机器学习和分析。”例如，IBM将Fortanix和SGX是IBM Cloud Data Shield的核心，可提供更安全的云和基于容器的计算。 Google和Fortanix携手将SDKMS与Google Cloud的外部密钥管理器集成在一起。 Fortanix SDKMS现在也可以在阿里云中运行，以保护客户端的云数据。
英特尔表示，其他用例可以包括：
密钥管理，其中飞地帮助管理加密密钥并提供类似硬件安全模块的支持。
内容保护，以帮助确保流保持不变，从而保护发件人的知识产权。
边缘计算，设备可以更安全地从源设备收集数据。
数字钱包，以保护付款交易。
通信，数据在加密传输之前先在系统中安全地开始。
没有安全是完美的
我们知道，随着越来越多的计算和存储迁移到基于公共云的设置中，连接性的提高意味着漏洞的增加。在物联网/边缘和云模型中创建安全环境的最佳方法是多层安全性。但是没有安全措施可以阻止所有攻击。这就是为什么该行业依靠研究人员和开发人员社区在黑客和恶意犯罪者发现之前发现弱点的原因。
举例来说，研究人员发现了新交所实施中的一个难题，他们称之为“ Plundervolt漏洞利用”。该攻击给CPU带来了微不足道的欠压和频率变化，从而破坏了SGX的完整性。该研究首先与英特尔共享，然后迅速进行了修补。迄今为止，还没有其他新交所的利用程序浮出水面。
奠定坚实的基础
日益增长的连接性和对云基础架构的依赖要求对网络安全性采用分层方法。解决系统每个级别的弱点意味着从核心系统组件向上和向外实施策略。企业可能打算明天部署SGX，但这意味着今天要有基于SGX支持的CPU的系统。购买者应做出相应计划，并在Intel的ARK网站(在CPU的安全功能下)仔细检查他们的处理器是否支持该技术。
组织运行的系统越多，攻击面就越大。新交所可以提供另一种装甲。