Attestation

Výpočetní prostředí je základní součástí našeho každodenního života, které nutí všechno od našich smartphonů až po kritickou infrastrukturu. Rostoucí regulační prostředí, rozšíření kybernetických útoků a rostoucí sofistikovanost útočníků ale ztěžovalo důvěřovat pravosti a integritě výpočetních technologií, na kterých jsme závislí. Ověření identity, technika ověřování softwarových a hardwarových komponent systému, je důležitým procesem pro vytvoření a zajištění toho, aby výpočetní technologie, na které spoléháme, byly důvěryhodné.

V tomto dokumentu se podíváme na to, co je ověření identity, jaké typy ověření identity Microsoft nabízí dnes a jak zákazníci můžou tyto typy scénářů ověření identity využívat v řešeních Microsoftu.

Co je Ověření identity?

Při vzdáleném ověření identity vytvoří "jeden partnerský vztah" ("Attester") dosažitelné informace o sobě ("důkaz") umožňující vzdálenému partnerskému vztahu (předávající straně) rozhodnout, jestli se má Attester považovat za důvěryhodný partnerský vztah. Postupy vzdáleného ověření identity jsou usnadňovány dodatečnou zásadní stranou ("Ověřovatel"). Ověření identity je jednodušší způsob, jak prokázat, že počítačový systém je důvěryhodný. Abychom měli lepší představu o tom, co je ověření identity a jak funguje v praxi, porovnáme proces ověření identity v computingu s příklady skutečného života s pasy a kontrolami na pozadí. Definice a modely, které v tomto dokumentu používáme, jsou popsány v dokumentu architektury IETF (Internet Engineering Task Force). Další informace najdete v tématu Internet Engineering Task Force: Architektura RATs (Remote ATtestation ProcedureS).

Model passportu

Passport Model - Imigrace Desk

1. Občan chce cestovní pas do cizí země/oblasti. Občan předloží požadavky na doklady své hostitelské zemi nebo oblasti.
2. Hostitelská země nebo oblast obdrží důkaz o dodržování zásad od jednotlivce a ověří, zda zadané důkazy prokázaly, že jednotlivec splňuje zásady pro vydání pasu.
   • Rodný certifikát je platný a nebyl změněn.
   • Vystavitel rodného certifikátu je důvěryhodný
   • Jednotlivec není součástí seznamu s omezeným přístupem
3. Pokud hostitelská země nebo oblast rozhodne, že důkazy splňují své zásady, vydá hostitelská země nebo oblast pas pro občana.
4. Občan cestuje do cizího státu, ale nejprve musí předložit svůj pas zahraniční zemi/regionu hraniční hlídka pro vyhodnocení.
5. Zahraniční země/oblast hraniční patrol agent zkontroluje řadu pravidel cestovního pasu před tím, než mu důvěřuje.
   • Passport je autentický a nebyl změněn.
   • Passport byl vytvořen důvěryhodnou zemí nebo oblastí.
   • Passport nevypršel ani neodvolal.
   • Passport odpovídá zásadám víza nebo věkového požadavku.
6. Agent hraniční stráže cizí země/oblasti schválí cestovní pas a občan může vstoupit do cizí země/oblasti.

