.jpg)
.jpg)
‘애저 컨피덴셜 컴퓨팅’, 사용 중인 데이터 암호화하는 기술
신뢰된 실행 환경(TEE)에 데이터 저장해서 외부 접근 차단해
[보안뉴스 오다인 기자] 마이크로소프트(MS)가 애저(Azure) 보안에 팔을 걷어붙였다고 발표했다. 사용 중인 데이터는 암호화해서 공공 클라우드 보안을 강화하겠다고 밝힌 것이다. MS는 새로 도입한 기능과 서비스를 통틀어 일명 ‘애저 컨피덴셜 컴퓨팅(Azure Confidential Computing)’이라고 명명했다.
애저 컨피덴셜 컴퓨팅 기술 개발에는 애저 팀, MS 연구 팀, 윈도우 팀, 개발자 도구 그룹, 인텔 등이 4년 동안 공동으로 참여했다. MS는 조기 액세스 프로그램을 통해 애저 컨피덴셜 컴퓨팅을 사용자에게 선보이는 중이다.
애저 컨피덴셜 컴퓨팅은 사용자가 클라우드에서 데이터를 처리할 때 해당 데이터가 자신의 제어 하에 있다는 사실을 분명히 해준다. MS가 애저 컨피덴셜 컴퓨팅을 도입한 것은 데이터 침해 사고가 시시때때로 터지고 개인 식별정보(PII), 금융정보, 지적재산 등의 정보를 훔쳐낼 방법을 공격자가 계속해서 고안해내는 데 따른 것으로 보인다.
이에 많은 기업이 중요한 데이터를 클라우드에 옮겨놓는 데 주저한 것이 사실이다. 사용할 때 침해될 수 있다는 우려 때문이다.
“액세스 제어를 제대로 하지 않아서 수많은 침해사고가 발생한다. 이 같은 침해의 대부분은 관리자 계정이나 암호화된 데이터의 액세스 키를 빼돌려서 데이터가 사용되고 있을 때 추적하고 접근한다.” 애저 CTO 마크 루시노비치(Mark Russinovich)는 블로그를 통해 이렇게 말했다.
데이터를 충분히 처리하려면 어떠한 위험도 존재해서는 안 된다. 애저 컨피덴셜 컴퓨팅에서는 데이터가 신뢰된 실행 환경(TEE) 내에 저장된다. 즉, 데이터와 운영 상태를 외부에서는 볼 수 없다는 말이다. 공격자가 디버거를 사용할 때도 말이다.
MS는 SQL 서버, 자체 인프라, 블록체인 등에서 데이터를 보호하기 위해 엔클레이브(enclave)를 사용한다. MS는 코코 프레임워크라고 알려진 블록체인 기술을 보유하고 있는데 바로 이 기술이 애저 SQL 데이터베이스와 SQL 서버에서 사용 중인 데이터를 암호화할 때 적용된다. 이는 SQL 데이터베이스 내의 중요한 정보를 항상 암호화하는 상시 암호화(Always Encrypted) 기능을 토대로 구축된다. 상시 암호화는 중요 정보 계산을 엔클레이브에 할당해서 해독하고 처리하도록 하는 기술이다.
오직 승인된 코드만이 엔클레이브 내부의 데이터에 접근할 수 있다. 만약 공격자가 코드를 조작하려고 시도할 경우, 애저는 해당 운영을 거부하고 환경을 비활성화해 버린다. TEE는 내부의 코드가 실행되고 있는 한 이런 수준의 보호를 유지한다.
MS는 사용 중인 데이터를 보호하는 것이 특정 유형의 공격으로부터 정보를 보호할 수 있다고 설명했다. 예컨대, 관리자 특권을 가진 내부의 공격자나 데이터를 처리하는 하드웨어에 대한 접근 같은 공격 말이다. 애저 컨피덴셜 컴퓨팅은 데이터 주인의 동의 없이 서드파티가 데이터에 접근하는 것도 막을 수 있으며 애플리케이션, OS, 하이퍼바이저 등의 버그를 겨냥한 멀웨어까지 차단할 수 있다고 MS는 강조했다.
