Qu'est-ce que l'informatique confidentielle et pourquoi est-elle importante ?
Un effort à l’échelle de l’industrie est en cours pour établir des normes autour de l’informatique confidentielle . F5 estime que l’informatique confidentielle constitue une avancée importante dans la protection de la vie privée et la préservation de la confidentialité des données.
Qu'est-ce que l'informatique confidentielle ?
L'informatique confidentielle est une technologie qui protège les données pendant leur traitement.
Bien que la cryptographie (chiffrement et déchiffrement) soit depuis longtemps appliquée à la protection des données en vol et au repos, peu d’attention a été accordée à la protection des données pendant le traitement en raison de la dégradation des performances et des implications sur le développement des applications. Les progrès réalisés en matière de conception matérielle et système le rendent désormais possible. L'informatique confidentielle résout le défi du cryptage des données en cours d'utilisation en utilisant un environnement d'exécution fiable basé sur le matériel et hautement performant qui ne nécessite aucune modification des applications.
Pourquoi l’informatique confidentielle est-elle importante ?
Les efforts en matière d’informatique confidentielle sont nés d’un besoin de confidentialité et de protection des données sensibles lors de l’exécution de charges de travail dans des environnements de cloud computing. Les secteurs hautement réglementés, qui sont sujets à de lourdes sanctions même en cas de violation accidentelle, ont longtemps été réticents à migrer vers le cloud en raison d’un manque, perçu ou non, de confidentialité et d’une incapacité à surveiller ou à se défendre contre les menaces internes dans un environnement de cloud public.
À mesure que de plus en plus d’organisations déplacent leurs charges de travail de traitement de données vers la périphérie, les plateformes de périphérie devront également prendre en charge l’informatique confidentielle pour protéger ces données. Comme le cloud computing, la nature multi-locataire de l'edge computing soulève des problèmes de confidentialité pour les clients qui peuvent être résolus par un calcul confidentiel.
L’informatique confidentielle offre aux organisations de tous les secteurs une certaine confiance dans la confidentialité et la sécurité de leurs données. Cela est particulièrement important pour les entreprises technologiques, mais à mesure que les organisations progressent vers le numérique et que les données deviennent essentielles à leur activité, on s'attend à ce qu'une plus grande partie du marché adopte l'informatique confidentielle pour protéger les données, y compris tous les types d'artefacts de code, pendant le traitement.
La vulnérabilité des données utilisées a toujours été présente, mais l’essor de Spectre et de Meltdown a mis en évidence la réalité du processeur en tant que surface d’attaque. Comme Bruce Schneier l’a décrit dans son article :
« Spectre et Meltdown ne sont pas des anomalies. Ils représentent un nouveau domaine dans lequel rechercher des vulnérabilités et une nouvelle voie d’attaque. Ils représentent l’avenir de la sécurité, et la situation ne s’annonce pas bien pour les défenseurs.
Un certain nombre d’attaques (menaces persistantes avancées, grattage de RAM et environnements système compromis) représentent toutes une menace bien réelle pour les données laissées sans protection pendant le traitement. Bien que l’informatique confidentielle n’empêche pas les attaques d’exécution spéculative comme Spectre, elle rend leur exécution réussie beaucoup plus difficile.
Cela est dû à la nature de l’informatique confidentielle, qui se concentre sur le cryptage des processus de traitement des données à l’aide d’une clé de cryptage codée en dur dans le processeur, ce qui rend beaucoup plus difficile pour d’autres processus de « s’introduire » et d’obtenir une visibilité sur les données. Le cryptage des données rendrait leur traitement impossible, cette approche sécurise donc l'accès aux données.
Comment F5 utilise-t-il l’informatique confidentielle ?
En tant qu'entreprise de sécurité, F5 n'est pas disposée à confier la responsabilité de protéger les données, la propriété intellectuelle et le code source de F5 aux normes rigoureuses attendues par nos clients. Notre code source est le cœur de nos produits et services, qui fournissent et protègent des milliards de transactions chaque jour. Mais comme la plupart des organisations, nous souhaitons également profiter de tous les avantages que l’infrastructure d’un fournisseur de cloud peut apporter.
Pour rendre cela possible, le groupe Common Engineering du bureau du CTO de F5, ainsi que l'équipe de cybersécurité de F5, ont adopté une architecture informatique confidentielle pour protéger le code source, les données et les clés sensibles de F5 dans l'infrastructure cloud contre l'accès de tiers, y compris les fournisseurs de services cloud. Cela inclut une plate-forme cloud sécurisée accessible uniquement par le personnel de F5 qui garantit la confidentialité, l'intégrité et la disponibilité de la propriété intellectuelle, des données et d'autres actifs de F5 tout au long du cycle de vie du développement logiciel. Nous avons choisi de nous associer à Microsoft Azure et de tirer parti de leur plateforme de calcul confidentielle pour fournir ces services essentiels à l'ensemble de l'ingénierie F5.
L’informatique confidentielle nous donne la confiance nécessaire pour tirer parti du cloud sans compromettre notre promesse envers nos clients de prendre la sécurité au sérieux.