Securing Filesystems for Confidential Computing

आधुनिक डिजिटल युग में, हम इस विचार के अभ्यस्त हो गए हैं कि हमारा डेटा क्लाउड में सुरक्षित है। हम भरोसा करते हैं कि जब हम कोई फ़ाइल सहेजते हैं या डेटाबेस अपडेट करते हैं, तो यह बिल्कुल वैसा ही रहता है जैसा हमने इसे छोड़ा था, जो अनचाही नज़रों और आकस्मिक नुकसान से सुरक्षित है। हालाँकि, इस भरोसे में एक मौलिक अंतर बना हुआ है। जबकि "कॉन्फिडेंशियल कंप्यूटिंग" (confidential computing) नामक नई तकनीकों ने कंप्यूटर की उस मेमोरी को लॉक करने के लिए उभर कर आया है जहाँ वह सक्रिय रूप से सोच रहा होता है, वे हार्ड ड्राइव को असुरक्षित छोड़ देते हैं। कल्पना कीजिए कि एक तिजोरी है जहाँ उसके अंदर का सेफ़ अभेद्य है, लेकिन उस तक जाने वाला गलियारा एक अजनबी द्वारा नियंत्रित है जो आपके दस्तावेज़ों को बदल सकता है, इतिहास को फिर से लिख सकता है, या आपके वर्तमान संस्करण को पुराने संस्करण से बदल सकता है और आपको पता भी नहीं चलेगा। आज सुरक्षित वातावरणों में चलने वाले अनुप्रयोगों के लिए यही वास्तविकता है: उनकी गणनाएँ सुरक्षित हैं, लेकिन जिस स्टोरेज पर वे निर्भर हैं, उसे एक दुर्भावनापूर्ण क्लाउड प्रदाता या एक समझौता किए गए सिस्टम एडमिनिस्ट्रेटर द्वारा हेरफेर किया जा सकता है।

इसलिए, चुनौती एक ऐसा सिस्टम बनाने की है जो डेटा को डिस्क पर भी उतनी ही कड़ाई से सुरक्षित रखे जितना कि मेमोरी में डेटा को रखा जाता है, बिना कंप्यूटर को धीमा किए या प्रोग्रामर्स को अपने सॉफ़्टवेयर को फिर से लिखने के लिए मजबूर किए। माइक्रोसॉफ्ट एज़्योर (Microsoft Azure), इंपीरियल कॉलेज लंदन और अन्य संस्थानों के शोधकर्ताओं की एक टीम ने इस समस्या का समाधान करने के लिए एक नया तरीका विकसित किया है जिससे फ़ाइल स्टोरेज को प्रबंधित किया जा सके। उन्होंने SHIELDFS नामक एक प्रणाली विकसित की, जो निरंतर डेटा (persistent data) के लिए एक संरक्षक के रूप में कार्य करती है, यह सुनिश्चित करती है कि डिस्क से जो पढ़ा गया है वह वही है जो लिखा गया था, और कोई भी गुप्त रूप से समय को पीछे नहीं ले गया है। उनका काम, जिसे एक लोकप्रिय ओपन-सोर्स फ़ाइल सिस्टम जिसे ZFS कहा जाता है, के एक विशिष्ट संस्करण के रूप में लागू किया गया है, यह प्रदर्शित करता है कि मानक, असुरक्षित प्रणालियों के समान गति बनाए रखते हुए सबसे शक्तिशाली हमलावरों के खिलाफ भी स्टोरेज को सुरक्षित करना संभव है।

