當保護數(shù)據(jù)時，人們傾向于考慮兩種狀態(tài)之一——靜止狀態(tài)和傳輸狀態(tài)——這兩種狀態(tài)都可以被加密或標記以保護它們。但那些正在使用的數(shù)據(jù)呢?那些被算法分析或被企業(yè)員工查看的數(shù)據(jù)呢?如果這些正在使用的數(shù)據(jù)駐留在邊緣或物聯(lián)網(wǎng)環(huán)境中，而這些環(huán)境通常是不受控制的，會發(fā)生什么呢?

　　在某些情況下，企業(yè)可以像保護其他實體和數(shù)字基礎(chǔ)設(shè)施一樣保護正在使用的數(shù)據(jù)。他們可以限制物理訪問他們的辦公室，可以使用無數(shù)的工具來檢測對他們的計算機、服務(wù)器或云部署的網(wǎng)絡(luò)安全威脅。例如，當使用實時分析平臺來監(jiān)控已部署應(yīng)用中的異常日志，或使用批量分析市場數(shù)據(jù)來更好地了解客戶趨勢時，這些措施就派上用場了。

　　但越來越多的公司不僅在邊緣設(shè)備上部署了更多的設(shè)備，而且還要求這些設(shè)備進行更多的計算，比如對輸入的傳感器數(shù)據(jù)運行機器學習(ML)算法，以做出自主決策。例如，如果遠程機器上的設(shè)備達到潛在危險的狀態(tài)，它可能會自動使系統(tǒng)脫機。邊緣設(shè)備通常位于偏遠的位置或公共環(huán)境中，幾乎不可能像標準發(fā)布的數(shù)據(jù)中心那樣進行監(jiān)控和保護。

　　這就引出了一個問題:但是，隨著越來越多的計算發(fā)生在邊緣地帶，企業(yè)將如何保護他們正在使用的數(shù)據(jù)不被危險的窺探者發(fā)現(xiàn)?

　　保護使用中的數(shù)據(jù)與機密計算

　　一種可行的解決方案是機密計算，它使用特殊的硬件將部分或全部數(shù)據(jù)、特定功能甚至整個應(yīng)用程序與系統(tǒng)的其他部分隔離開來。這種硬件為數(shù)據(jù)、函數(shù)或應(yīng)用程序創(chuàng)建了一個可信的執(zhí)行環(huán)境(TEE，有時稱為飛地)，而操作系統(tǒng)的其他部分無法查看這些數(shù)據(jù)、函數(shù)或應(yīng)用程序——即使使用調(diào)試器，即使操作系統(tǒng)本身受到損害。TEE拒絕運行任何被修改過的代碼，比如注入惡意軟件。

　　機密計算可以確保內(nèi)存信息的安全，不僅不會受到網(wǎng)絡(luò)安全威脅，也不會受到第三方的威脅，這些第三方負責運營企業(yè)基礎(chǔ)設(shè)施的其他關(guān)鍵任務(wù)，比如公共云提供商及其員工。

　　越來越多的公共云提供商正在提供機密計算，但增長緩慢，因為在嚴格控制的硬件和軟件關(guān)系中實現(xiàn)可靠的TEE非常復(fù)雜。但當它發(fā)揮作用時，機密計算可以幫助企業(yè)保護他們的數(shù)據(jù)，并更好地利用敏感的工作負載，無論它們可能被收集和存儲在哪里。

　　將機密計算帶到邊緣的價值

　　邊緣的機密計算還處于相對初級階段，但在這些不安全和不穩(wěn)定的環(huán)境中，它的明確價值是毋庸置疑的。

　　具有靈活性的氣隙硬件的安全性：在高度管制環(huán)境中運營的公司在沒有機密計算的情況下根本無法部署邊緣計算——數(shù)據(jù)丟失和網(wǎng)絡(luò)攻擊的風險太大了。但是有了TEE來保護他們的工作負載，他們突然有了新的機會來收集實時數(shù)據(jù)，監(jiān)控他們的操作環(huán)境，或者為他們的客戶提供更多的深度和上下文。

　　與合作伙伴安全地共享數(shù)據(jù)：機密計算可以根據(jù)觀察數(shù)據(jù)的人來隔離敏感數(shù)據(jù)集的特定部分，這使得多個利益相關(guān)者(即使是在不同的公司)可以查看共享數(shù)據(jù)的相關(guān)部分。工業(yè)操作可以讓制造他們機器的制造商訪問特定的傳感器信息，而不暴露任何專有信息。

　　保護算法或其他知識產(chǎn)權(quán)：有了機密計算，一家軟件開發(fā)公司創(chuàng)建了一個用于邊緣計算的復(fù)雜的ML算法，現(xiàn)在可以在TEE中保護他們的專有代碼，在TEE中，沒有人——即使是他們所幫助的值得信任的客戶——可以窺視“黑匣子”，弄清楚它是如何工作的。

　　有些公司不想知道、收集或存儲關(guān)于他們的客戶或合作伙伴的某些事情。機密計算，無論是在邊緣還是在數(shù)據(jù)中心，提供了硬件級別的保證，每個人都只能看到為他們設(shè)計的東西。

　　是什么阻礙了邊緣機密計算?

　　如果這項技術(shù)如此強大，為什么不在所有的云計算和邊緣環(huán)境中都適用呢?為什么它不是默認值?

　　如前所述，開發(fā)硬件TEEs是一項極為復(fù)雜的任務(wù)。IBM云、Azure和谷歌云平臺都提供了一定程度的機密計算，這要歸功于諸如第二代AMD EPYC?cpu和英特爾Xeon cpu等提供英特爾SGX(軟件保護擴展)技術(shù)的cpu。但是這些仍然是特殊的VMs，而不是標準的計算環(huán)境。

　　機密計算聯(lián)盟(CCC)也于2019年成立，以定義行業(yè)標準并推廣開源工具。大行業(yè)人士的支持,如AMD,谷歌、IBM和Red Hat,英特爾、微軟和VMware,雖然它是發(fā)布了一個軟件開發(fā)工具包(SDK)和Red Hat Enarx-an運行應(yīng)用程序的開源框架在TEEs-all上述部署在公共云發(fā)生以外的財團。

　　所有這些都意味著，在被廣泛采用之前，處于邊緣的機密計算還有很長的路要走，但是現(xiàn)在是讓您和您的團隊熟悉新的框架和軟件開發(fā)過程的好時機。嘗試它們，在您選擇的公共云中應(yīng)用它們，并為邊緣的機密未來做好準備。