機(jī)密計(jì)算在金融數(shù)字化中的應(yīng)用

隨著數(shù)字技術(shù)的不斷發(fā)展，數(shù)據(jù)已成為關(guān)鍵生產(chǎn)要素，數(shù)字經(jīng)濟(jì)也成為我國(guó)當(dāng)前發(fā)展的重要引擎。在保障數(shù)據(jù)安全的前提下，實(shí)現(xiàn)數(shù)據(jù)流通和共享，有效激發(fā)金融數(shù)據(jù)潛能，成為金融業(yè)數(shù)字化轉(zhuǎn)型升級(jí)的關(guān)鍵。當(dāng)前，數(shù)據(jù)保護(hù)技術(shù)大多聚焦在網(wǎng)絡(luò)傳輸和數(shù)據(jù)存儲(chǔ)階段，而缺少一種通用的安全技術(shù)對(duì)計(jì)算中的數(shù)據(jù)進(jìn)行防護(hù)。對(duì)此，本文提出基于機(jī)密計(jì)算構(gòu)建金融可信基礎(chǔ)設(shè)施的方案，借助機(jī)密計(jì)算硬件安全能力構(gòu)建全生命周期的金融數(shù)據(jù)安全閉環(huán)，為金融數(shù)據(jù)的安全應(yīng)用及價(jià)值創(chuàng)造提供有力支撐。一、機(jī)密計(jì)算技術(shù)產(chǎn)生的背景目前，我國(guó)金融業(yè)已建成較為完善的基于IT技術(shù)的金融服務(wù)體系。因此，在社會(huì)整體由信息化向數(shù)字化發(fā)展的過程中，數(shù)字化轉(zhuǎn)型也成為金融業(yè)發(fā)展的必由之路。隨著金融數(shù)字化轉(zhuǎn)型的逐步深入，金融數(shù)據(jù)安全風(fēng)險(xiǎn)不斷增多，如金融數(shù)據(jù)傳輸網(wǎng)絡(luò)在端側(cè)依賴于公共通信網(wǎng)絡(luò)，金融服務(wù)網(wǎng)絡(luò)出口不斷增加，數(shù)據(jù)處理鏈條不斷加長(zhǎng)等，都帶來了一定的安全風(fēng)險(xiǎn)。數(shù)據(jù)安全是系統(tǒng)性問題，雖然我國(guó)目前已經(jīng)構(gòu)建了相應(yīng)的法律框架，但仍需要大量具體的技術(shù)給予支撐。在互聯(lián)網(wǎng)時(shí)代，就已經(jīng)誕生大量的數(shù)據(jù)應(yīng)用安全防護(hù)技術(shù)，但這些技術(shù)對(duì)數(shù)據(jù)的保護(hù)大多集中在網(wǎng)絡(luò)傳輸和數(shù)據(jù)存儲(chǔ)階段，如HTTPS、TLS、磁盤加密等，而在核心的數(shù)據(jù)使用或計(jì)算階段，則缺少一種通用的安全技術(shù)，使得數(shù)據(jù)計(jì)算成為數(shù)據(jù)整個(gè)生命周期中安全防護(hù)較為薄弱的階段。在此情況下，機(jī)密計(jì)算技術(shù)應(yīng)運(yùn)而生。作為一項(xiàng)新興的突破性技術(shù)，機(jī)密計(jì)算基于服務(wù)器的物理硬件，可實(shí)現(xiàn)對(duì)計(jì)算中數(shù)據(jù)的隔離和加密保護(hù)，即使是物理服務(wù)器的所有者，在未獲得授權(quán)的情況下也無法侵入機(jī)密計(jì)算環(huán)境中獲取數(shù)據(jù)。因?yàn)闄C(jī)密計(jì)算是基于基礎(chǔ)設(shè)施硬件而保障數(shù)據(jù)安全，所以其計(jì)算效率更高、通用性更強(qiáng)，可應(yīng)用于數(shù)據(jù)合作、云計(jì)算、物聯(lián)網(wǎng)等多個(gè)場(chǎng)景中。