Enforcing Attestable Workflows across Untrusted Networks
JANUS est une architecture haute performance qui fédère des environnements d'exécution de confiance à travers des réseaux non approuvés en utilisant une conception de base de confiance partagée, atteignant un routage chiffré à vitesse native avec un surcoût de latence minimal en ancrant la libération de clés aux mesures matérielles et en exécutant l'application des règles au sein du noyau.
Article original sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Dans le monde numérique moderne, une partie du travail le plus précieux se déroule dans le cloud. Les scientifiques analysant des images médicales, les chercheurs entraînant l'intelligence artificielle et les ingénieurs simulant des modèles climatiques doivent souvent combiner des données provenant de nombreux ordinateurs différents, appartenant parfois à des organisations distinctes. Pour préserver la confidentialité de ce travail, ils s'appuient sur un matériel spécial qui crée une pièce sécurisée et verrouillée à l'intérieur d'un processeur informatique. Cette technologie, connue sous le nom d'environnement d'exécution de confiance (Trusted Execution Environment), garantit que même si le système d'exploitation de l'ordinateur est compromis, les données à l'intérieur de cette pièce verrouillée restent cachées. Cependant, un nouveau problème surgit lorsque ces pièces verrouillées doivent communiquer entre elles via Internet. Les méthodes traditionnelles pour sécuriser cette communication forcent souvent les données à être déchiffrées et rechiffrées à chaque étape, ce qui ralentit tout le processus, ou nécessitent que le logiciel soit entièrement réécrit pour s'adapter à un modèle de sécurité spécifique. Le défi consiste à garder les données verrouillées pendant qu'elles voyagent entre ces pièces sécurisées, sans ralentir les quantités massives d'informations que les scientifiques doivent déplacer.
Une équipe de chercheurs a développé un nouveau système appelé Janus pour résoudre ce problème spécifique. Le système est conçu pour permettre aux ordinateurs sécurisés de communiquer entre eux à pleine vitesse tout en prouvant qu'ils sont bien qui ils prétendent être et qu'ils respectent les règles. Les chercheurs ont construit ce système pour qu'il fonctionne avec la dernière génération de matériel sécurisé, spécifiquement la technologie TDX d'Intel, qui crée ces pièces verrouillées pour des machines virtuelles entières. L'idée centrale de Janus est de diviser la tâche de sécurité en deux parties. Une partie gère le travail de fond consistant à prouver l'identité et à échanger des clés secrètes, tandis que l'autre partie gère le mouvement réel des données. En déplaçant la gestion des données profondément dans le cœur de l'ordinateur, là où elle peut opérer à la vitesse du matériel lui-même, le système évite les étapes lentes et lourdes qui se produisent habituellement lorsque le logiciel de sécurité s'exécute au-dessus du système d'exploitation.
Pour tester l'efficacité de cette approche, les chercheurs ont mis en place une grande expérience utilisant trente-deux ordinateurs puissants dans le cloud. Ils ont créé un environnement simulé où ces ordinateurs devaient partager des données sensibles, de la même manière qu'une équipe de scientifiques travaillant sur un projet commun. Le système fonctionnait en demandant d'abord aux ordinateurs de prouver leur identité les uns aux autres à l'aide d'une poignée de main spéciale. Cette poignée de main impliquait que le matériel génère un rapport unique et infalsifiable de son état actuel. Si les rapports correspondaient aux règles attendues, les ordinateurs échangeaient une clé secrète pour verrouiller leur conversation. Une fois cette configuration initiale terminée, les données commençaient à circuler. Les chercheurs ont constaté que le système pouvait gérer ce trafic chiffré avec presque aucun ralentissement. Pour chaque paquet de données circulant dans le réseau, le système ajoutait un délai de seulement six microsecondes. C'est un temps incroyablement court, ce qui signifie que les ordinateurs pouvaient traiter les données presque à la même vitesse que s'ils les envoyaient sans aucun chiffrement.
