Fortanix تعزز حاويات Kubernetes السرية بإدارة المفاتيح والتحقق من الأدلة

أعلنت Fortanix دعمها لـ Confidential Containers ضمن منصتها Confidential AI، عبر دمج التحقق من أدلة عبء عمل Kubernetes مع إطلاق مفاتيح التشفير. يتيح ذلك لأعباء العمل الملتزمة بسياسات الأمان فك تشفير النماذج والبيانات الحساسة داخل بيئات تنفيذ موثوقة (TEEs) قائمة على العتاد.

يعمل مشروع Confidential Containers (CoCo)، التابع لمؤسسة Cloud Native Computing Foundation، على تشغيل حاويات Kubernetes داخل أجهزة افتراضية سرية تستفيد من TEEs. وخلافاً للحاويات القياسية التي تعتمد على نظام التشغيل المضيف للعزل، تستخدم الأجهزة الافتراضية السرية حمايات عتادية لتشفير الذاكرة وتقييد الوصول إلى أعباء العمل أثناء التنفيذ. تحمي هذه المقاربة البيانات أثناء الاستخدام، وليس فقط البيانات المخزنة أو المنقولة، مما يمكّن الفرق من تشغيل أعباء عمل حساسة على بنية تحتية مشتركة.

تستعرض النظرة التقنية لـ Fortanix إضافات (plugins) تربط أعباء عمل CoCo بخدمتين: Confidential Computing Manager (CCM) التي تتحقق من البيئة، وData Security Manager (DSM) التي تطلق المفاتيح فقط بعد تحقق CCM. وتذكر الشركة أن CCM قادرة على التحقق من المعالج ووحدة معالجة الرسومات (GPU) معاً، وذلك حسب الإعدادات.

تنقل CoCo سحب الصور وفك حزمها إلى البيئة الضيفية السرية. ويجمع Attestation Agent الخاص بها الأدلة العتادية، بينما يسترجع Confidential Data Hub الأسرار بعد التحقق. وإذا فشل التحقق من الأدلة، تبقى المفاتيح في DSM، مما يمنع عبء العمل من فك تشفير النماذج أو البيانات المحمية.

وقال أنوج جايسوال، مدير المنتجات الرئيسي في Fortanix: «مع وجود التحقق من الأدلة وإدارة المفاتيح في منصة واحدة، يمكن للفرق اعتماد CoCo القياسي دون بناء طبقة الثقة بنفسها». وتؤكد Fortanix أن CCM وDSM تعملان في بيئة عنقودية مع دعم على مدار الساعة طوال أيام الأسبوع، وتتوفران كخدمة مستضافة أو داخل المقر أو في بيئة معزولة شبكياً (air-gapped).

يحدد دليل نشر Intel TDX من Fortanix إعدادين لوحدة معالجة الرسومات: `Required`، الذي يلزم CCM بالتحقق من أدلة GPU عبر خدمة التحقق من NVIDIA، و`Ignored`، الذي يتحقق فقط من وجود الأدلة دون تقييم النتيجة. ويشير الدليل أيضاً إلى أن مخطط Helm الخاص بـ Fortanix CoCo لا يضبط إعدادات البرنامج الثابت (firmware) أو نواة النظام المضيف، والتي يجب معالجتها مسبقاً.

التحقق من الأدلة وتسليم الأسرار المشروط جزءان بالفعل من مكونات Trustee مفتوحة المصدر في CoCo. ويفصل Trustee بين تقييم الأدلة وتفويض الموارد، حيث تقارن خدمة التحقق من الأدلة الخاصة به ادعاءات المنصة بقيم مرجعية. ثم يطبق Key Broker Service سياسة يحددها المستخدم قبل إطلاق الأسرار من التخزين المحلي أو إضافة أو مخزن مفاتيح خارجي. ولا يزال التحقق الناجح من الأدلة يتطلب تفويض السياسة للطلب.

المصدر: InfoQ