애저 컨피덴셜 컴퓨팅의 일부로 MS가 구축하고 있는 플랫폼은 개발자가 코드를 바꾸지 않고 여러 개의 TEE를 사용할 수 있도록 만드는 것이다. 애저는 우선적으로 소프트웨어 기반의 VSM(Virtual Secure Mode)와 하드웨어 기반의 인텔 SGX(Software Guard Extensions)를 지원할 예정이다.
VSM은 윈도우 10 및 윈도우 서버 2016의 하이퍼 V(Hyper-V)에 의해 실행되는 엔클레이브다. 하이퍼 V는 관리자 코드가 컴퓨터나 서버에서 실행되는 것을 방지한다. 로컬 관리자와 클라우드 서비스 관리자는 VSM 엔클레이브 내부의 콘텐츠를 보거나 실행을 변경할 수 없다.
인텔 SGX TEE는 공공 클라우드 중 최초로 SGX이 가능한 서버를 갖고 있다. 자신의 신뢰 모델에 애저나 MS를 포함시키고 싶지 않은 사용자라면 SGX 엔클레이브를 이용할 수 있다. MS는 인텔 및 다른 파트너들과 더 많은 TEE를 만들고 지원하기 위해 작업하고 있다.
MS는 애저 컨피덴셜 컴퓨팅이 금융, 의료, 인공지능 등의 산업에서 적용되리라고 전망한다. 루시노비치는 “금융을 예로 들자면, 개인 포트폴리오 정보와 자산 관리 전략은 TEE 밖에서는 더 이상 보이지 않을 것”이라고 말했다.
의료기관의 경우, 게놈 서열과 같은 환자 정보를 안전하게 보관할 수 있을 것으로 보인다. 여러 데이터 세트를 아울러 머신 러닝을 적용함으로써 더 깊이 있는 통찰을 확보하면서 안전성까지 강화할 수 있을 것으로 기대하고 있다.
컨피덴셜 컴퓨팅에 관심있는 MS 고객이라면 MS의 조기 액세스 프로그램을 참조하면 된다. 이 프로그램을 통해서 애저 VSM, SGX이 가능한 가상 기계, 툴, SDK, 윈도우와 리눅스 지원 등을 먼저 체험할 수 있다는 게 MS 측의 설명이다.
[국제부 오다인 기자(boan2@boannews.com)]
신뢰된 실행 환경(TEE)에 데이터 저장해서 외부 접근 차단해
[보안뉴스 오다인 기자] 마이크로소프트(MS)가 애저(Azure) 보안에 팔을 걷어붙였다고 발표했다. 사용 중인 데이터는 암호화해서 공공 클라우드 보안을 강화하겠다고 밝힌 것이다. MS는 새로 도입한 기능과 서비스를 통틀어 일명 ‘애저 컨피덴셜 컴퓨팅(Azure Confidential Computing)’이라고 명명했다.
[이미지=iclickart]
애저 컨피덴셜 컴퓨팅 기술 개발에는 애저 팀, MS 연구 팀, 윈도우 팀, 개발자 도구 그룹, 인텔 등이 4년 동안 공동으로 참여했다. MS는 조기 액세스 프로그램을 통해 애저 컨피덴셜 컴퓨팅을 사용자에게 선보이는 중이다.
애저 컨피덴셜 컴퓨팅은 사용자가 클라우드에서 데이터를 처리할 때 해당 데이터가 자신의 제어 하에 있다는 사실을 분명히 해준다. MS가 애저 컨피덴셜 컴퓨팅을 도입한 것은 데이터 침해 사고가 시시때때로 터지고 개인 식별정보(PII), 금융정보, 지적재산 등의 정보를 훔쳐낼 방법을 공격자가 계속해서 고안해내는 데 따른 것으로 보인다.
이에 많은 기업이 중요한 데이터를 클라우드에 옮겨놓는 데 주저한 것이 사실이다. 사용할 때 침해될 수 있다는 우려 때문이다.
“액세스 제어를 제대로 하지 않아서 수많은 침해사고가 발생한다. 이 같은 침해의 대부분은 관리자 계정이나 암호화된 데이터의 액세스 키를 빼돌려서 데이터가 사용되고 있을 때 추적하고 접근한다.” 애저 CTO 마크 루시노비치(Mark Russinovich)는 블로그를 통해 이렇게 말했다.
