Google Cloud ouvre la voie à l'informatique « confidentielle »

L'informatique dite « confidentielle » commence à prendre forme dans l'offre Google Cloud.

La fonctionnalité Compute VM, lancée en bêta, en est la première incarnation. Elle se traduit par une option supplémentaire activable lors de la création d'instances Compute Engine.

La promesse : une confidentialité accrue, avec des données qui restent chiffrées lors de leur traitement. Et pour Google, l'espoir de voir basculer vers son cloud des workloads critiques restés sur site.

Le groupe américain travaille sur cette problématique dans le cadre d'un consortium monté l'an dernier sous l'égide de la fondation Linux. Alibaba, Baidu, IBM et Microsoft en sont aussi membres.

Compute VM fonctionne avec les machines virtuelles GCP de série N2D, basées sur des processeurs AMD EPYC 7002 (Rome). Elles en exploitent la technologie SEV (Secure Encrypted Virtualization), qui garantit le maintien du chiffrement en RAM, avec des clés gérées intégralement au sein du CPU.

Le service ne fonctionne qu'avec des VM protégées (« Shielded VMs »). Celles-ci disposent de couches de sécurité additionnelles (démarrage sécurisé, TPM virtuel, surveillance d'intégrité) pour éviter la compromission par des logiciels malveillants ou des rootkits. Google propose plusieurs images système adaptées : Ubuntu (18.04 et 20.04), Red Hat Enterprise Linux 8.2 et COS (Container Optimized OS). Et garantit des performances proches de celles des VM non protégées (voir ci-dessous).

Microsoft dispose déjà d'une offre commerciale sur ce même segment. Elle englobe les VM de série DCsv2 sur base Xeon E-2200. Le jeu d'instructions Intel SGX (Software Guide Extensions) est ici mise en ouvre.

La firme de Redmond a conçu son propre SDK Open Enclave destiné à développer des applications Windows et Linux exécutables en environnement sécurisé. Il prend également en charge la technologie ARM TrustZone. Son pendant chez Google se nomme Asylo.

Illustrations © Google