A computação segura com suporte de hardware no Microsoft Azure agora oferece ambientes protegidos para máquinas virtuais, containers e GPUs, sem exigir a escrita de código especializado.
Um dos principais obstáculos enfrentados pelas empresas que utilizam a nuvem pública é a sua natureza pública. Embora os aplicativos sejam executados de forma isolada e os dados sejam armazenados em dispositivos virtuais específicos, há sempre o risco de exposição dos dados. Em um ambiente compartilhado, não é possível garantir que a memória seja liberada de forma segura, o que poderia resultar no vazamento de dados entre os diferentes sistemas.
Por isso, as empresas seguem monitorando de perto sua conformidade com regulamentos, e frequentemente mantêm informações confidenciais localmente. Isso garante que estejam gerenciando com segurança informações pessoalmente identificáveis, juntamente com dados regulamentados.
Entretanto, optar por armazenar os dados localmente impede de usufruir da flexibilidade da computação em nuvem ou da abrangência global. Isso leva a lidar com fragmentos de informações isoladas, o que dificulta a obtenção de análises mais aprofundadas ou requer a constante transferência de dados da nuvem para construir modelos locais menores.
Do ponto de vista financeiro, isso representa uma questão, uma vez que os custos de transferência de dados para a nuvem podem ser elevados. Além disso, há a necessidade de investir em links MPLS para conexão privada e de baixa latência com o provedor de nuvem. Isso acarreta em um desafio adicional, já que será preciso aumentar a equipe de segurança para garantir a proteção desses dados.
Como você pode ter certeza da segurança dos seus dados na nuvem se não possui o mesmo nível de controle, monitoramento, inteligência de ameaças e expertise em segurança que os provedores de nuvem têm? Ao considerar a tecnologia atual, existe uma abordagem chamada computação confidencial que pode oferecer uma solução.
Progressos tecnológicos sigilosos na área da computação
Eu abordei o uso das extensões seguras da Intel pela Microsoft em seus conjuntos de instruções de processador para estabelecer uma plataforma para computação confidencial no Azure há alguns anos. Desde então, houve progressos no mercado da computação confidencial.
As versões iniciais possibilitavam o trabalho com uma parte da memória criptografada, assegurando que, mesmo se houvesse falhas no isolamento da máquina virtual, essa parte de memória não poderia ser acessada por outra VM. Atualmente, é possível criptografar toda a memória de trabalho de uma VM ou serviço hospedado. Além disso, há uma variedade maior de opções de hardware com suporte da AMD e Arm.
Outra evolução significativa é a inclusão pela Nvidia de recursos de computação segura em suas GPUs. Isso possibilita a criação de modelos de machine learning com dados sensíveis, ao mesmo tempo em que protege as informações utilizadas para a modelagem matemática. A utilização em grande escala de GPUs nos permite enxergar a nuvem como um supercomputador, e a adição de capacidades de computação segura a essas GPUs possibilita uma partilha mais eficiente e segmentada dessa capacidade entre as nuvens.
Tornando a computação segura mais acessível no Azure.
O desenvolvimento dos recursos de computação confidencial do Microsoft Azure está acompanhando a evolução do hardware. Inicialmente criada para oferecer memória protegida e criptografada para dados, a plataforma de computação confidencial do Azure foi aprimorada com as últimas atualizações anunciadas pela Microsoft no Ignite 2023. Agora, além de fornecer ambientes protegidos para VMs, containers e GPUs, não é mais necessário programar em código especializado. Em vez disso, é possível encapsular o código e os dados em um ambiente seguro, isolado e criptografado.
Esta abordagem permite que você use as mesmas aplicações em dados regulados e não regulamentados, simplesmente direcionando os hosts VM apropriados. Há um bônus em que o uso de VMs confidenciais e recipientes permite que você levante e mude aplicativos no local para a nuvem, mantendo a conformidade regulatória.
Máquinas virtuais seguras do Azure com tecnologia Intel TDX.
