La protección de datos confiable es un objetivo de larga data en la informática y un requisito a menudo establecido por los usuarios finales y la legislación. Dos tecnologías de protección de datos llevan un tiempo entre nosotros, protegiendo los datos en diferentes etapas. Estos son:

1. Protección de datos en Tránsito . Cuando los datos se transfieren a través de la red, se protegen con mecanismos de autenticación y cifrado de red. Los protocolos populares utilizados hoy en día incluyen Transport Layer Security (TLS) y Secure Shell (SSH).
2. Protección de datos en Reposo . Cuando los datos se almacenan en el disco, se protegen mediante las funciones de cifrado de disco de los distintos sistemas operativos. En Linux, las herramientas elegidas son dm_crypt para cifrado y dm_integrity para protección de integridad. También hay dm_verity disponible para verificación de datos.

Lo que faltaba hasta ahora es un conjunto de tecnologías para proteger los datos mientras las aplicaciones los utilizan. Para utilizar datos, es necesario descifrarlos y cargarlos en la memoria principal. Los datos no cifrados son un objetivo mucho más fácil para los actores malintencionados.

En los últimos años, se agregaron tecnologías para proteger los datos en uso a los procesadores modernos para cerrar esta brecha en la protección de datos. Una de las primeras tecnologías fue Intel® SGX, que proporciona un entorno de ejecución confiable (TEE) seguro dentro de una aplicación existente.

SGX es una excelente manera de proteger los datos en uso, pero requiere cambios en la capa de aplicación. Los procesadores Intel® más nuevos agregan otra función de protección de datos: Trusted Domain Extensions (TDX). TDX se basa en la virtualización de hardware y permite la ejecución de sistemas operativos completos dentro de un TEE. Con TDX no se necesitan cambios en la capa de aplicación para que pueda brindar protección de datos en uso a un conjunto mucho más amplio de cargas de trabajo.

¿Qué es Intel® TDX?

Intel® Trusted Domain Extensions permite ejecutar una máquina virtual dentro de un entorno de ejecución confiable. Se implementan varias protecciones desde el lado del hardware. La máquina virtual protegida también se denomina dominio de confianza (TD). TDX proporciona:

1. Cifrado de memoria . Toda la memoria utilizada por el TD está cifrada por el hardware de una manera que no permite el acceso desde el software que se ejecuta fuera del TEE, por ejemplo, el hipervisor del host. El controlador de memoria implementa un cifrado AES-128 sólido y la CPU solo permite el acceso a datos no cifrados del software que se ejecuta en el TEE. El sistema operativo del TD puede decidir hacer visible parte de la memoria para el host. Esto es necesario para la comunicación entre el TD y el hipervisor.
2. Registrar cifrado . Además de la memoria del TD, también el estado de sus registros está cifrado y protegido contra el acceso o modificación por parte del hipervisor. Esto impide el acceso a los secretos almacenados en los registros TD y ataca su flujo de ejecución.
3. Integridad de la memoria . El hardware también protege el TD de ataques contra el contenido de su memoria cifrada, es decir, ataques de reproducción y reasignación. Con estos ataques, el hipervisor podría reproducir datos cifrados antiguos o asignar datos cifrados a una dirección diferente. Estos ataques podrían secuestrar el flujo de ejecución del TD y engañarlo para que revele secretos. Intel® TDX protege contra estos ataques desde el lado del hardware haciéndolos detectables desde el interior del TD.

Soporte de Linux para Intel® TDX: presente y futuro

Intel® TDX permite que las cargas de trabajo se ejecuten con protección de datos en uso sin cambios en la capa de aplicación. Pero configurar y ejecutar un sistema operativo dentro del TD requiere varios cambios en la pila de virtualización del host y en el sistema operativo invitado.

Presente:

El kernel de Linux ascendente admite la ejecución en un dominio de confianza Intel® desde la versión 5.19. Los ingenieros de SUSE han trasladado el código a SUSE Linux Enterprise 15-SP5 y openSUSE Leap 15.5.

A partir de estas versiones, las distribuciones de SUSE se pueden utilizar como sistema operativo invitado en un dominio de confianza.

Futuro:

Si bien la ejecución como TD invitado es compatible desde hace bastante tiempo, la compatibilidad con el uso de Linux como sistema operativo host que ejecuta Trusted Domains aún no se ha fusionado con el kernel principal de Linux ni con las partes superiores de la pila de virtualización.

Estos parches aún están en discusión y probablemente se fusionarán con sus proyectos upstream durante el próximo año. Sin embargo, dado que los parches no son originales, todavía no se pueden incluir en una distribución de SUSE Enterprise.

Intel® TDX y SUSE

Prueba de Intel® TDX con SUSE Linux Enterprise Server

Para los usuarios y clientes con acceso a hardware compatible con TDX, en SUSE ofrecemos paquetes de demostración de los componentes clave necesarios para configurar un entorno de hipervisor TDX. Los paquetes están creados para SUSE Linux Enterprise Server 15-SP5 y openSUSE Leap 15.5 e incluyen el kernel de Linux, QEMU y el firmware virtual para dominios confiables (TDVF). Con estos paquetes instalados en una máquina compatible con TDX, nuestros usuarios y clientes pueden probar la protección proporcionada por un TD y experimentar con esta nueva tecnología.

Hay documentación adicional disponible que explica en detalle cómo configurar la imagen del host y del invitado para ejecutar un dominio de confianza con SUSE Linux Enterprise Server u openSUSE Leap. La documentación se puede encontrar en nuestro repositorio tdx-demo en GitHub: https://github.com/SUSE/tdx-demo/blob/main/INSTALL-SLES-15-SP5.md .

Compatibilidad con Intel® TDX en futuras distribuciones de SUSE

Hoy proporcionamos paquetes de demostración experimentales para configuraciones de host TDX para SUSE Linux Enterprise Server 15-SP5 y openSUSE Leap 15.5. Estos paquetes son sólo para experimentación y pruebas, ya que se proporcionan sin ningún tipo de soporte.

Pero este no es el final del camino. Con los parches TDX fusionados en sus respectivos repositorios ascendentes, los ingenieros de SUSE los integrarán en nuestras distribuciones y eliminarán la necesidad de instalar paquetes adicionales.

El plan actual es proporcionar soporte de host Intel® TDX con estado Technology Preview en SUSE Linux Enterprise Server 15-SP6 y soporte empresarial completo en SUSE Linux Enterprise Server 15-SP7 y otros productos futuros.