Intel® Security Libraries for Data Center (Intel® SecL – DC)

Aufbau einer vertrauenswürdigen, sicheren und kontrollierten Cloud mit Hardware-Vertrauensanker.

Einführung

Cloud-Computing hat sich zu einem unvermeidlichen Trend für Privatanwender, Unternehmen und andere entwickelt. Die Verbreitung des Hybrid-Cloud-Konzepts wuchs 2017 auf das Dreifache an. Laut Gartner wird bis 2020 eine Unternehmenseinheit mit einer "No-Cloud"-Politik so selten sein wie eine "No-Internet"-Politik heute1. Sicherheitsrisiken in der Cloud sind jedoch nach wie vor die wichtigste Barriere für eine breitere Akzeptanz der Cloud.

Hardwarebasierte Cloud-Sicherheitslösungen bieten ein höheres Schutzniveau im Vergleich zu reinen Software-Sicherheitsmaßnahmen. Es gibt viele Sicherheitstechnologien der Intel-Plattform, mit denen Kundendaten in der Cloud geschützt werden können. Leider haben unsere Kunden festgestellt, dass die Einführung und der Einsatz dieser Technologien in großem Maßstab eine Herausforderung darstellt, da es an Tools für die Lösungsintegration und -bereitstellung mangelt. Zur Bewältigung dieser Herausforderungen wurden Intel® Sicherheitsbibliotheken für Rechenzentren (Intel® SecL - DC) geschaffen, um unsere Kunden bei der massiven Übernahme und Bereitstellung von siliziumbasierten Intel Security Features zu unterstützen. Die Intel® SecL – DC bestehen aus Softwarekomponenten und stellen mit integrierten Bibliotheken durchgehende Lösungen für die Cloud-Sicherheit bereit. Die Anwender haben die Flexibilität, entweder ihre individuellen Sicherheitslösungen mit den bereitgestellten Bibliotheken zu entwickeln oder die Softwarekomponenten in ihrer bestehenden Infrastruktur einzusetzen.

Vertrauenswürdige Plattform und Abgrenzung in der Cloud

Die Intel® SecL – DC sollen Lösungen für die folgenden grundlegenden Sicherheitsbedenken von Cloud-Kunden bei der Übertragung ihrer Anwendungen bzw. Workloads in die Cloud erleichtern:

  1. Wie kann man feststellen, ob der Server vertrauenswürdig ist?
  2. Wie kann man steuern, wo die Workloads landen?
  3. Wie kann der Cloud-Service-Provider (CSP) Advanced-Malware-Bedrohungen abwehren?

Diese grundsätzlichen Sicherheitsprobleme verlieren an Gewicht, wenn die Hardware-Sicherheitsfunktionen von Intel® Xeon® Plattformen genutzt werden. Die Intel® SecL – DC dienen dem Aufbau einer vertrauenswürdigen Lösung, die es den Cloud-Nutzern ermöglicht, ihre Anwendungen sicher in der Cloud unterzubringen. Intel® SecL - DC bietet auf der Grundlage dieser grundlegenden Technologien ein höheres Maß an Schutz für Anwendungen und Daten in der Cloud.

In der Hardware verankerte „Vertrauenskette“

Sicherheitslösungen, die auf Hardware-Sicherheitsmechanismen aufbauen, haben gegenüber rein Software-basierten Sicherheitslösungen viele Vorteile. Sie bieten typischerweise stärkere Sicherheit und bessere Leistungseigenschaften. Um Verschlüsselungscodes zu schützen, werden zum Beispiel sehr häufig Hardware-Sicherheitsmodule (HSM) eingesetzt, weil sie den effektivsten Schutz für Schlüssel bieten. Der Nachteil ist, dass diese HSMs sehr teuer sind und nicht so schnell im Rechenzentrum integriert werden können. Daher ist eine ausgewogene Lösung erforderlich, um die Vorteile beider Seiten zu nutzen.

