打造企业上云安全屏障，华为云擎天Enclave全方位守护敏感数据安全

华为云发布 擎天Enclave ， 四大优势 保障数据安全 、 化解上云风险

数字化是各种颠覆性技术的坚实基础，更是企业向未来转型的基石。数字化时代，企业对数字化转型认知不断深入，越来越多的上云需求涌现。

在企业上云的过程中，各种挑战也接踵而至。一是系统上云复杂性提升，对稳定性提升提出新要求。二是随着各种云上数据泄露事件发生，传统的安全威胁模型无法满足用户对机密数据安全防护的需求，新安全需求涌现，云上安全机制亟待改进。

针对上述挑战，华为云全新打造机密计算方案擎天Enclave， “为云而生”的擎天Enclave拥有自己的内核、内存和CPU的隔离空间，基于“硬件信任根”、“可信启动”、“固件防篡改”、“端到端加密”、“单向控制”等设计原则来构建最小的可信计算基（TCB, Trusted Computing Base），为了提供完全隔离的安全计算环境，QingTian Hypervisor深度重构了虚拟化语义：以Core为粒度的vCPU动态隔离技术，实现Enclave CPU隔离、降低侧信道攻击风险；通过Enclave内存隔离技术，实现用户高度敏感数据的安全隔离；同时擎天Enclave没有外部网络连接，也没有持久存储，父虚拟机甚至Hypervisor上的其他进程、程序都无法访问分配隔离给Enclave的内存和vCPU，极大降低了用户处理高度敏感数据的应用程序的攻击面的同时擎天Enclave拥有极致的安全性能。

基于擎天Enclave的特性，其拥有四大优势**——**

云平台可信

擎天系统通过加密技术和系统完整性保护技术来阻止意外的内部物理攻击。擎天虚拟化平台支持强制的数据传输加密、持久化数据加密。

前后端物理隔离

擎天虚拟化平台分为前端系统和后端系统。确保前端运行环境与后端运行环境的硬隔离，因此有效控制了前端系统攻击所导致的安全爆炸半径，阻止攻击渗透到虚拟化后端和底层安全系统。

降低虚机逃逸与运维风险

擎天Hypervisor管理程序功能极为精简，相比传统Hypervisor来说其代码量约为 1% ，因而极大降低了0day漏洞和虚机逃逸风险。在运维平面的设计上，擎天系统禁用基于SSH的传统运维通道，而使用自动化运维管理API来取代。

阻止内部攻击

擎天平台通过提供Enclave机密计算实例来防止恶意的特权用户进程对Enclave应用和数据的窃取和篡改，从而对运行在Enclave中的客户应用程序和数据提供保护。

针对系统软件风险、平台安全漏洞、租户内部攻击等具体的上云挑战，擎天Enclave均拥有成熟的解决方案，助力企业无忧上云。以敏感数据处理存储和身份认证这两种实际使用场景为例，擎天Enclave是如何赋能企业，提供安全保障？

场景****一：政企行业敏感数据处理存储

政企行业上云数量增加，因为其行业性质容易成为黑客攻击目标，A公司公信力高、影响力大，更容易因为信息被篡改造成严重打击和伤害。而且，A公司后台数据维护，或者存储图片、视频等关键文件，一旦受到安全攻击，可能会被攻击者植入有害信息。数据在使用过程中，如果受到安全攻击，可能会被篡改或者非法获取。

通过擎天Enclave将A公司的高度敏感数据在存储和使用过程中都保护起来，避免攻击者的篡改行为，为业务运行提供专属安全保障。

场景****二：专业的安全认证能力提供身份证明

B公司需要使用高度可用且安全的身份鉴权，对不同交互场景生成身份证明文档，在不同的场景和运行系统中使用同一套可以灵活配置的验证系统。

但B公司由于身份验证业务在不同主机部署场景下，产品的稳定性、资源消耗、威胁检出等面临巨大挑战，若产品的安全防护能力不足，产品运维需要投入巨大精力在产品的二次开发和运维上，无法专注于产品的设计和策略发展。

基于擎天Enclave提供专业的安全认证能力，用户能够灵活地自定义安全策略，结合Enclave的密码学证明attestation doc进行身份认证，协助B公司安全升级。节约安全运维成本，使得业务聚焦于更高级的策略设计与安全治理工作。

在社会数字化转型需求及政策的共同推动下，中国成为全球云计算市场主要增长区域，国内政企单位、金融行业、医疗行业等千行百业上云需求涌现，进入爆发式增长阶段，其背后的上云数据安全也成为企业关注焦点。擎天Enclave能够通过提供可信的隔离空间(Enclave)，将合法软件的安全操作封装在其中，保障企业运行时代码和数据的机密性与完整性，减少处理敏感数据应用程序的攻击面，免于外部攻击，有效保障用户敏感数据安全、化解上云风险。

审核编辑 黄昊宇