数据泄露层出不穷，擎天Enclave如何守住数据安全的“大门”

华为云推出擎天Enclave聚焦数据安全，为企业“上云”保驾护航

在千行百业数字化转型的浪潮中，数据要素正成为企业发展不可或缺的核心生产要素，关系到企业安全、价值释放等多个方面，因此，数据安全是数字经济长期稳定发展的重要保障。

但在数字化从“大厂”席卷中小企业的过程中，业务数据规模越来越大，加之许多中小企业对于数据安全的保护意识不到位、技术实力有限，数据泄露风险也随之上升。近年来频繁发生的数据泄露案例、病毒勒索事件，越来越成为中小企业上云的阻碍。

随着黑产业链逐渐形成，勒索病毒攻击的对象不再仅限于中小企业，更多中大型企业也开始“中招”。而且，企业上云不仅存在被勒索病毒攻击这单一风险，运维者窃取数据、数据计算时失去保护、企业竞争与合作带来数据共享与数据保护间的矛盾等等一系列风险均存在。

行业专家认为，数据安全风险事件的爆发，归根结底在于产品本身可能就存在漏洞。因此，对于企业来说，产品的选择就尤为重要。近日，华为云打造了全新软硬结合机密计算方案擎天Enclave，“为云而生”的擎天Enclave拥有自己的内核、内存和CPU的隔离空间，基于“硬件信任根”、“可信启动”、“固件防篡改”、“端到端加密”、“单向控制”等设计原则来构建最小的可信计算基（TCB, Trusted Computing Base），为了提供完全隔离的安全计算环境，QingTian Hypervisor深度重构了虚拟化语义：以Core为粒度的vCPU动态隔离技术，实现Enclave CPU隔离、降低侧信道攻击风险；通过Enclave内存隔离技术，实现用户高度敏感数据的安全隔离；同时擎天Enclave没有外部网络连接，也没有持久存储，父虚拟机甚至Hypervisor上的其他进程、程序都无法访问分配隔离给Enclave的内存和vCPU，极大降低了用户处理高度敏感数据的应用程序的攻击面的同时擎天Enclave拥有极致的安全性能。

针对企业处理敏感数据的过程，擎天Enclave进行了简化，用户可以轻松创建完全隔离的机密计算环境来处理敏感数据。擎天Enclave可以有效保护运行在Enclave中的客户应用程序和敏感数据，可以防止恶意的OS特权用户进程（或rootkit）对Enclave应用数据的窃取和篡改。擎天Enclave为开发者提供了易学、易用的机密计算Enclave应用开发模式，用开发者无需依赖特定的编程语言或框架，存量的客户应用也无需重构就可以在Enclave环境中运行。

同时，密码学证明（Cryptographic Attestation）是擎天Enclave的一个重要安全特性，借助attestation doc等功能，用户可以验证Enclave的身份。Enclave中只有授权代码在其中运行，KMS可以读取和验证从Enclave发送的证明文件，因此只有用户自己的Enclave可以访问敏感数据，有限地化解系统安全风险、平台安全漏洞、租户内部攻击等一系列潜在危机。

此外，Enclave的使用也非常灵活，可以使用不同数量的计算资源创建。因此，擎天Enclave是用户对敏感数据进行处理最简单有效的选择。

随着数字经济转型的深入和云计算的发展，企业上云在带来价值的同时也产生了新风险和新挑战，数据安全的重要性越发凸显。华为云全新推出的擎天Enclave，依托机密性、完整性、可用性等一系列可信特性，为客户带来强有力的数据安全保障，积极助力数据安全产业生态建设，努力为数据安全产业高质量发展贡献力量。

审核编辑 黄昊宇