黑客越來越精於利用暴
露明文數據的加密漏洞，但新的硬件及軟件運行時加密解決方案也應運而生，目的就是要堵住這些漏洞。
雲應用時代產生了新的加密漏洞。很多公司至今仍忽視存儲數據加密工作，但存儲數據的加密確實很直觀易行。傳輸中數據的加密也是如此。那麼正在使用中的數據又該怎麼加密呢？
雲應用總得看得到明文形式的數據才可以進行數據處理。這就意味著，握有該應用環境訪問權的攻擊者或內部人可以偷看到這些數據。幽靈和熔斷惡意軟件利用的就是此類安全漏洞。
此前，公司企業避免此類漏洞的唯一方法，是在客戶端運行應用，而云端僅用作存儲。如今則湧現出了幾個從硬件和軟件層面解決該問題的技術。谷歌。微軟和IBM都已經部署或正在使用此類解決方案。還有幾家初創公司正在研究解決這方面的特定用例。
這是一個真正新興的領域，以至於都還沒出現任何對市場規模的評估。前景看好，但市場尚未成熟。
芯片上的安全飛地
手機上早已廣為應用安全飛地來存儲關鍵身份驗證及支付信息。安全飛地的理念是，加密數據進入到受保護的飛地進行解密和處理，完工後再加上密才出飛地。因為是硬件加密，速度和可靠性都有保障。
支持雲計算的芯片也有類似技術，英特爾、ARM和AMD都有，名為可信執行環境。AMD有其安全執行環境(SEE)，ARM的是可信區域(TrustZone)，英特爾是軟件保護擴展(SGX)。
操作系統動不了飛地。即便操作系統中存在零日漏洞，飛地也是安全的。即便惡意內部人能訪問系統，飛地還是安全的。即便物理攻擊者掌握了所有內存，運行時加密依然牢不可破——因為飛地是嵌入到CPU中的。
安全公司Fortanix的平臺可以讓現有應用訪問安全飛地。應用需要數據的時候，數據會被成塊解密出來。在應用看來就是在明文數據上操作——當程序需要使用數據時數據總是很神奇地即時可用。
除了通用應用框架，Fortanix還提供預構建的解決方案，包括一個密鑰管理設備和一個數據庫產品。2018年6月20日，該公司推出了一款支持Python和R語言應用程序的分析產品，讓以Python和R語言為主的人工智能及機器學習應用在雲端訓練時無懼底層數據安全破壞風險，有助於解決AI工作負載的數據隱私難題。
GeneTank公司之前使用基於軟件的運行時安全——同態加密，現在便可利用Fortanix的運行時加密( Runtime Encryption )來為基因醫療算法和AI服務提供安全透明的環境了。
Fortanix的另一早期採納者是iExec，這是家以基於區塊鏈的雲計算來提升AI效率的公司。這家公司將使用Fortanix的運行時加密技術來保護其平臺上的App。
Fortanix可以支持其他芯片集，但目前主要落腳在 Intel SGX 上，因為 Intel SGX 是該領域中的領頭羊，且擁有最廣泛的供應商支持。IBM則在去年12月宣佈其 Data Guard 服務與Fortanix達成協作，如今已開始接受早期註冊。
IBM計劃為MySQL、Nginx、 Forgerock OpenDJ、OpenStack Barbican 和軟件密鑰管理器提供初步支持，Docker註冊已備好。另外，公司企業還可運用Fortanix的工具包來轉換自有應用。
微軟的Azure機密計算也採用 Intel SGX 技術。上個月，微軟宣佈其Azure美國東區可以使用帶SGX的 Intel Xeon 處理器了。微軟目前還在研發軟件開發工具和API以方便開發人員使用 Intel SGX 硬件。
同樣是在上月，谷歌攜開源安全應用開發框架Asylo加入競爭，其開發出的應用採用 Intel SGX 之類可信執行環境。安全供應商Gemalto已開始打造利用該新技術的工具——SafeNet，一款基於雲的密鑰管理服務。
以服務形式提供密鑰管理的另一家公司是Equinix。與IBM類似，Equinix將Fortanix作為基礎技術，且其服務在去年秋天發佈時是市場上首款基於 Intel SGX 的主流產品。
如今，約60%的公司企業在嘗試Equinix的服務，用例各種各樣，有用來加密信用卡信息的，有用來做數據庫密鑰加密的。
亞馬遜方面尚未傳來任何有關 Intel SGX 使用的消息，但目前下定論還為時過早。Intel SGX 正被越來越多的公司企業採納，運行時加密在不遠的將來將成為行業標準。
安全飛地的弱點
基於硬件的安全飛地在數據容量上有限制，可能會增加處理延時。更重要的是，在雲端運行應用的客戶通常不知道雲平臺提供商到底用的是哪種硬件。雲提供商若能提供可自動適應硬件的應用環境，那這個問題就能得到解決。
安全飛地還不能防護應用本身受到入侵。舉個例子，如果黑客搞到了合法憑證或發現了代碼漏洞，就能通過應用觸及數據。代碼本身若不健壯，任何軟件解決方案都擋不住攻擊襲來。
另外，安全飛地本身的完整性也存有問題。俄亥俄州的研究人員最近演示了名為的SgXSpectre的 Intel SGX 漏洞。該漏洞類似幽靈，當飛地代碼的分支預測可被飛地之外的程序影響，該飛地程序的控制流就會被短時切換去執行可致緩存狀態變化可見的指令。換句話說，該漏洞能令攻擊者讀取飛地中的未加密數據。
基於軟件的雲計算安全方法
基於軟件的方法主要是儘量將工作移到雲端進行而不解密數據，主要有兩種實現方式：同態加密和多方計算。
