Auf der Veranstaltung des Intel Security Day am Dienstag stellte das Unternehmen seine aktuelle und zukünftige Vision für sicherheitsrelevante Funktionen in seiner Hardware vor.

Anil Rao und Scott Woodgate eröffneten ihre Präsentation mit aktuellen und zukünftigen Diskussionen über SGX (Software Guard Extensions), aber interessanter war ihre Berichterstattung über die Pläne des Unternehmens, die volle Speicherverschlüsselung in zukünftigen Intel-Prozessoren einzuführen.

Intel SGX, das 2014 angekündigt und 2015 mit der Skylake-Mikroarchitektur eingeführt wurde, ist eine der ersten Hardware-Verschlüsselungstechnologien, die Speicherbereiche vor unbefugten Benutzern, einschliesslich den Systemadministratoren selbst, schützen soll. SGX ist ein x86_64-Prozessor-Befehlssatz, der es ermöglicht, eine Enklave im Speicher mit Hardware-Verschlüsselung zu erstellen. Die in der verschlüsselten Enklave gespeicherten Daten werden nur innerhalb des Prozessors entschlüsselt, und trotzdem werden sie nur entschlüsselt, wenn Anweisungen von der Enklave selbst angefordert werden.

Folglich kann selbst jemand, der Root-Zugriff (Systemadministrator) auf das laufende System hat, keine SGX-geschützten Enklaven lesen oder modifizieren. Dies ermöglicht die sichere Verarbeitung vertraulicher Daten mit einem hohen Maß an Schutz auf gemeinsam genutzten Systemen, wie z.B. Cloud-VM-Hosts. Die Möglichkeit, diese Art von Workloads vom lokalen Rechenzentrum in massive öffentliche Clouds zu verlagern, reduziert die Betriebskosten und erhöht die Betriebszeit, Skalierbarkeit und sogar den Stromverbrauch.

Intel SGX hat mehrere Probleme. Das erste und offensichtlichste ist, dass es proprietär und herstellerspezifisch ist - wenn Sie eine Anwendung entwerfen, die SGX zum Schutz Ihres Speichers verwendet, wird sie nur auf Intel-Prozessoren laufen. Die zweite ist, dass Sie eine auf SGX basierende Anwendung entwerfen müssen - Sie können nicht einfach den Schalter umlegen und einschalten.

Schließlich hat die Verwendung von SGX eine potenziell signifikante Auswirkung auf die Leistung. Danny Harnik von IBM testete die SGX-Leistung 2017 recht ausgiebig und stellte fest, dass viele übliche Arbeitslasten bei der Ausführung innerhalb von SGX-Aliasen leicht einen 20 bis 50-prozentigen Rückgang der Bandbreite feststellen konnten.

Im Moment ist die Software Guard Erweiterung das einzige verfügbare Angebot von Intel. Aber nachdem er die tatsächliche Nutzung von SGX diskutiert hatte, ging Rao zu Intels Zukunftstechnologien über - insbesondere zur Verschlüsselung des gesamten Speichers. Intel bezeichnet seine Version der Vollspeicherverschlüsselung als TME (Total Memory Encryption) oder MKTME (Multi-Key Total Memory Encryption). Leider handelt es sich bei diesen Funktionen derzeit um Software. Obwohl Intel im vergangenen Mai einen riesigen Patch-Satz des Linux-Kernels eingeführt hat, um diese Funktionen zu aktivieren, gibt es noch immer keine echten Prozessoren, die diese Funktionen anbieten.

AMDs Ansatz zur Speicherverschlüsselung hat auch viel weniger Auswirkungen auf die Leistung als Intel SGX. In einer Präsentation im Jahr 2018 zeigten Forscher der Wayne State University und der University of Houston, dass die meisten Arbeitslasten trotz der erheblichen Leistungseinflüsse von Intels SGX völlig unbeeinflusst von der Secure Encryption Virtualization (einer Untergruppe der kleinen und mittleren Unternehmen von AMD, die es ermöglicht, die gesamte virtuelle Maschine mit VM-Verschlüsselung zu verschlüsseln, wobei für jede abgedeckte virtuelle Maschine ein separater Schlüssel verwendet wird) sind.