Intel® SecL - DC wurde entwickelt, um die Sicherheitsfunktionen der Plattform-Hardware zu nutzen und ein einfach zu bedienendes Bereitstellungsmodell und vorvalidierte Sicherheitsnutzungen für Cloud Service Provider oder unabhängige Sicherheitsanbieter zur Integration in ihre bestehende Cloud-Infrastruktur bereitzustellen. Auf den Intel-Plattformen gibt es viele Sicherheitstechnologien. die den Bibliotheken und Komponenten der Intel® SecL – DC zugrunde liegen. Die Intel® Sicherheitsbibliotheken für Rechenzentren („DC“) ermöglichen den Anwendern den Einsatz dieser Techniken im großen Maßstab.

Architektur der Intel® SecL – DC

Bei der flexiblen Architektur der Intel® SecL – DC gehören einfache Integration und Bereitstellung zur vorrangigen Zielsetzung. Die Architektur umfasst zwei hauptsächliche Aspekte:

1. Eine Reihe von Bibliotheken, die zentrale Sicherheitsfunktionen bereitstellen, die einfache Software-APIs bereitstellen. Dies bietet Flexibilität für Kunden, die ihre individuellen Lösungen entwickeln wollen.

2. Eine Reihe von Komponenten und Diensten, mit denen einsatzbereite REST-APIs mit integrierten Bibliotheken zur Verfügung stehen

Diese Komponenten und Services durchlaufen die Intel-Standard SDL-Entwicklung und den QS-Test, d.h. alle Intel® SecL - DC-Komponenten und -Bibliotheken wurden vorvalidiert und getestet. Daher können sie vom Endkunden problemlos in bestehende Cloud-Betriebssysteme wie OpenStack* integriert werden, um die Markteinführungszeit ihrer Lösungen zu verkürzen. Jede der Bibliotheken und Komponenten stellt Standard-APIs zur Verfügung und ist in sich geschlossen, um klar definierte Funktionen und Dienste bereitzustellen. Die Anwender genießen dadurch weitreichende Flexibilität bei der Auswahl einer Bibliothek, einer Komponente oder einer Liste von Komponenten, um diese in ihre Cloud-Infrastruktur zu integrieren und die Sicherheit zu verstärken.

Lösungsarchitektur

Die grundlegende Lösungsarchitektur der Intel® SecL – DC ist im folgenden Schaubild dargestellt. Sie besteht in der Hauptsache aus zwei Komponenten. Eine davon ist der Trust-Agent im Netzknoten. Die zweite Komponente ist der Verifizierungsdienst, der auf einer physischen oder virtuellen Maschine oder als Container in der Cloud bereitgestellt werden kann. Der Trust-Agent der Intel® SecL – DC unterstützt Linux und Windows. Der Verifizierungsdienst unterstützt die Verifizierung von Knoten mit Linux-, Windows- und VMware-ESX*-Servern. Allerdings wird auf einem ESX-Host kein Trust-Agent der Intel® SecL – DC eingesetzt. Die beiden Komponenten Trustagent und Verifizierungsdienst beinhalten Servalbibliotheken, die grundlegende Funktionen bereitstellen, die unabhängige Sicherheitsanbieter oder Entwickler für ihre individuellen Lösungen auswählen können.

Intel® Sicherheitsbibliotheken für die Rechenzentrumsarchitektur (Intel® SecL - DC)

