當(dāng)保護(hù)數(shù)據(jù)時(shí)，人們傾向于考慮兩種狀態(tài)之一——靜止?fàn)顟B(tài)和傳輸狀態(tài)——這兩種狀態(tài)都可以被加密或標(biāo)記以保護(hù)它們。但那些正在使用的數(shù)據(jù)呢?那些被算法分析或被企業(yè)員工查看的數(shù)據(jù)呢?如果這些正在使用的數(shù)據(jù)駐留在邊緣或物聯(lián)網(wǎng)環(huán)境中，而這些環(huán)境通常是不受控制的，會(huì)發(fā)生什么呢?

　　在某些情況下，企業(yè)可以像保護(hù)其他實(shí)體和數(shù)字基礎(chǔ)設(shè)施一樣保護(hù)正在使用的數(shù)據(jù)。他們可以限制物理訪問(wèn)他們的辦公室，可以使用無(wú)數(shù)的工具來(lái)檢測(cè)對(duì)他們的計(jì)算機(jī)、服務(wù)器或云部署的網(wǎng)絡(luò)安全威脅。例如，當(dāng)使用實(shí)時(shí)分析平臺(tái)來(lái)監(jiān)控已部署應(yīng)用中的異常日志，或使用批量分析市場(chǎng)數(shù)據(jù)來(lái)更好地了解客戶趨勢(shì)時(shí)，這些措施就派上用場(chǎng)了。

　　但越來(lái)越多的公司不僅在邊緣設(shè)備上部署了更多的設(shè)備，而且還要求這些設(shè)備進(jìn)行更多的計(jì)算，比如對(duì)輸入的傳感器數(shù)據(jù)運(yùn)行機(jī)器學(xué)習(xí)(ML)算法，以做出自主決策。例如，如果遠(yuǎn)程機(jī)器上的設(shè)備達(dá)到潛在危險(xiǎn)的狀態(tài)，它可能會(huì)自動(dòng)使系統(tǒng)脫機(jī)。邊緣設(shè)備通常位于偏遠(yuǎn)的位置或公共環(huán)境中，幾乎不可能像標(biāo)準(zhǔn)發(fā)布的數(shù)據(jù)中心那樣進(jìn)行監(jiān)控和保護(hù)。

　　這就引出了一個(gè)問(wèn)題:但是，隨著越來(lái)越多的計(jì)算發(fā)生在邊緣地帶，企業(yè)將如何保護(hù)他們正在使用的數(shù)據(jù)不被危險(xiǎn)的窺探者發(fā)現(xiàn)?

　　保護(hù)使用中的數(shù)據(jù)與機(jī)密計(jì)算

　　一種可行的解決方案是機(jī)密計(jì)算，它使用特殊的硬件將部分或全部數(shù)據(jù)、特定功能甚至整個(gè)應(yīng)用程序與系統(tǒng)的其他部分隔離開來(lái)。這種硬件為數(shù)據(jù)、函數(shù)或應(yīng)用程序創(chuàng)建了一個(gè)可信的執(zhí)行環(huán)境(TEE，有時(shí)稱為飛地)，而操作系統(tǒng)的其他部分無(wú)法查看這些數(shù)據(jù)、函數(shù)或應(yīng)用程序——即使使用調(diào)試器，即使操作系統(tǒng)本身受到損害。TEE拒絕運(yùn)行任何被修改過(guò)的代碼，比如注入惡意軟件。

　　機(jī)密計(jì)算可以確保內(nèi)存信息的安全，不僅不會(huì)受到網(wǎng)絡(luò)安全威脅，也不會(huì)受到第三方的威脅，這些第三方負(fù)責(zé)運(yùn)營(yíng)企業(yè)基礎(chǔ)設(shè)施的其他關(guān)鍵任務(wù)，比如公共云提供商及其員工。

　　越來(lái)越多的公共云提供商正在提供機(jī)密計(jì)算，但增長(zhǎng)緩慢，因?yàn)樵趪?yán)格控制的硬件和軟件關(guān)系中實(shí)現(xiàn)可靠的TEE非常復(fù)雜。但當(dāng)它發(fā)揮作用時(shí)，機(jī)密計(jì)算可以幫助企業(yè)保護(hù)他們的數(shù)據(jù)，并更好地利用敏感的工作負(fù)載，無(wú)論它們可能被收集和存儲(chǔ)在哪里。

