数据安全是使用内部数据中心或迁移到云的企业最关心的问题。机密计算(Confidential Computing，简称CC)，作为一种突破性技术，它可以让用户对待它“使用中”数据进行加密，备受业界关注。
什么是机密计算？
机密计算是一正在处理的数据，即对的突破性技术“使用中”数据加密。它的诞生背景是：过去，许多企业在安全方面的大部分努力都集中在加密保护上“静止的”或“传输中”数据。但一个相对容易被忽视的领域是，“使用中”数据(Data-in-use)加密。如何保护企业业务上的云？“使用中”数据成为企业面临的最大挑战之一。在此背景下，旨在保护“使用中”数据机密性和完整性“机密计算”应运而生。
机密计算的原理是利用基于硬件的技术将数据、特定功能或整个应用程序与操作系统、虚拟机管理程序、虚拟机管理器等特权过程隔离开来。在后台，机密计算环境将数据加密并存储在内存中CPU外部的其他位置，称为“可信执行环境(Trusted Execution Environment，简称TEE)”。
可信执行环境(TEE)，它是机密计算的关键。它是指提供一个与不可信环境隔离的安全计算环境，以防止任何更改应用程序代码或篡改数据的尝试。这在虚拟化和公共云系统（数据交叉污染是真正的风险）等多用户系统中尤为重要。这种隔离和可信验证机制使机密计算成为可能。
TEE一般是直接基于硬件实现的，比如Intel SGX以及ARM TrustZone等等；基于虚拟化技术也可以构建TEE，比如微软的VSM，Intel的Trusty for iKGT & ACRN等等。事实上，这个概念的早期版本可以追溯到十多年前PC中可用的TPM模块。现代版本TEE不同的是，它们内置在芯片的核心，而不是作为可能因互连而损坏的外部附件。
2019年，机密计算首次被接受Gartner列入2019年云安全技术成熟度曲线报告；2020年，机密计算仍然存在Gartner云安全成熟曲线上的33种技术之一。
科技巨头入局
目前，许多科技巨头作为一项前瞻性技术，纷纷入局，大力探索和开发机密计算。
微软Azure
2017年，微软新增了一项名为Azure机密计算的安全功能，以确保数据在处理过程中得到更多的控制。
Azure机密计算将防止由更改或篡改代码触发的操作，从而以良好的方式关闭整个代码TEE。该技术可以防止恶意软件或攻击者访问应用程序、操作系统或系统管理程序的漏洞。它还可以防止有直接访问系统权限或管理特权的恶意内部人员。
在实现方式上，微软的机密计算有两种模式：第一种是Windows Server 2016和Windows 10 Hyper-V在虚拟软件组件中找到基于软件的虚拟安全模式，二是内置Azure保护和扩展云服务器处理器中的英特尔软件(SGX)技术。
目前，微软正在与其他软硬件合作伙伴合作，使用其他类型TEE。
阿里云
阿里云是亚太地区一次阿里云推出SGX机密计算的云服务商，并在全球范围内首个将SGX技术商业化使云用户能够以最简单、最方便的方式享受高级数据保护能力。
基于Intel SGX机密计算技术，阿里云为云客户提供了系统运行的可信度，云开发者可以使用SGX技术提供的可信执行环境保护了内存中的关键代码和数据，即使是具有更高特权的系统组件(包括BIOS、虚拟化的底层和操作系统的核心)无法获得关键代码和数据，因此客户可以摆脱对云平台的依赖，防止数据被盗或篡改。
阿里云在机密计算领域所做的工作不止这些：
- 2017年，阿里云和英特尔联合发布了基于芯片级的信息SGX机密计算技术，确保云客户数据安全；
- 2018年4月，在RSA2018阿里云宣布支持阿里云机密计算技术“神龙云”正式商业化的服务器；
- 2018年9月，阿里云在云栖大会上发布FPGA机密计算技术将机密计算从处理器扩展到FPGA设备，使主流机器学习计算模型和数据相关能够在可信的环境中运行；
- 20182009年9月，阿里云还发布了智能网卡机密计算技术，通过智能网卡机密计算技术将系统的可信度扩展到网络，实现可信网络；
- 201810月，阿里云再次推出SGX技术的区块链服务平台;
- 2019阿里云智能与阿里云数据库团队联合发布了全加密数据库产品。
谷歌云
在Google Cloud Next 谷歌云(Google Cloud)推出了一款“虚拟机可以保密”(Confidential VMs)。这种新型虚拟机可以利用谷歌的加密计算来保密静态状态和内存数据。
机密虚拟机在后端使用AMD二代霄龙处理器(EPYC)在使用中实现数据加密的安全加密虚拟化技术。CPU即使是谷歌本身也无法知道可信执行环境的生成和导出。
此外，谷歌还表示，他们已经推出了虚拟机加固服务项目Shielded VMs，能在root在软件等漏洞的攻击下攻击保护系统。
布局未来
随着企业将业务数据转移到当地或更多的租户云计算环境，他们迫切需要能够保护客户数据的完整性和使用中数据的专有算法。因此，云供应商正在为客户启动新的机密计算实例。这消除了组织运行自己的机密计算系统的必要性，形成了双赢局面：客户获得了保护其数据资产所需的东西；云供应商引入了客户不一定拥有的必要硬件资产。
这种新的可用性正在推动越来越多的处理器包含内置的机密计算概念。此外，由于云提供商通常在可用性的早期阶段获得新的高端处理能力，用户社区的访问速度远快于用户自己的访问速度。此外，鉴于运行在云中的硬件和工具包的可用性，应用程序提供商可以快速设计其产品中的机密计算，并进一步拥有一个更成熟的市场来收回开发投资。
Gartner预计机密计算需要大约5到10年才能广泛使用。建议企业在未来使用。6-12探索在一个月内使用机密计算技术，向主要应用解决方案提供商解释，希望他们遵守机密计算策略，并在约定的时间内提供技术实施。毕竟，要赢得市场份额和竞争优势，我们必须迈出第一步。
【本文是51CTO专栏作者“安全牛”请通过安全牛(微信微信官方账号)转载原创文章id:gooann-sectv）获取授权】
戳这里，看作者更好的文章