可以預(yù)見，機(jī)密計(jì)算技術(shù)將成為推進(jìn)數(shù)據(jù)要素市場(chǎng)建立的重要支撐技術(shù)，也將成為金融行業(yè)防護(hù)數(shù)據(jù)安全必備的基礎(chǔ)性技術(shù)。二、機(jī)密計(jì)算技術(shù)介紹1.機(jī)密計(jì)算技術(shù)概述機(jī)密計(jì)算是一種在受信任的硬件基礎(chǔ)上配套相應(yīng)的固件和軟件，構(gòu)建加密、隔離、可證明的計(jì)算環(huán)境，保證環(huán)境內(nèi)數(shù)據(jù)和代碼的機(jī)密性、完整性以及運(yùn)算過程機(jī)密性的計(jì)算模式。機(jī)密計(jì)算的主要目標(biāo)是借助具有通用計(jì)算能力的可編程硬件可信執(zhí)行環(huán)境(TEE)對(duì)使用中的數(shù)據(jù)進(jìn)行保護(hù)。2.機(jī)密計(jì)算技術(shù)發(fā)展情況當(dāng)前，多家芯片廠商相繼推出了機(jī)密計(jì)算解決方案，國(guó)外一些科技巨頭如亞馬遜、谷歌、微軟、IBM等持續(xù)加大力度布局機(jī)密計(jì)算產(chǎn)品，國(guó)內(nèi)一些大型廠商如阿里、騰訊、百度、華為也相繼推出了機(jī)密計(jì)算相關(guān)產(chǎn)品。近年來，隨著國(guó)內(nèi)外監(jiān)管部門對(duì)數(shù)據(jù)安全提出更高要求，機(jī)密計(jì)算在金融、銀行、醫(yī)療、保險(xiǎn)等行業(yè)的應(yīng)用快速增長(zhǎng)。3.機(jī)密計(jì)算核心特性(1)機(jī)密性機(jī)密計(jì)算通過為運(yùn)行狀態(tài)下數(shù)據(jù)和代碼提供保護(hù)，可保證運(yùn)行時(shí)這些信息不泄露給非授權(quán)的用戶或?qū)嶓w。該特性在多用戶系統(tǒng)(虛擬化和公有云)中尤其重要，能有效防御潛在的內(nèi)外部攻擊。(2)可信保證一是確保運(yùn)行環(huán)境的可信。經(jīng)過身份驗(yàn)證的啟動(dòng)可以確保信任鏈上的每一階段都是在前一階段的安全保證下啟動(dòng)。啟動(dòng)后遠(yuǎn)程用戶可對(duì)運(yùn)行環(huán)境進(jìn)行驗(yàn)證，保證應(yīng)用是在可信的環(huán)境中運(yùn)行。二是保證用戶自定義代碼的可信。機(jī)密計(jì)算可以提供用戶當(dāng)前應(yīng)用狀態(tài)的證據(jù)或度量值，并支持遠(yuǎn)程用戶進(jìn)行驗(yàn)證，保證相關(guān)軟件和數(shù)據(jù)未受到惡意篡改。(3)可編程性機(jī)密計(jì)算支持用戶自定義運(yùn)算邏輯代碼，以便用戶通過機(jī)密計(jì)算提供的基礎(chǔ)功能設(shè)計(jì)上層應(yīng)用服務(wù)。三、主流機(jī)密計(jì)算技術(shù)安全能力研究機(jī)密計(jì)算技術(shù)流派較多，本文只對(duì)SGX、CSV和TrustZone三種主流機(jī)密計(jì)算技術(shù)的安全能力進(jìn)行研究。1.基于機(jī)密進(jìn)程架構(gòu)的SGX數(shù)據(jù)計(jì)算安全實(shí)現(xiàn)(1)SGX內(nèi)存數(shù)據(jù)加密芯片中的內(nèi)存加密引擎(MemoryEncryptionEngine，MEE)負(fù)責(zé)確保內(nèi)存的機(jī)密性和身份驗(yàn)證。