同態加密可以不需要先解密數據就執行計算或搜索，但執行速度會特別慢。
多方計算是把計算任務分解成多份，在不同服務器上分別執行，任何一臺服務器都拿不全未加密數據。這種方式比同態加密執行更快，但仍慢於基於硬件的安全方法。延時主要是由額外的通信負擔增加的。
Inpher公司同時涉獵多方計算和同態加密兩種方法，其商業商品Xor使用多方計算處理基於雲的安全分析，並另有一個開源同態加密庫。
同態加密方法的速度太慢，所以該公司的商業產品還是採用了多方計算方法。
Inpher為常見分析平臺及語言(如 Tensor Flow、Python和R)提供了一套連接器；Hadoop集群、SQL數據庫，甚至文本文件之類常見數據存儲方法也有相應的連接器可用。對Inpher的產品而言，數據存儲方式無關緊要，其產品全權託管了數據處理方式的重構，終端用戶無需操心所用加密的複雜性。
Inpher客戶包括荷蘭國際集團比利時銀行( ING Belgium )和法國國防承包商Thales。後者在4月宣佈了與Inpher的合作伙伴關係，將使用其安全分析進行預測性維護。目前很難找出公開宣稱使用運行時加密的公司，不僅僅是因為該技術還非常新，也在於其實現會很困難。
無論是同態加密還是多方計算，都要求有新的應用邏輯，但不是所有的程序都可以轉向此類計算。
因此，大多數供應商當前提供的是非常特定的解決方案。比如說，Galois公司的道德安全信息披露框架(FIDES)能讓研究人員在看不到原始數據的情況下訪問加密數據集，但卻只有使用被禁的查詢參數才能得到結果。
Galois正與美國國土安全部(DHS)合作，嘗試對數據施以訪問控制，令數據在使用過程中也保持加密狀態。美國國防部也與Galois有類似合作。
另一家供應商，曾名為 Dyadic Security 的 Unbound Tech，提供基於軟件的安全密鑰管理器，作為硬件安全模塊的替代。該管理器使用多方計算，密鑰既不存於內存，也不保存在同一個地方，而是放到多個位置上分別對數據進行計算。
Unbound Tech 專注於非常具體的應用，讓客戶無需重寫其應用程序。這就是個即插即用的安全方案。試用過該公司產品的企業表達了訂購意願。
Unbound還計劃提供安全數據庫訪問，這也是基於軟件的運行時加密的又一常見用例。通常來講，該領域的供應商提供的產品位於客戶自身應用和標準數據庫(如SQL)之間。
如果客戶的應用程序完全依賴數據庫進行數據檢索和處理，那麼客戶就可利用現成的運行時加密而無需任何重構。如果客戶應用從數據庫取出數據再以自身內部邏輯進行處理，那再轉換為同態加密或多方計算就難得多了。世界上所有產品都不會直接接受一個C程序，總要轉換加密協議的。
Baffle公司已經推出了使用多方計算的數據庫安全訪問產品。他們在應用和數據庫之間插入了一層，並沒有對應用做出任何改動。
用基於軟件的運行時加密替代 Intel SGX 這樣的硬件方法，其好處是不依賴於特定硬件。但隨著 Intel SGX 應用的推廣，Baffle可能也會運用SGX。
與該領域其他供應商類似，Baffle也是相對較年輕的公司。該公司去年才宣佈支持SQL，去年秋天宣佈支持AWS和Azure，並在6月4日宣稱支持通配符搜索功能。Baffle擁有約12家金融服務和醫療保健行業的客戶，產品部署分處不同階段。
Baffle的主要競爭對手之一是Enveil——一家國防工業出身的公司。Enveil成立於2016年，宣稱發現了能讓同態加密足夠快的秘密方法。其CEO稱：“我們在聯邦政府做出了重大突破，被認證為國家級應用。我們將同態加密帶入了實用，可以非常容易地接入任何類型的應用程序，客戶無需改變用戶體驗，也無需切換數據存儲方式，甚至數據加密方法都不用變。”
Enveil基於具體案例分析為客戶提供基準數據，但並不公開這一基準。Enveil的技術可用於多種類型的應用程序，但大多數人都用於搜索和分析。
基於軟件的運行時加密供應商
提供基於軟件的運行時加密產品的供應商一直在增加，比如下面幾個：
- Baffle：多方計算用於安全數據庫訪問
- Duality：同態加密用於雲分析
- Enveil：同態加密用於基於雲的分析和搜索，並有 Intel SGX 系基於硬件的安全飛地
- Inpher：多方計算用於分析，並有開源同態加密庫
- Partisia：多方計算用於在線競拍
- Sepior：多方計算用於密鑰管理
- Sharemind：多方計算用於欺詐檢測
- UnBound：多方計算用於密鑰管理
- CryptoExperts：專精於同態加密項目的諮詢公司
- Galois：專精於多方計算項目的諮詢公司
運行時加密會成為一項產業還是僅僅是一個功能呢？
不是每家公司都想採用運行時加密，其中還有些取捨平衡問題，比如會割裂應用，會離散功能等等。
不過，對SaaS供應商來說，運行時加密可作為一項非常有用的功能提供給特別注重安全的客戶。運行時加密就是種功能，不是一項產業。
運行時加密作為由大型雲平臺或網絡安全供應商提供的功能可能更有意義。網絡安全巨頭Gemalto和Thales的併購一旦完成，該領域可能還會見證更多併購。
同時，在邁向運行時加密之前，公司企業還有很多其他安全問題需要處理。終端用戶一側並沒有對運行時加密投以太多關注。
閱讀更多 安全牛 的文章
