文/段勇帥
01 前言
機密容器（Confidential Containers，簡稱CoCo）是 Cloud Native Computing Foundation（CNCF）Sandbox 項目。目前機密容器項目的核心參與者包括阿里云、AMD、ARM、IBM、Intel、Microsoft、Red Hat、Rivos 等軟件和硬件公司。本次發(fā)布的 CoCo-0.5.0 release 是機密容器社區(qū)成立以來最大規(guī)模的版本更新，共包含八大新特性。其中，阿里云作為項目核心技術(shù)的主要貢獻(xiàn)者，主動發(fā)起/深度參與了該版本中的四項關(guān)鍵特性。云原生和安全可信是龍蜥社區(qū)的八大技術(shù)方向之二，作為理事長單位，阿里云將該機密容器解決方案推廣到龍蜥社區(qū)，并基于龍蜥社區(qū)構(gòu)建開箱即用的機密容器解決方案。
02 云原生機密計算
?
? 文章來源地址http://www.zghlxwxcb.cn/news/detail-431822.html
云原生機密計算基于 CPU 可信執(zhí)行環(huán)境（TEE）技術(shù)，并與云原生容器以及 Kubernetes 技術(shù)結(jié)合，構(gòu)建出新的軟件架構(gòu)。其設(shè)計目的是為運行在不受用戶控制的云計算基礎(chǔ)設(shè)施上的敏感數(shù)據(jù)和應(yīng)用提供安全可信的計算環(huán)境。機密容器項目的目標(biāo)是標(biāo)準(zhǔn)化機密計算在容器技術(shù)層面的實現(xiàn)方式，屏蔽多種 CPU TEE 的底層實現(xiàn)細(xì)節(jié)，在使用體感上保持與使用普通容器進行開發(fā)和部署的一致性，為用戶提供開箱即用的機密計算軟件棧。
那么，機密容器項目致力于以下目標(biāo)：
-
允許云原生應(yīng)用程序所有者定義應(yīng)用程序的安全要求。
-
透明部署無需修改的容器。
-
支持多種 TEE 和硬件平臺。
-
將云服務(wù)提供商（CSP）與用戶應(yīng)用程序隔離的信任模型。
-
在 Kubernetes 集群管理功能中實踐最小特權(quán)原則，以保障 TEE 內(nèi) APP 和數(shù)據(jù)的隱私性與安全性。
可以在《Confidential Containers：云原生機密計算基礎(chǔ)設(shè)施》查看更多云原生機密計算的相關(guān)介紹。
03 機密容器社區(qū) 0.5.0 版本
本次機密容器社區(qū)發(fā)布的 0.5.0 release 包含以下八項新特性：
-
發(fā)布基于 Intel SGX 硬件的進程級機密容器完整解決方案 Enclave-CC。
-
發(fā)布 KBS Resource URI 方案。標(biāo)識創(chuàng)建和使用機密環(huán)境時的所有機密資源。
-
不同的 KBC 共享鏡像加密格式，實現(xiàn)加密鏡像互通。
-
支持通用密鑰代理系統(tǒng)（KBS）。該系統(tǒng)包括 KBS 本身，它依賴于 Attestation Service（AS）進行證據(jù)驗證。AS 參考值由 Reference Value Provider Service（RVPS）提供。
-
向 CoCo operator 添加了遠(yuǎn)程管理程序支持。這有助于在本地或在云服務(wù)提供商基礎(chǔ)設(shè)施上將容器創(chuàng)建為“peer pods”。
-
支持使用 K8S Annotations 進行 AMD SEV 機密容器的配置。
-
CI/CD 支持 AMD SEV-ES 硬件平臺。
-
一些開發(fā)中的 SEV-SNP 組件可以在無需 attestation 的情況下手動啟用，以測試 SNP 容器。
?通用遠(yuǎn)程證明（Remote Attestation）是機密容器項目的一項核心工作。在 CoCo-0.5.0 release 中，遠(yuǎn)程證明主要包含兩個組件群，即位于云端的 Attestation Agent 和位于租戶側(cè)的 CoCo-AS。其中，Attestation Agent 執(zhí)行 Attester 的功能，按照請求向租戶側(cè)提供各種服務(wù) API。CoCo-AS 則是部署在可信端的集群服務(wù)，由執(zhí)行 Verifier 功能的Attestation Service和執(zhí)行 Relying Party 功能的 Key Broker Service 組成，可以幫助用戶驗證遠(yuǎn)程 TEE 工作負(fù)載是否運行在真實、可信、預(yù)期的軟硬件環(huán)境中。并且在驗證通過后，其負(fù)責(zé)進行安全響應(yīng)，如注入機密數(shù)據(jù)（如解密密鑰）、發(fā)行令牌證明 TEE 的可信度等。
上述各組件在本次發(fā)布的版本中都有較大更新，具體功能如下：