Wie bereits bemerkt, werden durch Intel® SecL – DC die zwei grundlegenden Sicherheitsprobleme im Cloud-Computing gelöst – Vertrauen und Kontrolle der Datenhoheit. Mithilfe der Intel® SecL – DC kann festgestellt werden, ob ein Host im Rechenzentrum oder in der Cloud vertrauenswürdig ist. Die Vertrauenswürdigkeit basiert auf den Sicherheitsmechanismen der zugrunde liegenden Plattform, und die Intel® Trusted-Execution-Technik (Intel® TXT) stellt in Verbindung mit einem Trusted-Platform-Modul (TPM) diese Vertrauenswürdigkeit von der Hardware bis in den Software-Stack sicher und überprüft sie. Der im Host auf Betriebssystemebene aktive Trust-Agent kann die Vertrauensbewertung bzw. -messung (Trust Measurement) gesichert ermitteln und schickt das Host-Manifest, das die Bewertung/Messung und das Protokoll (Log) enthält, bei Abruf an den Verifizierungsdienst. Der Host-Verifizierungsdienst vergleicht das Host-Manifest dann mit seinen Vertrauensrichtlinien (Trust Policies), die als Flavor im XML-Format dargestellt sind. Wenn das Host-Manifest einem definierten Flavor entspricht, wird der Host mit einem SAML-Bericht als vertrauenswürdig identifiziert, der von anderer Cloud-Management-Software wie einem Orchestrator verarbeitet werden kann.

Im folgenden Schaubild wird die interne Architektur der Trust-Agents und des Verifizierungsdienstes der Intel® SecL – DC dargestellt, mit der Verifizierung auf der linken und dem Trust-Agent auf der rechten Seite. Jede Komponente ist ein laufender Dienst, der für die Kommunikation sichere REST-APIs bereitstellt. Im Verifizierungsdienst sind verschiedene Bibliotheken integriert – Flavor Library, Verifier Library, SAM Library und Host Connector Library. Der Trustagent integriert die Plattforminfo-Bibliothek und die Tpm Provider-Bibliothek. Neben den Bibliotheken enthält jede Komponente weiteren Integrations-Programmcode, der für den Datenfluss und die Schnittstellen zwischen den Bibliotheken zuständig ist. Einzelheiten zu den Bibliotheken werden in dem nachfolgenden Abschnitt diskutiert.

Intel® Sicherheitsbibliotheken für Rechenzentrumskomponenten (Intel® SecL - DC) und Bibliotheken

Die Benutzerfreundlichkeit und die Flexibilität der Verwaltung sind ein wesentliches Hindernis für die Einführung einer Sicherheitslösung in einem Rechenzentrum oder einer Cloud. Viele Sicherheitslösungen bieten Sicherheitsvorteile, aber oft ist ihre Bereitstellung ein Alptraum für die Endbenutzer. Das Architekturdesign von Intel® SecL - DC wurde mit der Flexibilität des Managements als eines seiner Ziele begonnen.

Zunächst kann der Trustagent mit der Flexibilität (als Teil der Bereitstellungszeit des Hostbetriebssystems, oder später installiert) und in einer späteren Phase bereitgestellt (TPM-Bereitstellung und Bereitstellung von Zertifizierungsdiensten) werden, oder die Bereitstellung und Bereitstellung kann gleichzeitig erfolgen.

Zweitens bietet der Verifizierungsdienst mehr Flexibilität für die Verwaltung der Host-Vertrauensrichtlinie (Whitelist). Die Whitelist wird im XML-Format dargestellt (bei den Intel® SecL – DC Flavor genannt). Die Trusted-BIOS-Version und ihre erwartete Bewertung (Measurement) können als Flavors definiert werden, und vertrauenswürdige Betriebssystemversionen und ihre erwartete Messung können als Betriebssystem-Flavors (OS-Flavors) definiert werden. Alternativ kann die Kombination von BIOS und Betriebssystem als ein Flavor für einen bestimmten Host definiert werden.

Drittens lässt sich auch die Vergleichsrichtlinie (Matching Policy) für die Erkennung, ob ein Host (erwartete BIOS- oder Betriebssystemversion) vertrauenswürdig ist, flexibel definieren. Die Vergleichsrichtlinie kann als Flavor-Gruppe definiert werden und jede Gruppe kann eine eigene Vergleichsrichtlinie haben. Wenn ein Host registriert ist, kann der Host einer Flavor-Gruppe zugeordnet werden, die ihre Gruppenrichtlinie hat. Wenn sich ein Cloud-Administrator zum Beispiel nur dafür interessiert, ob das BIOS vertrauenswürdig ist, dann kann er eine Flavor-Gruppe anlegen, die nur festlegt, dass der BIOS-Flavor-Wert übereinstimmen muss. Oder wenn er eine hostspezifische Richtlinie anwenden möchte, kann er für jeden Host eine Flavor-Gruppe erstellen und eine hostspezifische Richtlinie für diesen bestimmten Host festlegen.

