security-privacy

Confidential Computing

2019AktywnyOpublikowano: 22 października 2026Aktualizacja: 22 października 2026Opublikowany

Technika bezpieczeństwa chroniąca dane w użyciu przez wykonywanie obliczeń w sprzętowym zaufanym środowisku wykonawczym (TEE), potwierdzanym zdalną atestacją.

Kluczowa innowacja

Ochrona danych i kodu w trakcie przetwarzania (data-in-use) wewnątrz sprzętowego zaufanego środowiska wykonawczego (TEE), z weryfikacją autentyczności środowiska przez zdalną atestację — uzupełnienie szyfrowania danych w spoczynku i w tranzycie.

Kategoria

security-privacy

Poziom abstrakcji

Wzorzec

Poziom operacji

InferencjaUdostępnianieWdrożenie

Zastosowania

Poufna inferencja modeli AI w chmurze publicznejPoufny trening modeli na danych wrażliwychOchrona poufnych wag modelu przed dostawcą infrastrukturyUczenie maszynowe wielostronne i czyste pokoje danych (data clean rooms)Przetwarzanie danych regulowanych (ochrona zdrowia, finanse)Analityka chroniąca prywatność

Jak działa

Obliczenia poufne wykonywane są w sprzętowym TEE instancjonowanym na CPU lub GPU. Pamięć TEE jest szyfrowana sprzętowo, a sprzęt egzekwuje granicę zaufania (trust boundary) wyznaczającą zaufaną bazę obliczeniową (TCB) — zbiór elementów mogących uzyskać dostęp do danych. Kluczowym elementem jest zdalna atestacja kryptograficzna: środowisko przedstawia podpisany, weryfikowalny dowód (raport atestacji), że jest autentyczne i działa z akceptowalną konfiguracją bezpieczeństwa; dopiero po jego weryfikacji strona ufająca udostępnia dane lub klucze. Implementacje różnią się poziomem izolacji: maszyna wirtualna (np. Intel TDX, AMD SEV-SNP), aplikacja/proces (np. Intel SGX) lub funkcja/biblioteka. NVIDIA H100 jako pierwszy GPU wprowadził sprzętowe confidential computing dla AI, budując łańcuch zaufania przez secure boot, sesję SPDM z TEE procesora oraz podpisany raport atestacji; w trybie CC-On obliczenia GPU i przepustowość pamięci HBM pozostają bez zmian, a wąskim gardłem staje się szyfrowane łącze CPU–GPU.

Rozwiązany problem

Dane przetwarzane w procesorze i pamięci istnieją zwykle w postaci odszyfrowanej i są narażone na podejrzenie lub manipulację przez uprzywilejowane oprogramowanie (hypervisor, system operacyjny) oraz administratorów infrastruktury lub dostawcę chmury. Szyfrowanie w spoczynku i w tranzycie nie chroni danych w tym krytycznym momencie. Confidential computing domyka tę lukę, chroniąc dane i kod w trakcie obliczeń.

Komponenty

Zaufane środowisko wykonawcze (TEE)Wykonuje obliczenia na danych poufnych w izolacji.

Sprzętowo izolowane środowisko na CPU lub GPU, w którym kod i dane są chronione przed resztą systemu, w tym przed systemem operacyjnym i hypervisorem.

Zdalna atestacjaBuduje zaufanie do środowiska przed udostępnieniem danych.

Proces kryptograficzny, w którym TEE przedstawia podpisany, weryfikowalny dowód swojej autentyczności i stanu bezpieczeństwa, zanim otrzyma dane lub klucze.

Szyfrowanie pamięciChroni dane w pamięci w trakcie przetwarzania.

Sprzętowy mechanizm szyfrujący zawartość pamięci przypisanej do TEE, uniemożliwiający odczyt danych w postaci jawnej spoza enklawy/VM.

Zaufana baza obliczeniowa i granica zaufaniaDefiniuje model zagrożeń i zakres zaufania.

Zbiór elementów sprzętu, firmware i oprogramowania mogących uzyskać dostęp do danych poufnych; granica zaufania wyznacza, co znajduje się wewnątrz TCB.

Implementacja

Implementacje referencyjne

Open Enclave SDK

C/C++ · Confidential Computing Consortium

Enarx

Rust · Confidential Computing Consortium

Pułapki implementacyjne

Ataki side-channelWysoka

Badacze zademonstrowali ataki architektoniczne i side-channel skuteczne wobec TEE, np. przeciw Intel SGX oraz CIPHERLEAKS przeciw AMD SEV-SNP.

Rozwiązanie:Aktualizacje sprzętu/firmware i mechanizmy odtwarzania TCB (TCB recovery) ograniczają podatności w miarę ich wykrywania.

Narzut wydajnościowy łącza CPU–GPUŚrednia

W trybie confidential na H100 obliczenia GPU i przepustowość HBM pozostają bez zmian, ale szyfrowane łącze CPU–GPU ogranicza przepustowość do ok. 4 GB/s.

Rozwiązanie:Minimalizacja transferów CPU–GPU i utrzymywanie danych/obliczeń po stronie GPU.

Zaufanie do procesu atestacji i rozmiar TCBŚrednia

Bez poprawnej atestacji skompromitowany system może udawać zaufany; szeroka zaufana baza obliczeniowa zwiększa powierzchnię ataku.

Rozwiązanie:Rygorystyczna weryfikacja raportów atestacji i minimalizacja TCB.

Ewolucja

2015

Intel SGX w procesorach 6. generacji Intel Core (Skylake)

Punkt przełomowy

Jedno z pierwszych masowych sprzętowych TEE z izolacją na poziomie aplikacji (enklawy).

2019

Powstanie Confidential Computing Consortium

Punkt przełomowy

CCC powołany pod egidą Linux Foundation; członkowie założyciele: Alibaba, Arm, Google Cloud, Huawei, Intel, Microsoft, Red Hat. Standaryzacja terminu i definicji.

2021

Intel TDX — TEE na poziomie maszyny wirtualnej

Intel zaproponował Trust Domain Extensions (maj 2021), izolujące całe maszyny wirtualne od hypervisora i hosta.

2023

NVIDIA H100 — confidential computing na GPU

Punkt przełomowy

Pierwsze wsparcie confidential computing w GPU, chroniące dane i kod podczas treningu i inferencji AI.

Hiperparametry (konfigurowalne osie)

Poziom izolacjiWysoka

Granularność izolacji egzekwowana przez TEE: maszyna wirtualna, aplikacja/proces lub funkcja/biblioteka. Determinuje rozmiar zaufanej bazy obliczeniowej.

VM isolationIzolacja maszyny wirtualnej (np. Intel TDX, AMD SEV-SNP).

Application/process isolationIzolacja aplikacji/procesu (np. Intel SGX).

Function/library isolationIzolacja pojedynczej funkcji lub biblioteki.