信息与基础设施安全领域的领导善于利用各种方法保护静态数据或传输中的数据，但对于内存中正在处理的数据需另当别论。不管是在内部服务器、边缘部署还是云服务提供商的数据中心内运行，这种“使用中”的数据大多是未加密的，并且很容易受攻击。

本文作者Lorie Wigle 现任英特尔公司架构、图形与软件事业部副总裁兼平台安全产品管理部总经理

英特尔致力于帮助客户和更广泛的生态系统保护数据，这是英特尔与其它业内领导厂商一起在Linux基金会下成立新的保密计算联盟的原因。近日，英特尔宣布成为这个新行业组织的创始成员，并致力于让诸如保护使用中的数据等保密计算实践在如今的多云世界中更容易普及。

保密计算保护使用中的数据

保密计算可能采取多种形式，但早期使用场景依赖于可信执行环境 (TEE) ，也被称作可信安全区，其中的数据和操作被隔离并受到保护，不受操作系统、云服务堆栈等其他软件的影响。结合加密数据存储和传输方法后，TEE可以为较为敏感的数据创造一个端到端的保护架构。

企业和云服务提供商可以把保密计算用于广泛的工作负载。早期，较为流行的使用场景是把可信安全区用于密钥保护和加密操作。但可信安全区可用于保护任何类型的高度敏感性信息。例如在医疗分析中，安全区可以保护任何可能包含个人身份信息的数据，从而让分析结果保持匿名。

如果希望在公有云中运行应用程序但不希望其它软件或云服务提供商看到其极为宝贵的软件知识产权，企业可以在安全区内运行自己的专有算法。互不信任的多方可以通过使用安全区进行共享交易，同时可以保护自己的保密或专有数据不被其他方看到。只要是使用敏感数据，就有机会通过保密计算来更好地保护它。

英特尔SGX -- 驱动保密计算的硬件引擎

保密计算联盟最初专注于通用编程模型和安全区移植，但联盟没有规定创建和保护安全区所必要的硬件机制。这就是英特尔® 软件保护扩展（英特尔® SGX）可以发挥作用的地方。

英特尔SGX是基于硬件的技术，通过在内存中建立受保护的安全区而帮助保护使用中的数据，使得只有授权的应用代码可以访问敏感数据。和让数据可以通过操作系统和云堆栈而受到攻击的全内存加密技术不同，英特尔SGX让特定应用程序创建自己的受保护安全区，其具有与硬件的直接接口，限制访问并把对该服务器上的应用程序和任何其它虚拟机或租户的总体性能影响降至最低。

英特尔SGX在应用程序层面为使用中的数据提供硬件加密，实现最小的攻击面。英特尔SGX目前已经用于英特尔®至强®处理器E-2100系列，并被用于Microsoft Azure*、IBM Cloud Data Guard*、百度*、阿里云*和Equinix*的保密计算服务。今年晚些时候，英特尔将发布一款PCI-Express插卡，以在多插槽英特尔至强可扩展服务器中运行英特尔SGX。英特尔SGX将持续用于未来几代主流至强平台。

在今天宣布成立保密计算联盟的同时，英特尔宣布把英特尔SGX SDK贡献给这个新的社区，以帮助简化安全区域的开发和部署。

在把这个强大的安全功能带给更广泛受众的过程中，保密计算联盟的成立是重要一步。英特尔致力于携手生态系统用户，为开发者和IT专业人士简化保密计算的使用和可移植性。开发者可以更详细地了解如何把英特尔SGX整合到自己的应用程序和云服务中，并在官方网站了解联盟的未来发展情况。