SGX預(yù)留了一個(gè)稱為“處理器保留內(nèi)存(PRM)”的內(nèi)存區(qū)域，與Enclave相關(guān)的內(nèi)容都存儲(chǔ)在該區(qū)域或緩存中。PRM中的數(shù)據(jù)為加密狀態(tài)，當(dāng)CPU對(duì)內(nèi)存進(jìn)行訪問時(shí)，需要由MEE對(duì)PRM內(nèi)存數(shù)據(jù)進(jìn)行解密后使用。在CPU計(jì)算完成后，MEE再負(fù)責(zé)對(duì)寫入內(nèi)存的數(shù)據(jù)進(jìn)行加密。(2)SGX內(nèi)存訪問控制CPU拒絕所有非Enclave代碼對(duì)PRM的內(nèi)存訪問，包括操作系統(tǒng)內(nèi)核、Hypervisor和SMM的訪問，以及來自外圍設(shè)備的DMA訪問。PRM內(nèi)存區(qū)域分為若干4KB大小的EnclavePageCache(EPC)頁面，用于存儲(chǔ)Enclave代碼和數(shù)據(jù)。同時(shí)，CPU使用EnclavePageCacheMap(EPCM)跟蹤每個(gè)EPC頁面的狀態(tài)，以確保每個(gè)EPC頁面只屬于一個(gè)Enclave。SGXRPM的內(nèi)存訪問控制檢查發(fā)生在地址轉(zhuǎn)換之后、轉(zhuǎn)換結(jié)果寫入TLB之前。這種控制檢查是通過在虛擬地址到物理地址轉(zhuǎn)換之后增加幾個(gè)驗(yàn)證來實(shí)現(xiàn)的，具體的訪問控制檢查流程如圖1所示。圖1SGXPRM內(nèi)存訪問控制檢查流程2.基于機(jī)密虛擬機(jī)架構(gòu)的CSV數(shù)據(jù)計(jì)算安全實(shí)現(xiàn)(1)CSV安全虛擬機(jī)隔離CSV是AMD-V架構(gòu)的擴(kuò)展，支持在物理節(jié)點(diǎn)中啟用多個(gè)加密虛擬機(jī)。CSV內(nèi)部使用ASID(AddressSpaceID)來區(qū)分不同的加密虛擬機(jī)，每個(gè)加密虛擬機(jī)使用獨(dú)立的Cache、TLB等CPU資源，實(shí)現(xiàn)加密虛擬機(jī)、主機(jī)之間的資源隔離。同時(shí)CSV也會(huì)使用ASID標(biāo)記虛擬機(jī)所有的代碼和數(shù)據(jù)，從而明確數(shù)據(jù)來自哪個(gè)虛擬機(jī)或發(fā)往哪個(gè)虛擬機(jī)。(2)CSV內(nèi)存加密CSV具備安全內(nèi)存加密能力，內(nèi)存數(shù)據(jù)加/解密通過片內(nèi)控制器中專用的高性能SM4加/解密引擎來執(zhí)行。操作系統(tǒng)或虛擬化層可對(duì)加密內(nèi)存進(jìn)行管理，通過設(shè)置內(nèi)存物理地址的第47位(也被稱為C位)來標(biāo)識(shí)該內(nèi)存是否被加密(C位標(biāo)識(shí)為“1”的被加密保護(hù))。當(dāng)CPU向物理地址C位為“1”的內(nèi)存中寫入或者讀取數(shù)據(jù)時(shí)，都要通過SM4引擎進(jìn)行加/解密操作。3.基于機(jī)密物理機(jī)架構(gòu)的TrustZone數(shù)據(jù)計(jì)算安全實(shí)現(xiàn)TrustZone機(jī)密性保護(hù)的核心機(jī)制是內(nèi)外部資源的硬件隔離。在設(shè)計(jì)上，TrustZone數(shù)據(jù)計(jì)算安全實(shí)現(xiàn)主要依賴于在系統(tǒng)總線上針對(duì)讀寫增加的一個(gè)額外控制信號(hào)位，這個(gè)控制信號(hào)位叫作Non-Secure或者NS位，是AXI總線針對(duì)TrustZone作出的最核心的擴(kuò)展設(shè)計(jì)。