Was die Datenhoheit anbelangt, unterstützen Intel® SecL – DC über die REST-APIs von Trust-Agent und Verifizierungsdienst die Bereitstellung von Asset-Tag-Daten für die verwalteten Hosts. Nach der Bereitstellung kann der Trust-Agent die Asset-Tag-Daten bei Abruf als Teil des Host-Manifest-Reports zur Verifizierung präsentieren. Der Verifizierungsdienst kann die Hostintegrität und die Asset-Informationen bescheinigen und die verifizierten Informationen als SAML-Bericht präsentieren.

Cloud-Orchestrator-Integration

Intel® SecL – DC können leicht in eine bestehende Cloud-Infrastruktur integriert werden, um drängende Probleme in Bezug auf Vertrauenswürdigkeit der Cloud und Datensouveränität zu lösen. Intel® SecL – DC stellen sichere REST-APIs und Plug-ins für die Integration bereit. Das folgende Schaubild stellt dar, wie Intel® SecL – DC und OpenStack* integriert werden können.

In der oberen rechten Ecke von Abb. 3 (Intel® SecL – DC: Architektur der Cloud-Integration) sehen Sie den Cloud-Orchestrator (OpenStack*), der die Hosts in Form von Hypervisoren verwaltet und die Workloads (virtuelle Maschinen) zuteilt. Die Zugehörigkeit ist durch die gestrichelten orangefarbigen Linien angedeutet. Um die Ressourcen innerhalb der bestehenden Cloud-Infrastruktur flexibel und in möglichst geringem Ausmaß zu nutzen, wird eine weitere Komponente, der „Intel® SecL – DC Attestation Hub“ eingeführt. Seine Aufgabe ist es, die SAML-Berichte des Hosts (einschließlich Host-Trust-Status- und Asset-Tag-Informationen) abzurufen und diese Informationen als Varianten oder Treats (abhängig von der Veröffentlichung von OpenStack*) an den Cloud Orchestrator zu übertragen..

Mit den Vertrauensstatus- und Asset-Tag-Angaben, die an den Cloud-Orchestrator übergeben werden, kann der Cloud-Scheduler die Workloads – basierend auf den Hostdaten und der VM-Startrichtlinie – zuteilen. Die Richtlinie kann vorgeben, ob der Workload einem vertrauenswürdigen Host zugewiesen werden und an welchem Standort er sich befinden soll. Die Workload-Richtlinie kann vom Cloud-Administrator vorgegeben oder VM-Image-Metadaten angehängt werden. Im letzteren Fall muss jede VM, die vom Image mit Vertrauens- und Standortrichtlinie gestartet wird, auf einem Host geplant werden, der die Anforderung erfüllt.

ntel® Sicherheitsbibliotheken für die Cloud Integrationsarchitektur des Rechenzentrums (Intel® SecL - DC)

Bibliotheken

Die folgende Tabelle listet die gegenwärtig mit den Intel® SecL – DC gelieferten Bibliotheken. Es gibt zwei Kategorien von Bibliotheken: Eine davon ist die Bibliothek, die auf der Plattform (Node/Server) bereitgestellt werden sollte, um Plattforminformationen zu sammeln und den TPM-Zugriff auf verschiedene Betriebssysteme (Linux und Windows) zu unterstützen. zum anderen die Bibliothek für den Verifizierungsdienst, die hilft, den Host-Status mit der Vertrauensrichtlinie (Flavor) zu definieren, zu verwalten und zu verifizieren.