Os novos VMs confidenciais do Azure utilizam os mais recentes processadores Xeon e as extensões de domínio de confiança da Intel. Com o TDX, é possível utilizar técnicas de atestamento para garantir a integridade dos VMs confidenciais, além de contar com ferramentas para gerenciar chaves. É possível gerenciar suas próprias chaves ou utilizar a plataforma subjacente. Há suporte para diversos sistemas operacionais, incluindo Windows Server (e opções de desktop) e suporte inicial para o Linux do Ubuntu, com Red Hat e Suse em breve.
A Microsoft está iniciando a disponibilização de uma versão preliminar de novas máquinas virtuais confidenciais, inicialmente em uma região da Europa e duas regiões do Azure nos EUA, com uma segunda região na Europa prevista para o início de 2024. Essas novas VMs possuem grande capacidade de memória e CPU, sendo projetadas para suportar cargas de trabalho intensas, principalmente aquelas que exigem alta capacidade de memória.
VMs seguras do Azure com capacidade de processamento gráfico.
A adição de suporte GPU a VMs confidenciais representa uma significativa mudança, pois amplia as capacidades de computação disponíveis. A implementação da Microsoft utiliza GPUs Nvidia H100, comumente empregados para treinar, ajustar e executar diversos modelos de inteligência artificial, como visão computacional e processamento de linguagem. Com os VMs confidenciais, é possível utilizar informações privadas como conjunto de treinamento, por exemplo, treinar um modelo de avaliação de produto em protótipos antes de sua divulgação pública, ou trabalhar com dados médicos, treinando uma ferramenta de diagnóstico em imagens de raios X ou outras imagens médicas.
Em vez de integrar uma GPU em uma máquina virtual e criptografar toda a VM, o Azure mantém a GPU criptografada separadamente da instância de computação confidencial. Isso é feito por meio de mensagens criptografadas que conectam os dois. Ambos funcionam em ambientes de execução confiáveis (TEE) separados, garantindo a segurança dos dados.
Em termos conceituais, isso se assemelha à utilização de uma GPU externa por meio de Thunderbolt ou outro barramento PCI. A Microsoft pode designar recursos de GPU conforme requerido, sendo o GPU TEE responsável por proteger a memória e a configuração dedicada. Você pode utilizar o Azure para obter uma validação de segurança antes de compartilhar dados sensíveis com a GPU segura, diminuindo assim o risco de comprometimento.
Contêineres seguros em Kubernetes.
Ferramentas de computação mais seguras estão migrando para o serviço gerenciado da Microsoft Kubernetes, Azure Kubernetes Service, o qual oferece suporte para contêineres seguros. Diferentemente de uma máquina virtual completa, esses contêineres são executados dentro de servidores hospedeiros e são desenvolvidos com base em extensões de computação seguras da AMD. Os contêineres seguros do AKS são uma implementação dos contêineres Kata de código aberto, utilizando Máquinas Virtuais de Utilidade da Kata (UVMs) para a hospedagem de contêineres seguros.
Você utiliza contêineres confidenciais em Unidades Virtuais de Máquina (UVMs), o que permite que o mesmo cluster de Serviços de Kubernetes do Azure (AKS) suporte contêineres seguros e inseguros, acessando recursos de hardware por meio do hipervisor subjacente do Azure. Da mesma forma que as UVMs confidenciais, esses contêineres confidenciais têm a capacidade de hospedar cargas de trabalho já existentes, incluindo contêineres Linux.
Essas últimas atualizações para os recursos de computação confidencial do Azure eliminam as barreiras para a migração de cargas de trabalho regulamentadas para a nuvem, oferecendo uma nova forma de acesso para obter um uso expansivo e escalável de ambientes de computação seguros. Embora seja necessário realizar configurações adicionais e gerenciamento em relação às chaves de segurança e à verificação de segurança dos VMs e contêineres, essas são práticas que devem ser adotadas ao lidar com informações confidenciais tanto localmente quanto na nuvem.
A segurança da informação é fundamental ao lidar com dados sensíveis e regulamentados. Ao implementar medidas de proteção no Azure e integrar recursos no hardware, a Microsoft torna a computação em nuvem mais atrativa para empresas dos setores de saúde e finanças.