Les résultats ont montré une différence flagrante entre cette nouvelle approche et les méthodes plus anciennes. Lorsque les chercheurs ont comparé Janus aux systèmes existants qui reposent sur un logiciel s'exécutant dans l'espace utilisateur, les anciens systèmes étaient nettement plus lents. Ces méthodes traditionnelles ajoutaient un délai compris entre 137 et 147 microsecondes pour chaque paquet, soit plus de vingt fois plus lent que le nouveau système. Dans un test en conditions réelles impliquant une tâche complexe d'apprentissage automatique nécessitant le déplacement de plus d'un gigaoctet de données, le nouveau système n'a ralenti le processus total que de 6,1 %. En revanche, les anciennes méthodes ont ralenti la même tâche de 62 %. Cette efficacité est cruciale pour les flux de travail scientifiques qui durent des heures ou des jours, où même un petit délai peut s'accumuler pour devenir une perte de temps et de puissance de calcul significative.
Le système s'est également avéré très rapide pour démarrer. Dans un réseau simulé de cent ordinateurs, l'ensemble du groupe a pu établir des connexions sécurisées et commencer à travailler en moins d'une seconde et demie. Cette vitesse a été obtenue en exécutant les vérifications d'identité en parallèle sur les différentes machines plutôt qu'en attendant qu'elles se produisent une par une. Les chercheurs ont également testé la manière dont le système gère les erreurs ou les changements de réseau. Si un ordinateur tentait de se connecter avec un mauvais logiciel ou si les règles de sécurité changeaient, le système bloquait immédiatement la connexion sans planter ni fuiter de données. Il a été conçu pour être résilient, ce qui signifie que si un ordinateur échouait ou si le réseau subissait un incident temporaire, le reste du système continuerait de fonctionner, et la connexion défaillante pourrait être rétablie rapidement une fois le problème résolu.
L'un des aspects les plus importants de la recherche est ce que le système ne fait pas. Les chercheurs ont explicitement montré que leur approche ne nécessite pas aux scientifiques de réécrire leurs programmes logiciels. Le système fonctionne de manière transparente, ce qui signifie que les applications tournant sur les ordinateurs n'ont pas besoin de savoir qu'elles sont sécurisées. La sécurité se déroule en dessous, dans la couche réseau, invisible pour l'utilisateur. C'est une divergence significative par rapport aux autres cadres de sécurité qui forcent les développeurs à modifier leur code pour l'adapter à un modèle de sécurité spécifique. En laissant les applications inchangées, le système permet d'utiliser les outils scientifiques existants dans des environnements sécurisés sans aucune modification.
L'étude a également mis en évidence les limites de la technologie actuelle. Bien que le système fonctionne très bien pour des réseaux où les ordinateurs se connectent à quelques autres, les chercheurs ont constaté que si chaque ordinateur tentait de se connecter à tous les autres en même temps, la configuration initiale ralentirait considérablement. Cela est dû au fait que le matériel utilisé pour générer les rapports d'identité possède une limite sur le nombre de rapports qu'il peut traiter simultanément. Pour les types de pipelines scientifiques à grande échelle que les chercheurs avaient en tête, où les données circulent selon un chemin spécifique plutôt que dans un réseau chaotique, cette limitation n'était pas un problème. Le système est optimisé pour ces flux de travail structurés et de longue durée, garantissant que la sécurité ne devienne pas un goulot d'étranglement.
En fin de compte, ce travail démontre qu'il est possible de construire un réseau sécurisé et à haute vitesse pour l'informatique confidentielle qui ne sacrifie pas la performance au profit de la sécurité. Les chercheurs ont montré qu'en concevant soigneusement la manière dont les contrôles de sécurité et le mouvement des données interagissent, ils pouvaient atteindre un équilibre que l'on pensait difficile à atteindre jusqu'alors. Le système offre un moyen aux organisations de partager des données sensibles sur des réseaux non approuvés avec la certitude que les données restent chiffrées et que les participants sont vérifiés, tout en maintenant la vitesse requise pour le calcul de haute performance moderne. Cela ouvre la voie à une collaboration scientifique accrue, où les institutions peuvent travailler ensemble sur des problèmes sensibles sans compromettre la confidentialité de leurs données ou l'efficacité de leurs travaux.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.