AWS Nitro Enclaves

Crea un maggiore isolamento per proteggere ulteriormente i dati ad alta sensibilità nelle istanze EC2

AWS Nitro Enclaves consente ai clienti di creare ambienti di calcolo isolati per proteggere ulteriormente ed elaborare in modo sicuro dati altamente sensibili come informazioni che consentono l'identificazione personale (PII), dati proprietari su sanità, finanza e proprietà intellettuale nell'ambito delle rispettive istanze Amazon EC2. Nitro Enclaves utilizza la stessa tecnologia Nitro Hypervisor che assicura l'isolamento di CPU e memoria per le istanze EC2.

Nitro Enclaves consente ai clienti di ridurre l'area della superficie di attacco per le applicazioni di elaborazione dei dati più sensibili. Enclaves offre un ambiente isolato, irrobustito e altamente vincolato per l'hosting di applicazioni security-critical. Nitro Enclaves include l'attestazione crittografica per il tuo software, affinché tu possa essere certo che soltanto il codice autorizzato sia in esecuzione, oltre all'integrazione con AWS Key Management Service, in modo che solo le tue enclave possano accedere al materiale sensibile.

Per AWS Nitro Enclaves non sono previsti costi aggiuntivi a quelli per l'utilizzo delle istanze Amazon EC2 ed eventuali altri servizi AWS implementati con Nitro Enclaves.

Presentazione di Nitro Enclaves
Panoramica di AWS Nitro Enclaves
Proteggi i dati sensibili in uso con l'elaborazione riservata di AWS

Vantaggi

Un maggiore livello di isolamento e sicurezza

Le enclavi sono macchine virtuali completamente isolate, solide e altamente vincolate. Non dispongono di storage persistente, né di accesso interattivo, né di connessione a reti esterne. La comunicazione tra la tua istanza e la tua enclave avviene attraverso un canale locale sicuro. Nemmeno gli utenti root o gli amministratori dell'istanza saranno in grado di accedere all'enclave o di collegarvisi attraverso il protocollo SSH.

Nitro Enclaves utilizza l'isolamento di comprovata efficacia dell'hypervisor Nitro per isolare ulteriormente la CPU e la memoria dell'enclave da utenti, applicazioni e librerie nell'istanza madre. Queste funzionalità ci consentono di isolare l'enclave e il tuo software e di ridurre sensibilmente l'area della superficie di attacco.

Attestazione crittografica

L'attestazione consente di verificare l'identità dell'enclave e che soltanto il codice autorizzato venga eseguito nella tua enclave. Il processo di attestazione viene eseguito attraverso l'hypervisor Nitro, che produce un documento di attestazione firmato per l'enclave in modo da dimostrarne l'identità a un'altra parte o a un altro servizio. I documenti di attestazione contengono dettagli chiave dell'enclave come la relativa chiave pubblica, le hash dell'immagine e delle applicazioni dell'enclave e molto altro. Nitro Enclaves prevede l'integrazione con AWS KMS, dove KMS è in grado di leggere e verificare questi documenti di attestazione inviati dall'enclave.

Flessibilità

Nitro Enclaves è un sistema flessibile. Puoi creare enclave con combinazioni diverse di core e memoria CPU. In tal modo avrai a disposizione risorse sufficienti per eseguire la stessa memoria o le stesse applicazioni a elaborazione intensiva che erano già in esecuzione sulle tue istanze EC2 esistenti. Le enclavi Nitro sono indipendenti dal processore e utilizzabili con istanze offerte da vari fornitori di CPU. Sono inoltre compatibili con qualsiasi linguaggio o framework di programmazione. In più, dal momento che molti componenti di Nitro Enclaves sono open source, i clienti possono esaminare il codice e convalidarlo in prima persona.

Come funziona

Come funziona Nitro Enclaves

Figura 1: Schema di processo del funzionamento di Nitro Enclaves

Figura 2: Nitro Enclaves utilizza la stessa tecnologia di hypervisor Nitro che crea la CPU e l'isolamento di memoria tra le istanze EC2 per creare l'isolamento tra un enclave e un'istanza EC2.

Figura 3: Un'enclave viene creata attraverso il partizionamento della CPU e della memoria di un'istanza EC2, denominata istanza madre. Puoi creare enclave con combinazioni diverse di core e memoria CPU. Sopra è riportato un esempio che utilizza una suddivisione m5.4xlarge in un'istanza madre (14 vCPU, 32 GiB di memoria) e un'enclave (2 vCPU, 32 GiB di memoria). La comunicazione tra l'istanza madre e l'enclave avviene attraverso una connessione locale sicura denominata vsock.

Casi d'uso

Protezione delle chiavi private

I clienti possono ora isolare e utilizzare chiavi private (ad esempio SSL/TLS) in un'enclave e, allo stesso tempo, impedire a utenti, applicazioni e librerie sull'istanza madre di vederle. In genere, queste chiavi private sono archiviate nell'istanza EC2 come testo semplice.

AWS Certificate Manager (ACM) per Nitro Enclaves è un'applicazione per enclavi che consente di utilizzare certificati SSL/TLS pubblici e private con le proprie applicazioni Web e i propri server su istanze Amazon EC2 con AWS Nitro Enclaves.

Tokenizzazione

La tokenizzazione è un processo che converte dati ad alta sensibilità quali numeri di carte di credito o dati sanitari in un token. Con Nitro Enclaves, i clienti possono eseguire l'applicazione destinata alla conversione all'interno di un'enclave. I dati crittografati possono essere inviati all'enclave e qui decrittografati ed elaborati. Durante l'intero processo, i dati sensibili non saranno disponibili per la visualizzazione o l'accesso da parte dell'istanza EC2 madre.

Calcolo multilaterale

Grazie alla funzione di attestazione crittografica di Nitro Enclaves, gli utenti possono impostare calcoli multilaterali, in cui diversi soggetti possono partecipare all'elaborazione dei dati ad alta sensibilità senza dover divulgare e condividere i dati effettivi a ogni singolo soggetto. Il calcolo multilaterale è anche eseguibile all'interno della stessa organizzazione per stabilire la separazione delle attività.

Testimonianze dei clienti