机密容器探索与AI场景应用.pdf

《机密容器探索与AI场景应用.pdf》由会员分享，可在线阅读，更多相关《机密容器探索与AI场景应用.pdf（31页珍藏版）》请在三个皮匠报告上搜索。

1、机密容器探索与AI场景应用New Future on CloudPeter ZhuIntel 软件与先进技术事业部 壮怀阿里云容器服务ACKContents目录01ACK机密容器02关键安全特性03AI应用数据和模型的保护ACK机密容器助力高价值应用和数据上云坚守安全原则零信任 权限最小化安全左移“Never Trust,Always Verify.”安全是在不加剧安全漏洞的情况下，您能否继续高效/安全地工作。安全的好坏取决于 最薄弱的环节。安全是对企业资源（计算机/人员）、所需专业知识、时间管理、实施成本、数据备份/恢复等的 风险管理安全是全天候的.持续不断的.永无止境的安全就是“在不对网络

2、、生产效率和预算造成负面影响的情况下，以最快的速度学习所有可以学习的知识。容易运行时安全威胁以下是对于运行容器工作负载的企业而言，可能带来重大风险的五种容器运行时安全威胁：1.未经授权的容器部署2.配置错误和不安全的配置3.带有恶意软件的容器镜像：当企业使用公共容器仓库时，这种风险尤为普遍。攻击者可以将恶意软件嵌入到容器镜像中，然后发布到公共仓库供企业使用.4.提权攻击：有多种提权攻击方法可以导致攻击者获得对容器或基础主机的完全访问权限。这些攻击通常开始于利用不安全的配置或现有的漏洞，以及对主机内存的攻击。5.未修补的漏洞上述威胁都可能会导致租户容器内的敏感数据遭到泄露。在云环境中运行容器时，

3、底层基础设施的安全性和云服务提供商的可信度变得至关重要。如果云服务提供商受到入侵或缺乏适当的安全措施，容器内的敏感数据（如凭据、加密密钥或个人身份信息）可能会被未经授权的人员访问或窃取。威胁分析服务数据容器运行时云资源攻击路径K8s容器攻击路径网络攻击不当配置不当配置非授权访问数据窃取漏洞利用应用漏洞内核漏洞特权利用漏洞利用不当配置漏洞利用缺乏网络隔离主机逃逸，内存攻击身份网络控制面内核&OS底层硬件端到端可信容器护航数据安全E2E Confidential Container for Data Privacy可信容器运行时可信数据存储可信软件供应链机密沙箱容器(Intel TDX New)租

4、户远程证明服务镜像服务存储服务金融风控医疗健康LLM/AIGCIoTKMS 密钥管理服务PCCS 证书服务PodPod机密虚拟机(Intel TDX New)PodPodNEW操作系统和RunD对TDX支持助力高价值应用和数据上云龙蜥操作系统和RunD对TDX支持 AnolisOS和Alinux3的官方软件源中都默认包含了TDX相关软件包。OpenAnolis Cloud Kenrel中完成了对TDX特性的支持。操作系统和内核 KVM模块和TDX module模块联动，为TDX机密容器的运行提供支持。KVM 支持TDX特性，使用TEE microvm作为容器POD的机密沙箱，对运行在TEE中的

5、组件做安全度量。容器镜像的机密性保护和完整性保护。通过sealed secret机制，实现对OSS等云存储资源的安全访问。RunD安全容器租户级的远程证明服务助力高价值应用和数据上云完整的远程证明框架远程证明架构ttRPC/gRPG endpointKBC selector&loadereaa_kbcoffline_fs_kbcoffline_sev_kbcCoCo-KBCHTTPSKBS API ClientAttester DriversTDX/SNP/Key Broker Service(KBS)Key Manage ProxyHTTPS KBS API ServerAttestatio

6、n Servicecoco-as-grpccoco-as-builtinamber-asSecret Data StoragePolicyEngineReference ValueProvider ServiceVerifier DriversTDX/SNP/CoCo KBSprotocolgRPC 验证完整的代码软件栈 验证不可信的输入 从远端服务获取证书和密钥 Attestation Agent Key Broker Service Attestation Service Plugin机制允许对接第三方KMS Plugin机制允许对接第三方远程证明服务不仅仅是硬件TEE的证明Attesta