顺应数字化转型趋势化解“上云”风险，擎天Enclave保障数据安全

化解“上云“风险，擎天Enclave打造更安全的云平台应用环境

《“十四五”数字经济发展规划》中明确提出大力推进产业数字化转型，实施中小企业数字化赋能专项行动。随着数字化技术及应用日趋成熟，当前全行业已经进入数字化全面发展的新时期，数字化在国家层面得到了前所未有的重视和强大推动。

在国家政策和市场环境的双重推动之下，企业上云成为众多企业推动数字化转型的重要突破口，越来越多的企业选择通过上云，迈出数字化转型的第一步。

上云是企业数字化转型的必然趋势，也是提升效率的最佳抓手之一。但是，企业上云并非“一劳永逸”，传统的安全威胁模型无法满足用户对机密数据安全防护的需求，一旦重要云上数据泄露，将会造成严重后果，尤其是涉及高度敏感数据的金融、政企等领域，这也成为部分企业上云的最大阻碍之一。

如何打造更安全的云平台应用环境，保障企业“云上”数据无忧？华为云全新打造的擎天Enclave是为云而生的软硬结合机密计算方案，拥有独立的内核、内存和CPU的隔离空间，它基于父虚拟机对自身内存和vCPU资源进行隔离分配创建而来，没有外部网络连接，也没有持久存储，极大程度的降低了用户处理高度敏感数据的应用程序的攻击面，父虚拟机甚至Hypervisor上的其他进程、程序都无法访问分配隔离给Enclave的内存和vCPU，避免了用户敏感数据被其他用户窃取，因此拥有极致的安全性能。

擎天Enclave安全框架

在实际应用中，ECS的C7e实例内部提供一个可信的隔离空间 (Enclave)，将用户高度敏感的数据以及应用软件封装在其中，保障企业运行时代码和敏感数据的机密性与完整性，减少处理敏感数据应用程序的攻击面，免于外部攻击。擎天Enclave可以有效保护运行在Enclave中的客户应用程序和数据，可以防止恶意的OS特权用户进程（或rootkit）对Enclave应用数据的窃取和篡改。擎天Enclave为开发者提供了易学、易用的机密计算Enclave应用开发模式，用开发者无需依赖特定的编程语言或框架，存量的客户应用也无需重构就可以在Enclave环境中运行。擎天Enclave具体的优势包括以下四类——

云平台可信

擎天系统通过加密技术和系统完整性保护技术来阻止意外的内部物理攻击，擎天虚拟化平台支持强制的数据传输加密、持久化数据加密。

前后端物理隔离

擎天虚拟化平台分为前端系统和后端系统。确保前端运行环境与后端运行环境的硬隔离，因此有效控制了前端系统攻击所导致的安全爆炸半径，阻止攻击渗透到虚拟化后端和底层安全系统。

降低虚机逃逸与运维风险

Hypervisor管理程序功能极为精简，相比传统Hypervisor来说其代码量约为1%，因而极大降低了0day漏洞和虚机逃逸风险。在运维平面的设计上，擎天系统禁用基于SSH的传统运维通道，而使用自动化运维管理API来取代。

阻止内部攻击

擎天平台通过提供Enclave机密计算实例来防止恶意的特权用户进程对Enclave应用和数据的窃取和篡改，从而对运行在Enclave中的客户应用程序和数据提供保护。

除了极致的安全和隔离外，擎天Enclave还可以使用Attestation doc证明身份，从而顺利与外部服务建立信任，拥有密码学证明、更高的灵活性、多Enclave支持、运维自动化等一系列的优势。

“十四五”时期，加快推进企业数字转型已经成为推动我国经济社会高质量发展的新动能和新引擎，企业上云需求爆发的同时，各种安全问题也相继暴露，华为云擎天架构的推出，将有力地引领云基础设施升级，为企业数据上云提供专属安全保障，推动企业和社会的数字化转型进程。

审核编辑 黄昊宇