Passport Model – výpočty

1. Důvěryhodné spouštěcí prostředí (TEE), jinak označované jako Attester, chce načíst tajné kódy ze Správce tajných kódů, označované také jako předávající strana. Aby bylo možné načíst tajné kódy ze Správce tajných kódů, musí TEE prokázat, že je důvěryhodný a pravý pro Správce tajných kódů. Společnost TEE předloží své důkazy ověřiteli, aby prokázala, že je důvěryhodná a pravá, včetně hodnoty hash provedeného kódu, hodnoty hash jeho prostředí sestavení a jeho certifikátu generovaného výrobcem.
2. Verifier, služba ověření identity, vyhodnocuje, jestli důkaz poskytnutý společností TEE splňuje následující požadavky pro důvěryhodnost.
   • Certifikát je platný a nebyl změněn.
   • Vystavitel certifikátu je důvěryhodný
   • Důkaz TEE není součástí seznamu omezených položek.
3. Pokud ověřovatel rozhodne, že důkazy splňují definované zásady, vytvoří ověřitel výsledek ověření identity a poskytne ho TEE.
4. TEE chce vyměňovat tajné kódy se Správcem tajných kódů, ale nejprve musí předložit výsledek ověření identity správci tajných kódů pro vyhodnocení.
5. Správce tajných kódů zkontroluje řadu pravidel pro výsledek ověření identity před tím, než mu důvěřuje.
   • Výsledek ověření identity je autentický a nebyl změněn.
   • Výsledek ověření identity byl vytvořen důvěryhodnou autoritou.
   • Výsledek ověření identity nevypršel ani neodvolal.
   • Výsledek ověření identity odpovídá nakonfigurovaným zásadám správce.
6. Správce tajných kódů schválí výsledek ověření identity a vymění tajné kódy s TEE.

Model kontroly pozadí

Kontrola na pozadí – ověření školy

1. Osoba provádí kontrolu na pozadí s potenciálním zaměstnavatelem, aby získal práci. Osoba předloží vzdělání školy, které se zúčastnila potenciálnímu zaměstnavateli.
2. Zaměstnavatel načte vzdělání od osoby a předá ji příslušné škole, aby ji ověřil.
3. Škola vyhodnotí, jestli vzdělání poskytnuté osobou splňuje školní záznamy.
4. Škola vydá výsledek ověření identity, který ověří, že vzdělání osoby odpovídá jejich záznamům a odešle ho zaměstnavateli.
5. Zaměstnavatel, jinak označovaný jako předávající strana, může před důvěryhodností zkontrolovat řadu pravidel pro výsledek ověření identity.
   • Výsledek ověření identity je autentický, nebyl změněn a skutečně pochází ze školy.
   • Výsledek ověření identity vytvořila důvěryhodná škola.
6. Zaměstnavatel schválí výsledek ověření identity a najímá osobu.

Kontrola na pozadí – výpočty

1. Důvěryhodné spouštěcí prostředí (TEE), jinak označované jako Attester, chce načíst tajné kódy ze Správce tajných kódů, označované také jako předávající strana. Aby bylo možné načíst tajné kódy ze Správce tajných kódů, musí TEE prokázat, že je důvěryhodná a pravá. Společnost TEE pošle své důkazy správci tajných kódů, aby prokázala, že je důvěryhodná a pravá, která zahrnuje hodnotu hash svého spuštěného kódu, hodnotu hash jeho prostředí sestavení a jeho certifikát vygenerovaný jeho výrobcem.
2. Správce tajných kódů načte důkazy z TEE a předá ho ověřiteli.
3. Služba Verifier vyhodnocuje, jestli důkazy poskytnuté TEE splňují definované požadavky zásad pro důvěryhodnost.
   • Certifikát je platný a nebyl změněn.
   • Vystavitel certifikátu je důvěryhodný.
   • Důkaz TEE není součástí seznamu s omezeným přístupem.
4. Verifier vytvoří výsledek ověření identity pro TEE a odešle ho správci tajných kódů.
5. Správce tajných kódů zkontroluje řadu pravidel pro výsledek ověření identity před tím, než mu důvěřuje.
   • Výsledek ověření identity je autentický a nebyl změněn.
   • Výsledek ověření identity byl vytvořen důvěryhodnou autoritou.
   • Výsledek ověření identity nevypršel ani neodvolal.
   • Výsledek ověření identity odpovídá nakonfigurovaným zásadám správce.
6. Správce tajných kódů schválí výsledek ověření identity a vymění tajné kódy s TEE.

Typy ověření identity

Služby ověření identity je možné využít dvěma různými způsoby, které každý z nich poskytuje své vlastní výhody.