समस्या का मूल इस बात में निहित है कि कंप्यूटर समय के साथ डेटा को कैसे संभालते हैं। जब कोई एप्लिकेशन जानकारी सहेजता है, तो वह इसे डिस्क पर लिखता है। एक सुरक्षित वातावरण में, कंप्यूटर की मेमोरी लॉक डाउन होती है, लेकिन डिस्क अक्सर क्लाउड प्रदाता द्वारा प्रबंधित की जाती है। एक बेईमान प्रदाता सैद्धांतिक रूप से किसी विशिष्ट क्षण पर डिस्क की स्थिति को रिकॉर्ड कर सकता है, और बाद में, यदि एप्लिकेशन उस डेटा को अपडेट करने का प्रयास करता है, तो प्रदाता बस नए संस्करण को पुराने, रिकॉर्ड किए गए स्नैपशॉट से बदल सकता है। इसे रोलबैक अटैक (rollback attack) कहा जाता है। एप्लिकेशन पुराने डेटा को पढ़ेगा, यह विश्वास करते हुए कि यह वर्तमान है, जिससे त्रुटियां, लेनदेन की हानि, या डेटाबेस दूषित होने जैसी समस्याएं होंगी। मौजूदा समाधानों के लिए या तो स्टोरेज स्वयं पर भरोसा करना आवश्यक था (जो क्लाउड सुरक्षा के उद्देश्य को ही विफल कर देता है), या उन्होंने भारी प्रदर्शन दंड लगाया जिससे सिस्टम उपयोगी होने के लिए बहुत धीमा हो गया, या उन्होंने डेवलपर्स को प्रत्येक एप्लिकेशन में कस्टम सुरक्षा जांच बनाने के लिए मजबूर किया, जो एक उबाऊ और त्रुटिपूर्ण प्रक्रिया है।

इसे हल करने के लिए, शोधकर्ताओं ने एक ऐसी प्रणाली डिजाइन की जो फ़ाइल सिस्टम को सत्यापित घटनाओं की एक श्रृंखला (chain of verified events) के रूप में मानती है। केवल फ़ाइलें संग्रहीत करने के बजाय, सिस्टम डेटा में किए गए प्रत्येक परिवर्तन के लिए एक क्रिप्टोग्राफिक "फिंगरप्रिंट" बनाता है। जब डेटा का एक हिस्सा लिखा जाता है, तो सिस्टम उस डेटा और उससे पहले के परिवर्तनों के इतिहास के आधार पर एक अद्वितीय कोड की गणना करता है। इस कोड को फिर डेटा के साथ संग्रहीत किया जाता है। महत्वपूर्ण रूप से, सिस्टम एक बहुत ही छोटा, सुरक्षित रिकॉर्ड भी एक अलग, विश्वसनीय स्थान में रखता है जिसे हमलावर छू नहीं सकता। यह विश्वसनीय स्थान एक चेकपॉइंट के रूप में कार्य करता है। जब भी कंप्यूटर रीस्टार्ट होता है या डेटा पढ़ने की कोशिश करता है, तो वह डिस्क पर मौजूद फिंगरप्रिंट की तुलना विश्वसनीय चेकपॉइंट में मौजूद फिंगरप्रिंट से करता है। यदि हमलावर ने डिस्क को पुराने संस्करण के साथ बदल दिया है या डेटा के साथ छेड़छाड़ की है, तो फिंगरप्रिंट मेल नहीं खाएंगे, और सिस्टम तुरंत जान जाएगा कि कुछ गलत हुआ है, और दूषित डेटा को लोड करने से इनकार कर देगा।

शोधकर्ताओं ने इस प्रणाली का एक कामकाजी संस्करण बनाया, जिसे उन्होंने SHIELDZFS नाम दिया, जो ZFS नामक एक मौजूदा, व्यापक रूप से उपयोग किए जाने वाले फ़ाइल सिस्टम का विस्तार करके बनाया गया है। उन्हें डिस्क पर डेटा को व्यवस्थित करने के तरीके को मौलिक रूप से बदलने की आवश्यकता नहीं पड़ी; इसके बजाय, उन्होंने सत्यापन की एक परत जोड़ी जो कंप्यूटर की सुरक्षित मेमोरी के भीतर चलती है। यह परत सुनिश्चित करती है कि जब भी डेटा लिखा जाता है, इतिहास की श्रृंखला में एक नया, अटूट लिंक जोड़ा जाता है। उन्होंने एक हल्का सेवा (service) भी बनाया, जिसे वे "रजिस्ट्री" कहते हैं, जो अपने स्वयं के सुरक्षित वातावरण में चलता है ताकि कई अलग-अलग फ़ाइल सिस्टम के लिए नवीनतम वैध फिंगरप्रिंट को एक साथ रख सके। यह रजिस्ट्री तेज़ और विश्वसनीय होने के लिए डिज़ाइन की गई है, जो प्रति सेकंड हजारों अनुरोधों को संभालने में सक्षम है जिसमें एक मिलीसेकंड से कम का विलंब होता है, यह सुनिश्चित करते हुए कि सुरक्षा जाँच बाधा (bottleneck) न बने।