Bibliotheken

Beschreibung

Dienst-Bibliotheken (Service Libraries)

Host Connector (HCL)

Stellt die Verbindungen zu Hostsystemen unterschiedlichen Typs (Linux, Windows, ESX) her, um Host- und TPM-Quote-Daten abzurufen

Flavor Library (FVL)

Verwaltet Whitelist-Einträge und die Host-Registrierung im Flavor-Format (XML)

Verifier Library (VFL)

Verifiziert durch den Vergleich des vom Host abgerufenen Host-Manifests mit den festgelegten Flavors (Richtlinie), ob ein Host vertrauenswürdig ist

Privacy CA (PCL)

Erzeugt und verwaltet Zertifikate für das TPM, AIK-Zertifikat, Binden und Signieren von Zertifikaten

SAML-Generator (SGL)

Erzeugt Bestätigungsberichte (Attestation Reports) für den Host- oder VM-Bestätigungsstatus im SAML-Format

 

TDT-Dienst

 

Plattform-Bibliotheken

PlatformInfo (PIL)

Erfasst Daten der Host-Hardware (TXT, TPM-Typ oder -Version usw.) sowie Betriebssystemdaten

TpmProvider (TPL)

Stellt bezüglich der TPM-Version (PTT), des dTPM-Typs und des Betriebssystems kohärente APIs für grundlegende TPM-Funktionen bereit

TDT Library  

Diese Bibliotheken bieten Standard-APIs (Application Programming Interfaces), die ein Entwickler in seine Produkte integrieren kann.

Validierte Anwendungsfälle für Intel® SecL – DC V1

Die erste Version der Intel® Security Libraries for Data Centers (Intel® SecL – DC) beinhaltet Lösungen für drei validierte primäre Anwendungsfälle: Bestätigung der Plattformintegrität (Platform Integrity Attestation), Datensouveränität (Data Sovereignty) und Erkennung von Bedrohungen (Threat Detection). Zukünftige Versionen der Intel® SecL – DC werden in Verbindung mit der Einführung neuer Plattformen erscheinen, um neue Sicherheitsfunktionen, die in der Halbleitertechnik von Intel verankert sind, zu ermöglichen. Im Folgenden werden diese drei Anwendungsfälle für die integrierten Sicherheitsmechanismen genauer beschrieben.

Plattformintegrität

Für die Verbreitung des Cloud-Konzepts ist das Vertrauen in die Cloud von fundamentaler Bedeutung. Der grundlegende Anwendungsfall, den Intel® SecL - DC unterstützt, ist die Identifizierung einer Liste von Servern, die vertrauenswürdig sind, basierend auf benutzerdefinierten Varianten. Diese Vertrauenskennung basiert auf Intel® TXT, das die Grundlage für die Messung von der Hardware bildet. Die Intel® SecL – DC bieten ein flexibles System für die Flavor-Definition und die Bestätigung der Vertrauenswürdigkeit von Servern, wie bereits weiter oben im Abschnitt über die Architektur erläutert.

Datenhoheit (Datensouveränität)

Die Intel® SecL – DC ermöglichen die Bereitstellung Trusted-Asset-Tags und Attestation für eine Lösung zur Sicherstellung der Datensouveränität. Jeder verwaltete Host erhält ein Asset-Tag-Zertifikat, das die Host-Daten und weitere Asset-Tag-Informationen wie die Ortsbestimmung (Geolocation) beinhaltet. Das Asset-Tag-Zertifikat kann durch den Verifizierungsdienst mithilfe der bereitgestellten REST-APIs erzeugt werden, und der Hash-Wert des Zertifikats wird an jeden einzelnen Host übertragen und im TPM-NVRAM (Version 1.2 oder 2.0) gespeichert. Wenn der Host neu bootet, wird der Hash-Wert des Asset-Tag-Zertifikats an das TPM-PCR übergeben. Diese Information wird zusammen mit anderen Host-Manifest-Einzelheiten zur Verifizierung an den Verifizierungsdienst geleitet. Falls die Verifizierung erfolgreich verläuft, werden die ausführlichen Asset-Tag-Daten in den SAML-Bericht für den Cloud-Orchestrator eingefügt, damit die Workload-Zuordnung entsprechend den Workload-Richtlinien erfolgt.