Poskytovatel cloudu

V Microsoftu poskytujeme microsoft Azure Attestation (MAA) jako službu určenou pro zákazníky a rozhraní pro testování důvěryhodných spouštěcích prostředí (TEE), jako jsou enklávy Intel Software Guard Extensions (SGX), enklávy založené na virtualizaci (VBS), čip TPM (Trusted Platform Modules), důvěryhodné spuštění a důvěrné virtuální počítače. Výhody používání služby ověření identity poskytovatele cloudu, jako je azure attestation, zahrnuje:

• Volně dostupné
• Zdrojový kód je k dispozici pro státní správu prostřednictvím nástroje Microsoft Code Center Premium Tool.
• Chrání data při používání v rámci enklávy Intel SGX.
• Ověřuje více TEE v jednom řešení.
• Nabízí silnou smlouvu o úrovni služeb (SLA).

Vytvoření vlastního

Zákazníci můžou vytvořit vlastní mechanismy ověření identity, které důvěřují své výpočetní infrastruktuře z nástrojů poskytovaných poskytovateli cloudu a hardwaru. Vytvoření vlastních procesů ověření identity pro řešení Microsoftu může vyžadovat použití správy důvěryhodných hardwarových identit (THIM) – řešení, které zpracovává správu certifikátů mezipaměti pro všechna důvěryhodná spouštěcí prostředí (TEE) umístěná v Azure a poskytuje informace o důvěryhodném výpočetním základu (TCB) k vynucení minimálního směrného plánu pro řešení ověření identity. Výhody vytváření a používání vlastní služby ověření identity zahrnují:

• 100% kontrola nad procesy ověření identity, které splňují zákonné požadavky a požadavky na dodržování předpisů
• Přizpůsobení integrací s jinými výpočetními technologiemi

Scénáře ověření identity v Microsoftu

Microsoft nabízí řadu scénářů ověření identity, které zákazníkům umožňují zvolit si mezi scénářem služby Cloud Provider a Sestavit vlastní službu ověření identity. Pro každou část se podíváme na nabídky Azure a dostupné scénáře ověření identity.

Virtuální počítače s enklávy aplikací

Virtuální počítače s enklávami aplikací jsou povoleny technologií Intel SGX, což organizacím umožňuje vytvářet enklávy, které chrání data, a zachovat data zašifrovaná při zpracování dat procesorem. Zákazníci můžou testovat enklávy Intel SGX v Azure pomocí MAA a sami.

• Domovská stránka Ověření identity Intel SGX
• Poskytovatel cloudu: Ověření vzorového kódu Intel SGX pomocí MAA
• Vytvořit vlastní: Open Enclave Attestation

Důvěrné virtuální počítače

Důvěrné virtuální počítače jsou povoleny technologií AMD SEV-SNP, což organizacím umožňuje izolaci na základě hardwaru mezi virtuálními počítači a základním kódem pro správu hostitelů (včetně hypervisoru). Zákazníci můžou své spravované důvěrné virtuální počítače v Azure otestovat pomocí MAA a sami.

• Domovská stránka ověření identity důvěrných virtuálních počítačů
• Poskytovatel cloudu: Co je ověření hosta pro důvěrné virtuální počítače?
• Vytvořit vlastní: Načtení a ověření nezpracované sestavy AMD SEV-SNP vlastními

Důvěrné kontejnery ve službě Azure Container Instances

Důvěrné kontejnery ve službě Azure Container Instances poskytují sadu funkcí a možností pro další zabezpečení standardních úloh kontejnerů, které zajišťují vyšší zabezpečení dat, ochranu osobních údajů a cíle integrity kódu modulu runtime. Důvěrné kontejnery běží v hardwarově chráněném důvěryhodném spouštěcím prostředí (TEE), které poskytuje vnitřní funkce, jako je integrita dat, důvěrnost dat a integrita kódu.

• Poskytovatel cloudu: Ověření identity v důvěrných kontejnerech ve službě Azure Container Instances