अपनी रचना का परीक्षण करने के लिए, टीम ने मानक बेंचमार्क और वास्तविक दुनिया के अनुप्रयोगों, जैसे कि डेटाबेस सर्वर और फ़ाइल सर्वर का उपयोग करके कठोर प्रयोगों की एक श्रृंखला चलाई। उन्होंने अपने सुरक्षित सिस्टम की तुलना मानक फ़ाइल सिस्टम और अन्य सुरक्षा उपकरणों से की। परिणामों ने दिखाया कि SHIELDZFS ने उनके द्वारा सिम्युलेट किए गए छेड़छाड़ के हर प्रकार का सफलतापूर्वक पता लगा लिया, जिसमें डेटा को रोलबैक करने, पुराने संस्करणों को फिर से चलाने (replay) या फ़ाइल सिस्टम की परस्पर विरोधी प्रतियां बनाने के प्रयास शामिल थे। गति के मामले में, सुरक्षित सिस्टम ने उल्लेखनीय प्रदर्शन किया। अधिकांश कार्यों के लिए, यह मानक, असुरक्षित संस्करण के लगभग उतना ही तेज़ था। सबसे कठिन परिदृश्यों में, जहाँ डेटा को तुरंत लिखा और पुष्ट किया जाना था, यह मानक संस्करण से केवल लगभग 1.7 गुना धीमा था, एक ऐसा समझौता जिसे कई सुरक्षा-सचेत संगठन स्वीकार्य पाएंगे। इसके विपरीत, उनके द्वारा परीक्षण किए गए अन्य सुरक्षा तरीके काफी धीमे थे, कभी-कभी पांच गुना तक धीमे, जिससे वे उच्च-प्रदर्शन आवश्यकताओं के लिए अव्यावहारिक हो गए।

शोधकर्ताओं ने यह भी पता लगाया कि यह प्रणाली मौजूदा सॉफ़्टवेयर के साथ कैसे काम कर सकती है जिसमें पहले से ही कुछ सुरक्षा सुविधाएँ हैं। उन्होंने पाया कि अपने सुरक्षित सिस्टम का उपयोग केवल डेटाबेस के सबसे महत्वपूर्ण हिस्सों—उन लॉग्स के लिए जो परिवर्तनों को रिकॉर्ड करते हैं—के लिए करने और शेष डेटा के लिए एक मानक, तेज़ फ़ाइल सिस्टम का उपयोग करने से, वे दोनों दुनियाओं का सर्वश्रेष्ठ प्राप्त कर सकते हैं। इस हाइब्रिड दृष्टिकोण ने उन्हें सबसे महत्वपूर्ण डेटा के लिए उच्च सुरक्षा बनाए रखते हुए पूरे सिस्टम को तेज़ और उत्तरदायी रखने की अनुमति दी। अध्ययन पुष्टि करता है कि यह संभव है कि एक ऐसा फ़ाइल सिस्टम बनाया जाए जो उस सॉफ़्टवेयर के पूर्ण बदलाव की आवश्यकता के बिना, जो इसका उपयोग करता है, क्लाउड प्रदाता के विरुद्ध लचीला हो। फ़ाइल सिस्टम को एक स्व-सत्यापन योग्य संरचना में बदलकर और इसे एक विश्वसनीय, बाहरी चेकपॉइंट से जोड़कर, शोधकर्ताओं ने क्लाउड में डेटा को सुरक्षित करने के लिए एक व्यावहारिक मार्ग प्रदान किया है, यह सुनिश्चित करते हुए कि जो सहेजा गया है वही वापस प्राप्त किया जाता है, चाहे हार्डवेयर को कोई भी नियंत्रित कर रहा हो।