데이터를 충분히 처리하려면 어떠한 위험도 존재해서는 안 된다. 애저 컨피덴셜 컴퓨팅에서는 데이터가 신뢰된 실행 환경(TEE) 내에 저장된다. 즉, 데이터와 운영 상태를 외부에서는 볼 수 없다는 말이다. 공격자가 디버거를 사용할 때도 말이다.
MS는 SQL 서버, 자체 인프라, 블록체인 등에서 데이터를 보호하기 위해 엔클레이브(enclave)를 사용한다. MS는 코코 프레임워크라고 알려진 블록체인 기술을 보유하고 있는데 바로 이 기술이 애저 SQL 데이터베이스와 SQL 서버에서 사용 중인 데이터를 암호화할 때 적용된다. 이는 SQL 데이터베이스 내의 중요한 정보를 항상 암호화하는 상시 암호화(Always Encrypted) 기능을 토대로 구축된다. 상시 암호화는 중요 정보 계산을 엔클레이브에 할당해서 해독하고 처리하도록 하는 기술이다.
오직 승인된 코드만이 엔클레이브 내부의 데이터에 접근할 수 있다. 만약 공격자가 코드를 조작하려고 시도할 경우, 애저는 해당 운영을 거부하고 환경을 비활성화해 버린다. TEE는 내부의 코드가 실행되고 있는 한 이런 수준의 보호를 유지한다.
MS는 사용 중인 데이터를 보호하는 것이 특정 유형의 공격으로부터 정보를 보호할 수 있다고 설명했다. 예컨대, 관리자 특권을 가진 내부의 공격자나 데이터를 처리하는 하드웨어에 대한 접근 같은 공격 말이다. 애저 컨피덴셜 컴퓨팅은 데이터 주인의 동의 없이 서드파티가 데이터에 접근하는 것도 막을 수 있으며 애플리케이션, OS, 하이퍼바이저 등의 버그를 겨냥한 멀웨어까지 차단할 수 있다고 MS는 강조했다.
애저 컨피덴셜 컴퓨팅의 일부로 MS가 구축하고 있는 플랫폼은 개발자가 코드를 바꾸지 않고 여러 개의 TEE를 사용할 수 있도록 만드는 것이다. 애저는 우선적으로 소프트웨어 기반의 VSM(Virtual Secure Mode)와 하드웨어 기반의 인텔 SGX(Software Guard Extensions)를 지원할 예정이다.
VSM은 윈도우 10 및 윈도우 서버 2016의 하이퍼 V(Hyper-V)에 의해 실행되는 엔클레이브다. 하이퍼 V는 관리자 코드가 컴퓨터나 서버에서 실행되는 것을 방지한다. 로컬 관리자와 클라우드 서비스 관리자는 VSM 엔클레이브 내부의 콘텐츠를 보거나 실행을 변경할 수 없다.
인텔 SGX TEE는 공공 클라우드 중 최초로 SGX이 가능한 서버를 갖고 있다. 자신의 신뢰 모델에 애저나 MS를 포함시키고 싶지 않은 사용자라면 SGX 엔클레이브를 이용할 수 있다. MS는 인텔 및 다른 파트너들과 더 많은 TEE를 만들고 지원하기 위해 작업하고 있다.
MS는 애저 컨피덴셜 컴퓨팅이 금융, 의료, 인공지능 등의 산업에서 적용되리라고 전망한다. 루시노비치는 “금융을 예로 들자면, 개인 포트폴리오 정보와 자산 관리 전략은 TEE 밖에서는 더 이상 보이지 않을 것”이라고 말했다.
의료기관의 경우, 게놈 서열과 같은 환자 정보를 안전하게 보관할 수 있을 것으로 보인다. 여러 데이터 세트를 아울러 머신 러닝을 적용함으로써 더 깊이 있는 통찰을 확보하면서 안전성까지 강화할 수 있을 것으로 기대하고 있다.
컨피덴셜 컴퓨팅에 관심있는 MS 고객이라면 MS의 조기 액세스 프로그램을 참조하면 된다. 이 프로그램을 통해서 애저 VSM, SGX이 가능한 가상 기계, 툴, SDK, 윈도우와 리눅스 지원 등을 먼저 체험할 수 있다는 게 MS 측의 설명이다.
[국제부 오다인 기자(boan2@boannews.com)]
Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
오다인기자 기사보기
[2024-10-31] 
