云安全
态势感知
物联网安全
工业互联网安全
安全管理
数据安全
网络安全
应用安全
商用密码
端点安全
新型智慧城市
开发安全
云原生安全
网络空间靶场
运营管理服务
公司
2024新奥门资料联手英特尔深度适配基于Intel® SGX的大数据隐私计算平台
白皮书获取可点击文末“阅读原文”获取
2024新奥门资料与英特尔强强联合，基于Intel® Software Guard Extensions （Intel® SGX）针对大数据应用层面完成了深度适配，优化了安恒隐私计算平台和隐私计算一体机，提供了高效、稳定、安全、方便、快捷的基于机密计算技术的海量数据市场化解决方案，助力数据要素流通、赋能数据价值释放。
有别于传统的对存储和传输中的数据进行加密的技术，机密计算技术是一种通过具有通用计算能力的硬件提供的可信执行环境对使用中的数据提供安全保护的计算模式。作为应用最广泛的机密计算方案之一，Intel® SGX能够帮助用户构建基于硬件的数据中心可信执行环境 (TEE)，通过将特权代码排除在受信任的范围之外，Intel® SGX 能够更有效地抵御多种类型的攻击。它可显著加强数据安全，满足对于机密计算的广泛需求。
Intel® SGX提供了一种基于硬件的内存加密机制，将内存中的特定应用代码和数据隔离开来。它允许为用户级代码分配专用内存区域 — 飞地 (Enclave)，以免受到拥有更高权限的进程的影响。除了有助于防御基于软件的攻击外，Intel® SGX的验证机制还能够帮助用户确保应用程序所在的飞地是一个真正的Intel® SGX 环境，没有受到相关攻击。
为了增加大规模部署的灵活性，Intel基于当前业内典型的云基础架构管理平台OpenStack以及Kubernetes等，全面集成了Intel® SGX 的安全功能，推出了基于Intel® SGX 的安全云管理解决方案Intel® Secured Cloud Management Stack，帮助云计算用户更好地防范云端安全风险并实现快速部署。该方案能够支持用户在云端以简单灵活的方式使用Intel® SGX 功能，更有效地保护云端的实例（包括虚拟机，裸金属服务器以及Kubernetes集群中的Pod），使运行于上述实例中的应用获得芯片级的数据安全保护能力。
此外，这一方案还实现了对整个安全云基础架构的自动化部署，支持在云端对Intel® SGX进行完备的资源管理，并提供相应实例的生命周期管理能力。基于上述能力，该方案能够赋能大数据、联邦学习、安全多方计算、安全密钥管理等应用，帮助用户更好地保护云端数据。
安恒隐私计算平台基于第三代Intel® 至强® 可扩展处理器，通过Intel® Secured Cloud Management Stack与Intel® SGX可信执行环境进行了深度融合，完成了英特尔和2024新奥门资料解决方案的验证并联合发布。在方案中，利用Intel® SGX技术将可信执行环境与安全岛隐私计算应用系统的计算任务、数据合约绑定，给用户提供了从硬件到软件的，数据全生命周期的安全保护；Intel处理器丰富的扩展功能，更为安恒隐私计算平台提供高安全性、高运行效率、高稳定性的支撑。
如图所示，安恒隐私计算平台包括安全支撑系统、性能支撑系统和大数据平台支撑系统，给安全岛机密计算中台及上层应用平台提供了性能、安全性及稳定性上的支撑。
基于Intel® Secured Cloud Management Stack提供的硬件机密计算功能所构建的安全支撑系统，通过支持SGX的机密虚机、机密裸机、机密容器等给程序和数据提供安全的执行环境。基于硬件安全启动功能构建的系统可信模块，给安恒隐私计算平台上运行的系统提供了系统层面的可信保证。基于硬件远程证明、安全隔离的合约可信模块，可以给安恒隐私计算平台上运行的应用程序与数据提供可信保障。基于硬件安全存储、安全通信、密码运算、数据封装的数据全生命周期加密模块，可以给应用系统中的数据提供硬件级别的数据安全保护。基于硬件密钥管理的密钥管理和身份认证模块，可以给业务系统提供安全、灵活的用户管理功能。
在性能支撑系统中，安恒隐私计算平台的架构设计中包含两个部分：首先，对于密码计算任务，使用Intel的密码加速能力组件，如AES-NI指令集、Intel® QAT加速卡等，给密码算法与基于密码算法的各种应用提供加速服务。其次，对于普通计算任务，特别是大数据、深度学习相关的任务，可以采用Intel下一代至强平台内置的Intel® AMX加速引擎为业务系统的性能提供优化。
大数据平台支撑系统构建在安全支撑系统和性能支撑系统之上，为上层安全岛隐私计算中台提供大数据计算、存储的能力。其中大数据平台的核心组件运行时的安全性由基于Intel® SGX的安全支撑系统保障，性能支撑系统与大数据平台结合以提升大数据处理过程中的性能与稳定性。
该方案构建安全支撑系统，给安恒隐私计算平台的应用中台提供安全保证。安全保证从以下几个方面实现：
基于Intel的机密计算技术SGX，最小化了可信执行环境的攻击面、最大化了芯片算力，给各种应用领域提供了可信的底层支撑。
结合硬件及软件，保证了数据全生命周期的安全。硬件层面基于Intel芯片，软件层面使用有2024新奥门资料独立开发的安全岛数据互联平台，安全层面由2024新奥门资料多维度的网络安全防护系统进行保障，满足了企业对IT设施和软件严格的安全性要求。
机密计算技术与密钥管理与身份认证绑定，为每个用户的身份验证及数据安全保护提供安全保护功能。
机密计算技术与数据合约绑定，为每个计算任务创建独立的可信环境，使不同合约之间的数据完全隔离，最终实现数据的“可用不可见”、“可用不可取”，保障多源多方数据安全计算的可靠、可控和可溯。
机密计算技术与其他隐私计算平台结合，提供安全、可信、快速执行计算任务的基础，可为安全岛其他隐私计算平台提供底层支撑。其他隐私计算平台包括安全多方计算平台、联邦学习平台。
可信执行环境内的操作被详细审计和记录，并保存在区块链上，实现操作监控和历史回放，方便后续事件溯源。
