この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。
こんにちは、臼田です。
本日はAWS Security Roadshow Japan 2021で行われた以下の講演のレポートです。
基調講演１: Confidential Computing & AWS
アマゾンウェブサービス (AWS) がコンフィデンシャル・コンピューティング技術を提供する詳細な方法を、AWS CISO のスティーブ・シュミットが説明します。本セッションでは、EC2 Nitro インスタンスのハードウェア仕様と、データ保護やデータ主権に関してお客様に提供する保証についてお話します。このセッションに参加することで、機微な個人特定情報 (PII) を AWS クラウド上で安全に保つ方法をより良く理解いただけます。
Amazon Web Services Inc. Vice President and Chief Information Security Officer Stephen Schmidt
レポート
- AWSクラウドのセキュリティについてイベントが出来ることに感謝している
- セッションとハンズオンでクラウドセキュリティについて学べるイベント
- デジタル庁が立ち上がりガバメントクラウドの整備が進んでいると聞いている
- コンフィデンシャルコンピューティングが必要である
- ガバメントクラウドで日本に貢献していきたい
- 今回のテーマはコンフィデンシャルコンピューティング
- セキュリティの概念だけではない
- 具体的な事例も紹介していく
- ただ高度な専門用語を使うだけではない
- わかりやすく伝えていく
- 他にも多くのトピックがある
- コンフィデンシャルコンピューティングの定義から、どのように取り組んでいるのか、そのユースケースを紹介
コンフィデンシャルコンピューティング
- 外部の脅威からデータを保護するため専用のハードウェアとファームウェアを利用する
- AWSではよりよい方法を提供できる
- 2つの側面がある
- インフラのオペレータ
- つまりAWSからデータを守ること
- AWSではお客さまのデータにアクセスしない
- ワークロードコンポーネントの保護
- セキュリティの層が増える
- 機密性を維持しながら外部からのアクセスを処理する
- Nitro Systemで実現する
- 専用のハイパーバイザー
- 高度なセキュリティを確保できるのはNitroシステムのおかげ
- Nitroカード
- カプセル化
- EBSの暗号化を可能に
- Nitroセキュリティチップ
- マイクロコントローラー
- 信頼できるハードウェア
- コントローラーのみが制御できる
- Nitroハイパーバイザー
- セキュリティ機能がパフォーマンスに影響しない
- メモリやCPUへの脅威から守る
- ベアメタルを使うことと変わらない
- セキュリティブート
- AWSは顧客のデータに一切アクセスしない
- Nitroシステムではルートアクセスがない
- すべてのデータはAES-256で暗号化
- 暗号化キー管理はKMSが利用できる
- 削除のライフサイクルも管理されている
- 多くの保護が行われている
- ハイパーバイザーがネットワーク通信をしない
- 高い信頼性と機密性がある
- 実際にNitroシステムを使う方法を紹介
Nitro Enclaves
- Attack Surfaceをへらすことが出来る
- 監査役が求めるドキュメント提供も可能
- APIで利用できる
- SDKとコマンドラインインターフェースがある
- Linuxから簡単に利用できる
- Case1
- 混ぜたくない顧客の機密データがある場合
- クレジットカード情報など
- 双方に露出させない迅速で安全な通信が必要
- 命を救う薬の開発に医療データを扱う場合
- 機密を守る必要がある
- Case2
- 取引のデータの扱い
- 暗号化が必要
- 独立した環境でのみ操作したい
- EC2から暗号化したデータを受け取る
- Nitroシステムが受け取り処理する
- ネットワークは通らない
- データは安全であることを説明できる
- PII基準を損なわずにデータセットを扱える
- 機密性を与えSDKとCLIで通常の運用と同じようにできる
- オンライン研修も受けられる
- AWS Nitro Systemで検索
感想
Nitroシステムは仕組みで隔離された環境を使いながらデータを安全に扱える仕組みです。Nitro Enclavesなど面白い仕組みもあるので是非活用していきたいですね。