Werbung
Die Software Guard Extensions (SGX) von Intel sind eine Möglichkeit, sichere Enklaven zu erstellen. Intel hat die SGX als Befehlserweiterung umgesetzt und ermöglicht damit das Erstellen eines besonders sicheren Adressraums im Speicher, der nur von einem bestimmten Prozessor genutzt werden kann. Alle direkten Zugriffe und privilegierte Prozesse werden durch den Prozessor kontrolliert und sollen damit hinsichtlich ihrer Integrität geschützt sein.
Softwareentwickler können mittels SGX durch Prüfung der digitalen Signaturen ihre eigene Software besser vor Manipulationen schützen – bevor diese in manipulierter Form an Kunden ausgeliefert wird oder manipulierte Daten ausgeliefert werden. Auch auf bereits kompromittierten Betriebssystemen kann Code demnach sicher ausgeführt werden.
Im Februar diesen Jahres stellt Intel die SGX Card vor. Dabei handelt es sich um eine Erweiterungskarte für Cloud Service Providers (CSP). Die Software Guard Extensions sind bereits Bestandteil der Xeon-E3-v6-Prozessoren, die auf der Kaby-Lake-Generation basieren. Auf den aktuellen und neuen Xeon-Scalable-Prozessoren kommt SGX in dedizierter Form aber noch nicht zum Einsatz. Daher auch die Vorstellung der SGX Card im Februar, denn die CSPs sind durchaus an einer Absicherung ihrer Daten interessiert und das nicht erst seit Spectre und Meltdown
Auf einer SGX Card befinden sich drei der oben erwähnten Xeon-E3-Prozessoren auf Basis von Kaby Lake. Diese dienen sozusagen als Spender der SGX-Funktionalität. Pro SGX Card können 12 Servernodes mittels der Software Guard Extensions abgesichert werden – jede CPU auf der SGX Card kann demnach drei Xeon-Prozessoren absichern und ermöglicht diesen das Erstellen einer abgesicherten Enklave.
Den Umweg über eine PCI-Express-Erweiterungskarte muss Intel auch bei den Cascade-Lake-Xeons gehen. Auf dem Datacenter-Event ließ Intel allerdings verlauten, dass man die SGX-Funktionalität mit den Cooper-Lake-Xeons in die Scalable-Prozessoren der 3. Generation wird einfließen lassen wird. Dies klingt zunächst einmal nicht nach einer großen Nachricht, beschreibt aber die Ambitionen oder zumindest die Motivation die eigene Systeme besser gegen Sidechannel-Attacken abzusichern. Die Cloud Service Provider dürften ebenso an einer Integration interessiert sein, da dann keine extra Hardware mehr notwendig ist.
Update:
Wir haben noch einmal Rücksprache mit Intel gehalten, um die Frage nach der aktuellen Unterstützung von SGX in den Xeon-Prozessoren zu klären.
Derzeit wird SGX nur von den Single-Socket-Prozessoren unterstützt. Serversysteme zwei oder mehr Prozessoren können keine sicheren Enklaven verwalten. Grundsätzlich verfügbar ist die SGX-Funktionalität seit den Xeon-Prozessoren auf Basis der Skylake-Architektur: "Intel originally brought Intel SGX to single-socket processors, such as Intel Core"
Die SGX Card ermöglicht es nun aber auch Serversysteme mit mehr als einem Xeon-Prozessor abzusichern. In einem Server können bis zu vier SGX Cards verbaut werden, die dann bis zu 12 Xeon-Prozessoren absichern. Weiterhin wird die SGX Card mit Xeon-E3-v6-Prozessor derzeit nur von der Purley-Plattform und damit den Skylake-SP- und Cascade Lake-SP-Prozessoren unterstützt.
"The Intel SGX Card will initially be validated with currently-available Purley-based platforms. Broader validation will be considered down the road. Mainstream Intel Xeon Scalable processor-based servers could support up to four cards, providing access to a total of up to 12 Intel SGX-enabled processors in a single 2U server. Though Intel SGX technology will be available on future multi-socket Intel Xeon Scalable processors, there is pressing demand for its security benefits in this space today."
Ursprünglich plante Intel das Angebot der SGX-Funktionalität erst für die Post-Cascade-Lake-Ära. Da aber heute bereits viele Server mindestens als Dual-Socket-System ausgelegt sind und der Bedarf nach solchen Sicherheitsfunktionen dank der Sicherheitslücken Spectre und Meltdown stark gestiegen ist, hat man die SGX Card als Zwischenlösung erdacht.
"The vast majority of cloud servers deployed today have dual-socket processors in them. And though Intel SGX technology will be available on future multi-socket Intel Xeon Scalable processors, there is pressing demand for its security benefits in this space now."
Mit den Xeons auf Basis von Cooper Lake dürfte sich diese Zwischenlösung dann erledigt haben und die SGX-Funktionalität wird ein Grundbestandteil der Xeon-Prozessoren sein.