Confidential computing, ultima frontiera della protezione dati

Nel mondo IT, nello spazio cyber, la sicurezza assoluta è una chimera. La vera sfida, piuttosto, è costruire giorno dopo giorno reti e sistemi più sicuri, integrando, e aggiornando di continuo, strategie e strumenti di protezione. Una sfida tra le sfide si chiama oggi confidential computing, un approccio tecnologico che si pone come l’ultima frontiera della sicurezza, puntando a rafforzarla a partire dal livello più profondo, quello del silicio che costituisce i componenti e i chip dell’hardware.

Il confidential computing ha l’ambizione di chiudere il cerchio nei paradigmi di defence in depth (DiD), nei sistemi di difesa multilivello, proteggendo il dato in una specifica fase del proprio ciclo di vita, ovvero mentre si trova in uso.

Cosa s’intende con confidential computing

Gestire la sicurezza del dato mentre si trova in uso significa, ad esempio, proteggerlo quando viene caricato nella memoria RAM, elaborato nella CPU (Central Processing Unit) o in altri chip e sistemi elettronici, come una GPU (Graphic Processing Unit) o una scheda di rete (NIC). Normalmente, infatti, nei classici sistemi di elaborazione, i dati possono esistere in tre stati differenti: possono trovarsi “a riposo” (data at rest) quando sono memorizzati o archiviati negli hard disk di computer e server, o su dispositivi di storage esterni, come flash drive USB, o unità NAS (network-attached storage). Possono essere in transito (data in motion) quando vengono veicolati in rete tra diversi endpoint, all’interno o all’esterno di un’organizzazione; e, infine, appunto, possono trovarsi in uso.

Mentre le tecniche per proteggere i dati a riposo e i dati in transito sono oggi largamente applicate, la stessa cosa non si può dire per i dati in fase di elaborazione. Nel caso dei dati a riposo, le tecnologie di cifratura (data-at-rest encryption) permettono di proteggere file e dati sensibili memorizzati nei dispositivi di storage da accessi non autorizzati e sono efficaci quando PC, server, laptop, hard disk, vengono violati da malintenzionati, che tentano di accedere ai dati, manomettere o rubare il dispositivo.

Nel mondo Microsoft Windows, un esempio è il software BitLocker, in grado di eseguire una cifratura completa del disco (full-disk encryption – FDE) mettendolo al riparo da accessi indesiderati o furti di dati, anche quando viene spedito in riparazione, o dismesso a fine vita.

Nel caso dei dati in transito, ancora una volta, gli algoritmi di cifratura end-to-end (end-to-end encryption) aiutano a proteggere i dati durante le comunicazioni in rete, evitando che vengano intercettati, per esempio, tramite cyberattacchi di tipo man-in-the-middle (MitM).

Quando invece i dati sono in uso in memoria, non vengono cifrati. Lo chiarisce in un documento tecnico il Confidential Computing Consortium (CCC), una comunità di fornitori hardware, cloud provider, sviluppatori software, che collaborano con l’obiettivo di accelerare l’adozione delle tecnologie e standard TEE ( Trusted Execution Environment), le basi su cui il confidential computing costruisce il proprio modello di protezione.

Come funziona il confidential computing

In sostanza, il confidential computing crea un ambiente di esecuzione fidato, hardware-based e attendibile, con credenziali verificate, in cui l’elaborazione dei dati in uso può avvenire in maniera sicura e isolata. Grazie a questo ambiente isolato diventa possibile evitare accessi non autorizzati o modifiche delle applicazioni e dei dati mentre sono in uso, aumentando il livello di sicurezza, specialmente nei casi in cui un’organizzazione sta gestendo dati sensibili e fortemente regolamentati da normative, come avviene con il regolamento GDPR (general data protection regulation).

Nel confidential computing, le entità non autorizzate, precisa il CCC, possono includere altre applicazioni presenti sull’host, il sistema operativo host e l’hypervisor, gli amministratori di sistema, i service provider, il gestore dell’infrastruttura, o chiunque altro sia in grado di avere accesso fisico all’hardware. Tutte queste entità non possono visualizzare e alterare i dati in uso, mentre sono elaborati all’interno dell’ambiente di esecuzione fidato (TEE).

Dati in uso: perché è importante proteggerli

Oggi, le convenzionali infrastrutture di computing, aggiunge il CCC, accusano limitazioni nella capacità di proteggere i dati e il codice mentre sono in uso. E ciò accade in un contesto globale in cui, peraltro, le organizzazioni memorizzano, consumano, condividono di continuo dati sensibili, tra cui informazioni di identificazione personale (personally identifiable information – PII), dati finanziari, informazioni sanitarie.

Si pone dunque il problema di mitigare gli attacchi cyber che possono mettere a rischio la riservatezza e l’integrità delle applicazioni e dei dati nella memoria di sistema. Anche perché, sempre secondo il consorzio, più i vettori delle minacce che colpiscono i dispositivi di rete e di storage vengono contrastati dalle protezioni che si applicano ai dati in transito e a riposo, più gli aggressori passano a prendere di mira i dati in uso.

Il confidential computing assume rilevanza crescente con il progressivo consolidamento dei dati nel cloud, nei cloud pubblici, e con la tendenza delle organizzazioni a ricercare piattaforme analitiche di “confidential AI”, che permettano di eseguire i workload di intelligenza artificiale e machine learning in maniera sicura, evitando di esporre i dati “in chiaro” durante i processi di elaborazione, e rispettando le normative di privacy e security.

Stando ai risultati di uno studio di mercato recentemente condotto dalla società di ricerca Everest Group, e rilasciato nel 2021 dalla Linux Foundation assieme al Confidential Computing Consortium, il mercato del confidential computing è destinato a crescere con un CAGR (tasso annuo di crescita composto) pari al 90%-95%, che gli permetterà di raggiungere, nel 2026, un valore di 54 miliardi di dollari. Nel 2021, indica lo studio, oltre il 75% della domanda è stata guidata da settori regolamentati, tra cui quello bancario, finanziario, assicurativo, assieme alla sanità, alle scienze biologiche, al settore pubblico e della difesa.