Virtualización segura en la Nube

Transcripción

1 Virtualización segura en la Nube Seguridad basada en tecnologías de procesador para infraestructuras Cloud Simón Viñals Intel Corporation Iberia

2 Tecnologías de Seguridad en los procesadores Intel Xeon Advanced Encryption Standard New Instructions (AES-NI) Intel Trusted Execution Technology (TXT) Habilita el uso generalizado de la encriptación en todos los elementos Seguridad de datos y comunicaciones Evita la inserción de código malicioso previo al arranque del M o el OS Seguridad en virtualización 2

3 Combinación de tecnologías Intel VT, TXT y AES-NI Los cimientos de los servicios Cloud seguros Aislar Intel VT & Intel TXT Aporta aislamiento de s y ofrece un arranque más seguro Asegurar Intel TXT Establece status de trusted para asegurar la migración de s basada en políticas de seguridad Encriptar Intel AES-NI Ofrece aceleración por hardware de la encriptación para una mejor protección de datos M?? M Intel TXT ensures platform launch with known configuration 3

4 Ubicuidad en la protección de los datos con las nuevas instrucciones Intel AES NI 1 2 Transacciones seguras (comunmente usadas en pago-e, ecommerce, banca online, etc. Las soluciones software FDE (Full disk encryption) protegen los datos automáticamente al escribir en el disco 1 2 Transacciones seguras en Internet e Intranet Internet FDE protege los datos en los discos y almacenamiento Intranet 3 La mayoría de las aplicaciones empresariales ofrecen opciones para activar la encriptación y proteger así la privacidad de los datos 3 Name: J.Doe SS# Encriptación a nivel de aplicación para mayor automatización y granularidad Ubicuidad de la encriptación = Mejor protección de los activos de información 4

5 Intel AES-NI Encriptación AES asistida por hardware 7 nuevas instrucciones para mejorar la ejecución del popular algoritmo de encriptación Soporte al software de encriptación para ser más rápido y más seguro AES-NI soporta las crecientes cargas de trabajo de encriptación de datos 5

6 Uso 1: Más uso de AES en las s Más uso de SSL/HTTPS en las, mayor velocidad de acceso a discos encriptados (FDE) o tablespaces encriptados de BBDD IIS Win server Apache Fedora 14 server M w AES-NI Resultado: Más s por servidor 6

7 Number of Users Decryption Time(us) provisioning time (seconds) Intel Xeon Processor 5600 Series Comparativas reales de rendimiento con Intel AES-NI Web Banking Workload (MS IIS/PHP) 1 4.5x % Higher is better Database Encryption/Decryption 158 (Oracle 11g) 2 Lower is better -89% Full Disk Encryption (McAfee Endpoint Encryption) % Lower is better WDC w/o encryption NHM w/o encryption WSM NHM w/o Intel IPP WSM NHM WSM 1 System configuration: Windows 2008 R2 x64 Ent. Server. PHP banking sessions /users measured with Intel Xeon X5680 (3.33 GHz) vs Intel Xeon 5160 (3.00 GHz) and Intel Xeon X5570 (2.93 GHz), 24 SSD RAID 0 arrays, TLS_RSA_with_AES_128_CBC_SHA cipher suite. 2 System configuration: Oracle 11g with TDE, time takes to decrypt a 5.1 million row encrypted table with AES-256 CBC mode on WSM 3.33 GHz optimized with Intel Performance Primitives crypto library (IPP) vs NHM 2.8 GHz without IPP. Timing measured is per 4K of data. 3 System configuration: McAfee Endpoint Encryption for PCs (EEPC) 6.0 package with McAfee epolicy Orchestrator (epo) 4.5 encrypting a 32GB X25E SSD with WSM 3.33 GHz vs. NHM 2.93 GHz. 24GB of memory. 7

8 Servicios de terminación VPN (hoy) Típicamente usan dedicado basado en procesadores antiguos y módulos de encriptación propietarios Consolidados y automatizados en la mayoría de los datancenters, sin SLA e2e ni elasticidad Requiere instalar en sedes remotas 8

9 Valor de AES-NI para VPN: Unifica tecnologías VPN (MPLS, Ethernet, internet) en la red, permitiendo SLAs e2e y SLAs de aplicación Para apps de misión crítica: Garantiza alta disponibilidad y rendimiento Refuerza la seguridad de los servicios cloud Facilita la instalación de nuevas aplicaciones, servicios y usuarios Permite un mismo SLA para usuarios móviles, eliminando necesidad de /SW propietario 9

10 Uso 2: Servicios de terminación de VPN Acceso a túneles VPN: app OpenVPN client OpenVPN Apache Client OS Vyatta 6.1 Fedora 14 M w AES-NI Resultado: Servicios de terminación de VPN flexibles y optimizados en coste 10

11 Usage 3: Transmisión segura Mover s entre servidores: compute compute sin AES-NI M on M on compute AES-NI crea un canal encriptado en el túnel compute M using AES-NI M using AES-NI 11

12 Resumen AES-NI Intel AES-NI enables better security and performance which improves cloud security Bigger number of more secure s per host Secure bursting through encrypted channel between hosts And flexibility Terminating VPNs in SW appliances 12

13 Trust Level: Enforced Trust Level: Measured Intel TXT: Cómo funciona? Ejemplo de verificación: El SW puede ser medido y verificado contra un valor conocido Arranque del El FW del sistema es verificado por TXT antes del boot FW/BIOS match? Yes TXT Código del es medido por TXT y comparado con el valor conocido antes de permitir su ejecución HYP measure match? Yes Lanzar s, OS, etc OS OS Ejemplo de bloqueo: El SW desconocido es medido, comprobado, detectado y bloqueado Arranque del El FW del sistema es verificado por TXT antes del boot FW/BIOS match? Yes TXT Código del es medido por TXT y comparado con el valor conocido antes de permitir su ejecución Rootkit HYP measure match? No TXT bloquea el lanzamiento del falso (Rootkit) 13

14 Trust Level: Unknown Trust Level: Measured Intel TXT: Modelos de uso Afrontar una necesidad crítica en los modelos de uso virtualizados y basados en el cloud Soporta la migración de s a otras plataformas seguras Arranque seguro de M Pools de confianza 1 n 1 n 1a 2a 1b 2b 3a 3b OS OS Intel TXT OS OS OS OS OS OS OS OS Asegura que sólo el SW de confianza sea ejecutado Migración segura dentro de Pools de confianza Green designates Intel TXT enabled Poderoso complemento para las protecciones en tiempo de ejecución en entornos virtualizados 14

15 Let s do amazing