總線上的所有主設(shè)備在發(fā)起操作時(shí)都會(huì)設(shè)置相應(yīng)的信號(hào)，總線或從設(shè)備上的解析模塊會(huì)對(duì)主設(shè)備發(fā)起的信號(hào)進(jìn)行識(shí)別，以確保主設(shè)備發(fā)起的操作在安全上沒有違規(guī)?；诳偩€隔離，并結(jié)合對(duì)CPU、MMU、緩存的擴(kuò)展功能，TrustZone實(shí)現(xiàn)了以下隔離能力。(1)中斷源隔離實(shí)現(xiàn)TrustZone能夠?qū)⑵胀ㄖ袛嗯c安全中斷進(jìn)行隔離，使得安全中斷不能被正常世界捕獲。(2)片上片外RAM和ROM的隔離TrustZone將RAM或ROM劃分成安全區(qū)域和非安全區(qū)域。當(dāng)處理器核心訪問片上RAM或ROM的時(shí)候，TrustZone會(huì)判斷訪問請(qǐng)求的信號(hào)是安全操作還是非安全操作。如果處理器發(fā)出的請(qǐng)求為非安全請(qǐng)求，而該請(qǐng)求又嘗試去訪問安全區(qū)域時(shí)，TrustZone則不會(huì)響應(yīng)該請(qǐng)求的具體操作。(3)外圍設(shè)備硬件隔離TrustZone的核心特性之一就是能夠保護(hù)外圍設(shè)備，如中斷控制器、定時(shí)器和用戶I/O設(shè)備等，使外圍設(shè)備免受惡意用戶攻擊。這使得安全環(huán)境得到擴(kuò)展，從而能夠解決一些更廣泛的安全問題，例如，安全中斷控制器和定時(shí)器允許不間斷的安全任務(wù)來監(jiān)控系統(tǒng)、安全鍵盤外設(shè)可實(shí)現(xiàn)用戶密碼的安全輸入等。四、機(jī)密計(jì)算技術(shù)在金融領(lǐng)域的應(yīng)用探索1.端云協(xié)同場(chǎng)景構(gòu)建全系統(tǒng)數(shù)據(jù)安全閉環(huán)在實(shí)際業(yè)務(wù)場(chǎng)景中，數(shù)據(jù)的采集、傳輸、處理、存儲(chǔ)等往往需要端云間協(xié)同，在此過程中，保障用戶隱私數(shù)據(jù)計(jì)算和流轉(zhuǎn)的安全至關(guān)重要。在對(duì)數(shù)據(jù)安全要求較高的金融場(chǎng)景中，機(jī)密計(jì)算可為構(gòu)建全系統(tǒng)數(shù)據(jù)安全閉環(huán)提供有效保障。以典型的生物特征識(shí)別場(chǎng)景為例，生物特征在終端TEE中被采集后經(jīng)安全通道加密傳輸至機(jī)密計(jì)算環(huán)境，借助機(jī)密計(jì)算的安全隔離和內(nèi)存加密能力，在可信的環(huán)境中對(duì)生物特征數(shù)據(jù)進(jìn)行特征提取和比對(duì)；處理后的數(shù)據(jù)在機(jī)密計(jì)算環(huán)境加密后進(jìn)行安全存儲(chǔ)。在此場(chǎng)景中，生物特征數(shù)據(jù)在傳輸、計(jì)算和存儲(chǔ)三個(gè)環(huán)節(jié)全部在加密保護(hù)狀態(tài)下進(jìn)行，實(shí)現(xiàn)了對(duì)用戶數(shù)據(jù)的全生命周期防護(hù)。2.為數(shù)據(jù)融合計(jì)算場(chǎng)景提供可信運(yùn)算環(huán)境和基礎(chǔ)安全基座根據(jù)數(shù)據(jù)計(jì)算和傳輸?shù)男问?，基于機(jī)密計(jì)算的數(shù)據(jù)融合計(jì)算可以分為兩種主要模式，一種是數(shù)據(jù)匯集型，另一種是分布式計(jì)算型。