　　將機(jī)密計(jì)算帶到邊緣的價(jià)值

　　邊緣的機(jī)密計(jì)算還處于相對(duì)初級(jí)階段，但在這些不安全和不穩(wěn)定的環(huán)境中，它的明確價(jià)值是毋庸置疑的。

　　具有靈活性的氣隙硬件的安全性：在高度管制環(huán)境中運(yùn)營(yíng)的公司在沒(méi)有機(jī)密計(jì)算的情況下根本無(wú)法部署邊緣計(jì)算——數(shù)據(jù)丟失和網(wǎng)絡(luò)攻擊的風(fēng)險(xiǎn)太大了。但是有了TEE來(lái)保護(hù)他們的工作負(fù)載，他們突然有了新的機(jī)會(huì)來(lái)收集實(shí)時(shí)數(shù)據(jù)，監(jiān)控他們的操作環(huán)境，或者為他們的客戶提供更多的深度和上下文。

　　與合作伙伴安全地共享數(shù)據(jù)：機(jī)密計(jì)算可以根據(jù)觀察數(shù)據(jù)的人來(lái)隔離敏感數(shù)據(jù)集的特定部分，這使得多個(gè)利益相關(guān)者(即使是在不同的公司)可以查看共享數(shù)據(jù)的相關(guān)部分。工業(yè)操作可以讓制造他們機(jī)器的制造商訪問(wèn)特定的傳感器信息，而不暴露任何專有信息。

　　保護(hù)算法或其他知識(shí)產(chǎn)權(quán)：有了機(jī)密計(jì)算，一家軟件開發(fā)公司創(chuàng)建了一個(gè)用于邊緣計(jì)算的復(fù)雜的ML算法，現(xiàn)在可以在TEE中保護(hù)他們的專有代碼，在TEE中，沒(méi)有人——即使是他們所幫助的值得信任的客戶——可以窺視“黑匣子”，弄清楚它是如何工作的。

　　有些公司不想知道、收集或存儲(chǔ)關(guān)于他們的客戶或合作伙伴的某些事情。機(jī)密計(jì)算，無(wú)論是在邊緣還是在數(shù)據(jù)中心，提供了硬件級(jí)別的保證，每個(gè)人都只能看到為他們?cè)O(shè)計(jì)的東西。

　　是什么阻礙了邊緣機(jī)密計(jì)算?

　　如果這項(xiàng)技術(shù)如此強(qiáng)大，為什么不在所有的云計(jì)算和邊緣環(huán)境中都適用呢?為什么它不是默認(rèn)值?

　　如前所述，開發(fā)硬件TEEs是一項(xiàng)極為復(fù)雜的任務(wù)。IBM云、Azure和谷歌云平臺(tái)都提供了一定程度的機(jī)密計(jì)算，這要?dú)w功于諸如第二代AMD EPYC?cpu和英特爾Xeon cpu等提供英特爾SGX(軟件保護(hù)擴(kuò)展)技術(shù)的cpu。但是這些仍然是特殊的VMs，而不是標(biāo)準(zhǔn)的計(jì)算環(huán)境。

　　機(jī)密計(jì)算聯(lián)盟(CCC)也于2019年成立，以定義行業(yè)標(biāo)準(zhǔn)并推廣開源工具。大行業(yè)人士的支持,如AMD,谷歌、IBM和Red Hat,英特爾、微軟和VMware,雖然它是發(fā)布了一個(gè)軟件開發(fā)工具包(SDK)和Red Hat Enarx-an運(yùn)行應(yīng)用程序的開源框架在TEEs-all上述部署在公共云發(fā)生以外的財(cái)團(tuán)。

　　所有這些都意味著，在被廣泛采用之前，處于邊緣的機(jī)密計(jì)算還有很長(zhǎng)的路要走，但是現(xiàn)在是讓您和您的團(tuán)隊(duì)熟悉新的框架和軟件開發(fā)過(guò)程的好時(shí)機(jī)。嘗試它們，在您選擇的公共云中應(yīng)用它們，并為邊緣的機(jī)密未來(lái)做好準(zhǔn)備。