Configurar o atestado para Always Encrypted usando o Atestado do Azure

Aplica-se a: Banco de Dados SQL do Azure

O Atestado do Microsoft Azure é uma solução usada para atestar TEEs (Ambientes de Execução Confiáveis), incluindo enclaves Intel SGX (Software Guard Extensions da Intel).

Para usar o Atestado do Azure para atestar enclaves Intel SGX usados para Always Encrypted com enclaves seguros no Banco de Dados SQL do Azure, você precisa:

1. Crie um provedor de atestado e configure-o com a política de atestado recomendada.

2. Determine a URL de atestado e compartilhe-a com os administradores de aplicativos.

Criar e configurar um provedor de atestado

Um provedor de atestado é um recurso no Atestado do Azure que avalia as solicitações de atestado em relação às políticas de atestado e emite tokens de atestado.

As políticas de atestado são especificadas usando a gramática de regra de declaração.

A Microsoft recomenda a seguinte política para atestar os enclaves Intel SGX usados para Always Encrypted no Banco de Dados SQL do Azure:

version= 1.0;
authorizationrules 
{
       [ type=="x-ms-sgx-is-debuggable", value==false ]
        && [ type=="x-ms-sgx-product-id", value==4639 ]
        && [ type=="x-ms-sgx-svn", value>= 2 ]
        && [ type=="x-ms-sgx-mrsigner", value=="e31c9e505f37a58de09335075fc8591254313eb20bb1a27e5443cc450b6e33e5"] 
    => permit();
};

A política verifica se:

• O enclave dentro do Banco de Dados SQL do Azure não dá suporte à depuração.

  Os enclaves podem ser carregados com a depuração desabilitada ou habilitada. O suporte à depuração foi projetado para permitir que os desenvolvedores solucionem problemas de código em execução em um enclave. Em um sistema de produção, a depuração pode permitir que um administrador examine o conteúdo do enclave, o que reduz o nível de proteção que o enclave fornece. A política recomendada desabilita a depuração para garantir que, se um administrador mal-intencionado tentar ativar o suporte à depuração assumindo o computador enclave, o atestado falhará.

• A ID do produto (product ID) de enclave corresponde à ID do produto (product ID) atribuída a Always Encrypted com enclaves seguros.

  Cada enclave tem uma ID do produto (product ID) exclusiva que diferencia o enclave de outros enclaves. A ID do produto (product ID) atribuída ao enclave do Always Encrypted é 4639.

• O SVN (número de versão de segurança) da biblioteca é maior que ou igual a 2.

  O SVN permite que a Microsoft responda a possíveis bugs de segurança identificados no código do enclave. Caso um problema de segurança seja descoberto e corrigido, a Microsoft implantará uma nova versão do enclave com um novo SVN (incrementado). A política recomendada será atualizada para refletir o novo SVN. Ao atualizar sua política para corresponder à política recomendada, você pode garantir que, se um administrador mal-intencionado tentar carregar um enclave mais antigo e inseguro, o atestado falhará.

• A biblioteca no enclave foi assinada usando a chave de assinatura da Microsoft (o valor da declaração x-ms-sgx-mrsigner é o hash da chave de assinatura).

  Um dos principais objetivos do atestado é convencer os clientes que o binário em execução no enclave é o binário que deve ser executado. As políticas de atestado fornecem dois mecanismos para essa finalidade. Um é a declaração mrenclave que é o hash do binário que deve ser executado em um enclave. O problema com o mrenclave é que o hash do binário é alterado mesmo com alterações triviais no código, o que torna difícil a revisão do código em execução no enclave. Portanto, recomendamos o uso do mrsigner, que é um hash de uma chave usada para assinar o binário do enclave. Quando a Microsoft revisa o enclave, o mrsigner permanece o mesmo, desde que a chave de assinatura não mude. Dessa forma, torna-se viável implantar binários atualizados sem quebrar os aplicativos dos clientes.

Para obter instruções sobre como criar um provedor de atestado e configurar com uma política de atestado usando:

• Início rápido: Configurar Atestado do Azure com o portal do Azure

  Importante

  Ao configurar sua política de atestado com o portal do Azure, defina o Tipo de Atestado como SGX-IntelSDK.

• Início Rápido: Configurar o Atestado do Azure com o Azure PowerShell

  Importante

  Ao configurar sua política de atestado com o Azure PowerShell, defina o parâmetro Tee como SgxEnclave.

• Início Rápido: Configurar o Atestado do Azure com a CLI do Azure

  Importante

  Ao configurar sua política de atestado com a CLI do Azure, defina o parâmetro attestation-type como SGX-IntelSDK.

Determinar a URL de atestado para sua política de atestado

Depois de configurar uma política de atestado, você precisa compartilhar a URL de atestado com os administradores de aplicativos que usam o Always Encrypted com enclaves seguros no Banco de Dados SQL do Azure. A URL de atestado é o Attest URI do provedor de atestado que contém a política de atestado, que tem a seguinte aparência: https://MyAttestationProvider.wus.attest.azure.net.

Usar o portal do Azure para determinar a URL de atestado

No painel Visão Geral do provedor de atestado, copie o valor da propriedade Attest URI para área de transferência.

Usar o PowerShell para determinar a URL de atestado

Use o cmdlet Get-AzAttestation para recuperar as propriedades do provedor de atestado, incluindo AttestURI.

Get-AzAttestation -Name $attestationProviderName -ResourceGroupName $attestationResourceGroupName

Para obter mais informações, confira Criar e gerenciar um provedor de atestado.

Próximas etapas

• Gerenciar chaves para Always Encrypted com enclaves seguros

Confira também

• Introdução ao uso de Always Encrypted com enclaves seguros