華為云發布 擎天Enclave ， 四大優勢 保障數據安全 、 化解上云風險

數字化是各種顛覆性技術的堅實基礎，更是企業向未來轉型的基石。數字化時代，企業對數字化轉型認知不斷深入，越來越多的上云需求涌現。

在企業上云的過程中，各種挑戰也接踵而至。一是系統上云復雜性提升，對穩定性提升提出新要求。二是隨著各種云上數據泄露事件發生，傳統的安全威脅模型無法滿足用戶對機密數據安全防護的需求，新安全需求涌現，云上安全機制亟待改進。

針對上述挑戰，華為云全新打造機密計算方案擎天Enclave， “為云而生”的擎天Enclave擁有自己的內核、內存和CPU的隔離空間，基于“硬件信任根”、“可信啟動”、“固件防篡改”、“端到端加密”、“單向控制”等設計原則來構建最小的可信計算基（TCB, Trusted Computing Base），為了提供完全隔離的安全計算環境，QingTian Hypervisor深度重構了虛擬化語義：以Core為粒度的vCPU動態隔離技術，實現Enclave CPU隔離、降低側信道攻擊風險；通過Enclave內存隔離技術，實現用戶高度敏感數據的安全隔離；同時擎天Enclave沒有外部網絡連接，也沒有持久存儲，父虛擬機甚至Hypervisor上的其他進程、程序都無法訪問分配隔離給Enclave的內存和vCPU，極大降低了用戶處理高度敏感數據的應用程序的攻擊面的同時擎天Enclave擁有極致的安全性能。

基于擎天Enclave的特性，其擁有四大優勢**——**

云平臺可信

擎天系統通過加密技術和系統完整性保護技術來阻止意外的內部物理攻擊。擎天虛擬化平臺支持強制的數據傳輸加密、持久化數據加密。

前后端物理隔離

擎天虛擬化平臺分為前端系統和后端系統。確保前端運行環境與后端運行環境的硬隔離，因此有效控制了前端系統攻擊所導致的安全爆炸半徑，阻止攻擊滲透到虛擬化后端和底層安全系統。

降低虛機逃逸與運維風險

擎天Hypervisor管理程序功能極為精簡，相比傳統Hypervisor來說其代碼量約為 1% ，因而極大降低了0day漏洞和虛機逃逸風險。在運維平面的設計上，擎天系統禁用基于SSH的傳統運維通道，而使用自動化運維管理API來取代。

阻止內部攻擊

擎天平臺通過提供Enclave機密計算實例來防止惡意的特權用戶進程對Enclave應用和數據的竊取和篡改，從而對運行在Enclave中的客戶應用程序和數據提供保護。

針對系統軟件風險、平臺安全漏洞、租戶內部攻擊等具體的上云挑戰，擎天Enclave均擁有成熟的解決方案，助力企業無憂上云。以敏感數據處理存儲和身份認證這兩種實際使用場景為例，擎天Enclave是如何賦能企業，提供安全保障？

場景****一：政企行業敏感數據處理存儲

政企行業上云數量增加，因為其行業性質容易成為黑客攻擊目標，A公司公信力高、影響力大，更容易因為信息被篡改造成嚴重打擊和傷害。而且，A公司后臺數據維護，或者存儲圖片、視頻等關鍵文件，一旦受到安全攻擊，可能會被攻擊者植入有害信息。數據在使用過程中，如果受到安全攻擊，可能會被篡改或者非法獲取。

通過擎天Enclave將A公司的高度敏感數據在存儲和使用過程中都保護起來，避免攻擊者的篡改行為，為業務運行提供專屬安全保障。

場景****二：專業的安全認證能力提供身份證明

B公司需要使用高度可用且安全的身份鑒權，對不同交互場景生成身份證明文檔，在不同的場景和運行系統中使用同一套可以靈活配置的驗證系統。

但B公司由于身份驗證業務在不同主機部署場景下，產品的穩定性、資源消耗、威脅檢出等面臨巨大挑戰，若產品的安全防護能力不足，產品運維需要投入巨大精力在產品的二次開發和運維上，無法專注于產品的設計和策略發展。

基于擎天Enclave提供專業的安全認證能力，用戶能夠靈活地自定義安全策略，結合Enclave的密碼學證明attestation doc進行身份認證，協助B公司安全升級。節約安全運維成本，使得業務聚焦于更高級的策略設計與安全治理工作。

在社會數字化轉型需求及政策的共同推動下，中國成為全球云計算市場主要增長區域，國內政企單位、金融行業、醫療行業等千行百業上云需求涌現，進入爆發式增長階段，其背后的上云數據安全也成為企業關注焦點。擎天Enclave能夠通過提供可信的隔離空間(Enclave)，將合法軟件的安全操作封裝在其中，保障企業運行時代碼和數據的機密性與完整性，減少處理敏感數據應用程序的攻擊面，免于外部攻擊，有效保障用戶敏感數據安全、化解上云風險。

審核編輯 黃昊宇