Intel® Threat-Detection-Technik (Intel® TDT)

Die Intel® Threat Detection Technology (Intel® TDT) verwendet Low-Level-CPU-Telemetriedaten, um fortgeschrittene Malware-Bedrohungen frühzeitig zu erkennen. Intel® TDT bietet Open-Source-APIs für unabhängige Sicherheitsanbieter und unsere Kunden, um HW-basierte Bedrohungserkennungsfunktionen mit minimalem Aufwand in ihre Sicherheitslösungen zu integrieren. Weiterhin verwendet die Intel® TDT fortgeschrittene, auf maschinellem Lernen (ML) basierende Klassifizierungs- und Modellierungsalgorithmen, um Kenntnis über das Systemverhalten zu erlangen und Profile für Bedrohungen zu entwickeln. Bei Erkennung eines verdächtigen Vorgangs während einer laufenden Anwendung werden Meldungen generiert, die eine weitere Untersuchung und Problembehebung durch die Sicherheitssoftware ermöglichen (Abb. 3). Die TDT-APIs, das Telemetrie-Framework und die ML-Pipeline bieten unabhängigen Sicherheitsanbietern auch die Möglichkeit, ihre eigenen Heuristiken zu erstellen, um zusätzlichen Bedrohungen von Interesse zu begegnen.

Intel® Threat Detection Technology (Intel® TDT) Erweiterte Plattform Telemetrie-Software-Stapel

Weiterentwicklung früherer Initiativen

Vor Intel® SecL - DC wurde die Open Cloud Integrity Technology (Open CIT) als Open-Source-Projekt veröffentlicht, das einige der Basisfunktionen von Intel® SecL - DC unterstützt, allerdings als Premium-Funktionen. Intel® SecL - DC basiert auf den Erfahrungen aus unserer Arbeit mit Open CIT, bringt aber eine verbesserte interne Architektur, eine bessere Abstimmung mit Plattformsicherheitstechnologien, eine funktionsreichere Lösung, eine einfachere Bereitstellung sowie vollständig integrierte und validierte Workload-Nutzungen der wichtigsten Kunden.

Fazit

Intel® SecL – DC bieten Lösungen für Kunden, die ihre Anwendungen in der Cloud schützen wollen und Sicherheitsbedenken haben. Die flexible Architektur von Intel® SecL - DC ermöglicht es unabhängigen Sicherheitsanbietern und CSPs, fortschrittliche Plattformsicherheitstechnologien, die auf Intel-Silizium basieren, einfach zu integrieren und ein beispielloses Sicherheitsniveau zu bieten. Die erste Version beinhaltet als integrierte Sicherheitsanwendungen die Sicherstellung der Plattformintegrität (Platform Attestation) und Datensouveränität sowie die Intel® Threat-Detection-Technik (Intel® TDT). Zukünftige Versionen der Intel® SecL – DC werden noch anspruchsvollere Cloud-Sicherheitslösungen bereitstellen, die auf den Schutz von Daten, den „In-Memory“-Schutz, den Schutz von Anwendungen usw. ausgerichtet sind. Die Intel® SecL – DC werden unter der Free-BSD-Lizenz freigegeben und werden sich auch weiterhin auf die starke offene Entwicklergemeinde stützen, die durch den Vorgänger Open CIT begründet wurde. Die Intel® Sicherheitsbibliotheken für das Rechenzentrum (Intel® SecL – DC) bauen auf die Anwendung der Open CIT auf, ergänzen diese jedoch dank Intel® Threat-Detection-Technik (Intel® TDT) durch fortgeschrittene Funktionen für die Erkennung von Bedrohungen.

ENTDECKEN SIE DIE SKALIERBAREN INTEL® XEON® PROZESSOREN