Nitro Enclaves

AWS Nitro Enclaves permet aux clients de créer des environnements de calcul isolés pour mieux protéger et traiter en toute sécurité des données très sensibles telles que des informations d'identification personnelle, ainsi que des données médicales, financières et de propriété intellectuelle au sein de leurs instances Amazon EC2. Nitro Enclaves utilise la même technologie Hyperviseur Nitro qui assure l'isolation de la mémoire et des processeurs pour les instances EC2.

Nitro Enclaves aide les clients à réduire la surface d'attaque pour leurs applications de traitement de données les plus sensibles. Enclaves offre un environnement isolé, renforcé et soumis à de strictes restrictions pour héberger des applications critiques pour la sécurité. Nitro Enclaves inclut une attestation cryptographique pour votre logiciel, afin que vous puissiez être sûr que seul le code autorisé est en cours d'exécution, ainsi qu'une intégration avec AWS Key Management Service, de sorte que seules vos enclaves puissent accéder à des informations sensibles.

Il n'y a pas de frais supplémentaires pour l'utilisation d'AWS Nitro Enclaves autres que l'utilisation d'instances Amazon EC2 et de tout autre service AWS utilisé avec Nitro Enclaves.

Présentation de Nitro Enclaves

Présentation d'AWS Nitro Enclaves

Avantages

Isolement et sécurité accrus

Les enclaves sont des machines virtuelles totalement isolées, renforcées et fortement limitées. Elles n’ont pas de stockage constant, d’accès interactif ni de réseau externe. La communication entre votre instance et votre enclave se fait via un canal local sécurisé. Même un utilisateur racine ou un administrateur de l'instance ne pourra pas accéder à l'enclave via le protocole SSH.

Nitro Enclaves utilise l’isolation éprouvé de l’Hyperviseur Nitro pour isoler encore davantage le CPU et la mémoire de l’enclave des utilisateurs, des applications et des bibliothèques sur l’instance parent. Ces fonctionnalités permettent d'isoler l'enclave et votre logiciel, et de réduire considérablement la surface d'attaque.

Attestation cryptographique

L'attestation vous permet de vérifier l'identité de l'enclave et que seul le code autorisé est en cours d'exécution dans votre enclave. Le processus d'attestation est réalisé via l'Hyperviseur Nitro, qui produit un document d'attestation signé permettant à l'enclave de prouver son identité à une autre partie ou à un service. Les documents d'attestation contiennent des détails sur la clé de l'enclave, tels que la clé publique de celle-ci, les hachages de l'image de l'enclave et des applications, etc. Nitro Enclaves inclut l'intégration d'AWS KMS, où KMS peut lire et vérifier ces documents d'attestation envoyés à partir de l'enclave.

Flexible

Nitro Enclaves sont flexibles. Vous pouvez créer des enclaves avec différentes combinaisons de cœurs de processeur et de mémoire. Cela garantit que vous disposez de suffisamment de ressources pour exécuter la même mémoire ou les mêmes applications gourmandes en calcul que celles que vous utilisiez déjà sur vos instances EC2 existantes. Nitro Enclaves sont indépendants des processeurs et peuvent être utilisés dans des instances équipées de processeurs de différents fabricants. Elles sont également compatibles avec n'importe quel langage de programmation ou framework. De plus, étant donné que de nombreuses composants de Nitro Enclaves sont en open source, le client peut même inspecter le code et le valider lui-même.

Fonctionnement

Figure 1 : Nitro Enclaves Fonctionnement Déroulement du processus

Figure 2 : Nitro Enclaves utilise la même technologie Hyperviseur Nitro qui crée l'isolation de la mémoire et des processeurs parmi les instances EC2, afin de créer l'isolation entre Enclave et une instance EC2.

Figure 3 : Une enclave est créée en partitionnant le CPU et la mémoire d'une instance EC2, appelée instance parente. Vous pouvez créer des enclaves avec différentes combinaisons de cœurs de processeur et de mémoire. Ci-dessus se trouve un exemple utilisant m5.4xlarge divisé en une instance parente (14 vCPU, 32 Go de mémoire) et Enclave (2 vCPU, 32 Go de mémoire). La communication entre l'instance parente et l'enclave se fait via une connexion locale sécurisée appelée vsock.

Cas d'utilisation

Sécurisation des clés privées

Les clients peuvent désormais isoler et utiliser des clés privées (par exemple SSL/TLS) dans une enclave, tout en empêchant les utilisateurs, les applications et les bibliothèques de l'instance parente de consulter ces clés. Normalement, ces clés privées sont stockées sur l'instance EC2 en texte clair.

AWS Certificate Manager (ACM) for Nitro Enclaves est une application d’enclaves qui vous permet d’utiliser les certificats SSL/TLS publics et privés avec vos applications et serveurs Web exécutés sur des instances Amazon EC2 avec AWS Nitro Enclaves.

Création de jeton

La création de jeton est un processus qui convertit en un jeton des données très sensibles telles que les numéros de carte de crédit ou les données relatives aux soins de santé. Avec Nitro Enclaves, les clients peuvent exécuter l'application qui effectue cette conversion à l'intérieur d'une enclave. Les données chiffrées peuvent être envoyées à l'enclave, où elles sont déchiffrées puis traitées. L'instance EC2 parente ne pourra pas consulter ou accéder aux données sensibles tout au long de ce processus.

Calcul multipartite

Grâce à la capacité d'attestation cryptographique de Nitro Enclaves, les clients peuvent configurer un calcul multipartite, où plusieurs parties peuvent se joindre et traiter des données hautement sensibles sans avoir à divulguer ou à partager les données réelles avec chaque partie individuelle. Le calcul multipartite peut également être effectué au sein de la même organisation pour établir la séparation des tâches.