(1)數(shù)據(jù)匯集型數(shù)據(jù)匯集型融合計(jì)算通過機(jī)密計(jì)算技術(shù)構(gòu)建核心樞紐節(jié)點(diǎn)，建立可信金融數(shù)據(jù)網(wǎng)絡(luò)，供數(shù)據(jù)需求方、數(shù)據(jù)提供方等多方角色接入，從而構(gòu)建數(shù)據(jù)協(xié)作統(tǒng)一的安全基座(如圖2所示)。圖2機(jī)密計(jì)算數(shù)據(jù)匯集型融合計(jì)算數(shù)據(jù)提供方可通過機(jī)密計(jì)算遠(yuǎn)程證明機(jī)制對(duì)數(shù)據(jù)安全融合平臺(tái)身份進(jìn)行實(shí)時(shí)驗(yàn)證，在確保對(duì)方身份符合預(yù)期并且運(yùn)行在機(jī)密計(jì)算環(huán)境中后，可通過可信數(shù)據(jù)網(wǎng)絡(luò)將數(shù)據(jù)加密傳輸至該平臺(tái)，并通過授權(quán)機(jī)制對(duì)數(shù)據(jù)的使用進(jìn)行授權(quán)。數(shù)據(jù)安全融合平臺(tái)在獲得授權(quán)后在機(jī)密計(jì)算環(huán)境中對(duì)數(shù)據(jù)提供方的密文數(shù)據(jù)進(jìn)行解密，并聯(lián)合多方數(shù)據(jù)進(jìn)行計(jì)算，計(jì)算結(jié)果加密后傳輸給結(jié)果接收方。因?yàn)闄C(jī)密計(jì)算提供了一個(gè)可信的安全計(jì)算環(huán)境，所以在該環(huán)境下可以對(duì)明文數(shù)據(jù)進(jìn)行計(jì)算。相對(duì)于聯(lián)邦學(xué)習(xí)、MPC等隱私計(jì)算技術(shù)，機(jī)密計(jì)算在保障數(shù)據(jù)安全的同時(shí)，計(jì)算性能和可用性也得到大幅提升。(2)分布式計(jì)算型對(duì)于一些數(shù)據(jù)通信量較大或者不宜采用原始數(shù)據(jù)匯集型計(jì)算模式進(jìn)行處理的情形，可以采用多方分布式計(jì)算模式(如圖3所示)。該模式下數(shù)據(jù)提供方、計(jì)算協(xié)調(diào)方均具備機(jī)密計(jì)算環(huán)境，并且不同機(jī)密計(jì)算環(huán)境間在遠(yuǎn)程證明機(jī)制的基礎(chǔ)上，還可直接構(gòu)建端到端的安全通道，用于數(shù)據(jù)安全傳輸。數(shù)據(jù)提供方首先分別在本地機(jī)密計(jì)算環(huán)境中對(duì)原始數(shù)據(jù)進(jìn)行計(jì)算，然后將計(jì)算得到的中間過程數(shù)據(jù)通過安全通道傳輸至計(jì)算協(xié)調(diào)方的機(jī)密計(jì)算協(xié)調(diào)平臺(tái)，機(jī)密計(jì)算協(xié)調(diào)平臺(tái)整合各數(shù)據(jù)提供方的中間過程數(shù)據(jù)進(jìn)行迭代計(jì)算得到最終計(jì)算結(jié)果。該模式可在原始數(shù)據(jù)不出域的前提下，實(shí)現(xiàn)數(shù)據(jù)融合計(jì)算的目標(biāo)。圖3機(jī)密計(jì)算多方分布式計(jì)算在數(shù)字化轉(zhuǎn)型升級(jí)過程中，金融行業(yè)對(duì)數(shù)據(jù)安全防護(hù)的需求愈發(fā)強(qiáng)烈?；诖耍疚奶岢霾捎脵C(jī)密計(jì)算技術(shù)構(gòu)建