Attestation Agent（AA）。AA 是運行在云端TEE環(huán)境中的一個組件，負(fù)責(zé)在 TEE 啟動時獲取可信計算基（TCB）的證明信息，包括可信硬件的信息和所有軟件組件的度量值。以上證明信息均由 CPU 內(nèi)部的可信硬件密鑰簽名，無法竊取和篡改。并且AA通過其內(nèi)部組件Key Broker Client（KBC）與對應(yīng)的 KBS 建立連接，從而獲得可信服務(wù)或 KBS 的資源。AA 目前提供基于遠(yuǎn)程證明的多項功能，如容器鏡像解密、機密資源注入等，并且機密資源均由 KBS Resource URI 唯一索引。
Key Broker Service（KBS）。KBS 是 CoCo-AS 的前端 Web 服務(wù)器，它提供HTTPS RESTful API 接收來自 AA 的請求，包括獲取機密資源和獲取認(rèn)證令牌等。在實現(xiàn)上，KBS 與 AS 交互，并將 AA 提供的證明信息轉(zhuǎn)發(fā)給 AS 進行驗證。驗證通過后，KBS 再將請求轉(zhuǎn)發(fā)給相應(yīng)的內(nèi)部模塊處理。KBS 目前集成了一個用于維護機密資源的代理模塊和一個用于發(fā)布證明令牌的功能模塊。
Attestation Service（AS）。AS 由租戶運行，用于驗證來自 AA、由硬件密鑰簽名的證明信息。AS 提供三項功能：允許租戶配置個性化的鑒權(quán)認(rèn)證策略、驗證不同類型硬件的證明信息以支撐復(fù)雜的策略配置、提供個性化組件參考值。其中最后一項功能由 RVPS 實現(xiàn)。
Reference Value Provider Service（RVPS）。RVPS 位于租戶端，處理軟件供應(yīng)鏈產(chǎn)生的軟件元數(shù)據(jù)，驗證其合法性并提取其中記錄的參考值/哈希值用于遠(yuǎn)程證明。它采用插件方式支持多種供應(yīng)鏈元數(shù)據(jù)格式。目前已經(jīng)支持 in-toto link & layout v0.9。此外，RVPS 采用模塊化的存儲方式，將經(jīng)過驗證的參考值存儲在后端存儲引擎中，供 AS 查詢。
04 后續(xù)開發(fā)規(guī)劃與產(chǎn)品化推廣
基于 CoCo-0.5.0 release，機密計算社區(qū)也總結(jié)出需要持續(xù)開發(fā)的功能，并根據(jù)優(yōu)先度詳細(xì)規(guī)劃了開發(fā)路線圖。例如，KBS token 的生成與驗證功能，KBS 從 KMS 獲取密鑰，機密計算社區(qū)的參考值發(fā)布規(guī)則等，都在未來版本的功能規(guī)劃中。
在將機密容器解決方案推廣至龍蜥社區(qū)時，龍蜥社區(qū)也將沿著 runC（普通容器）->runD（安全容器）->runE（機密容器）的演進路徑推進，并整合云原生套件和機密容器相關(guān)組件，構(gòu)建開源的、開箱即用機密容器解決方案。截止 CoCo-0.5.0 release 發(fā)布，kata-cc、enclave-cc、安全鏡像等多項核心項目已成功適配 Anolis OS，《云原生機密計算最佳實踐白皮書》也在積累打磨后發(fā)布。在未來，機密計算社區(qū)也將圍繞機密計算核心項目，構(gòu)建云原生機密計算開源技術(shù)棧，降低機密計算的使用門檻，推動云原生場景下的機密計算技術(shù)的發(fā)展。
相關(guān)鏈接：
CoCo-0.5.0 release文檔：https://github.com/confidential-containers/documentation/blob/main/releases/v0.5.0.md
龍蜥社區(qū)云原生 SIG 主頁：https://openanolis.cn/sig/cloud-native
龍蜥社區(qū)云原生機密計算 SIG 主頁：https://openanolis.cn/sig/coco
機密容器 github 鏈接地址：https://github.com/confidential-containers
云原生機密計算最佳實踐白皮書：https://openanolis.cn/confidentialComputing
—— 完 ——
為給大家提供更好的內(nèi)容和服務(wù)，龍蜥社區(qū)誠摯地邀請大家參與問卷調(diào)研，請掃描下方二維碼或點此鏈接填寫， 我們將篩選出優(yōu)質(zhì)反饋，送出龍蜥周邊！文章來源：http://www.zghlxwxcb.cn/news/detail-431822.html
?
到了這里，關(guān)于Confidential Containers發(fā)布0.5.0版本，龍蜥將基于八大特性構(gòu)建開箱即用的機密容器解決方案的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
