¿Qué es la informática confidencial?

La informática confidencial protege los datos mediante la creación de entornos de cargas de trabajo aislados que funcionan independientemente del sistema host. Gracias a este aislamiento, el software o los administradores de sistemas con privilegios no pueden acceder a los datos en un enclave seguro. La informática confidencial aborda un aspecto importante de la seguridad de los datos al protegerlos mientras están en uso. 

La protección de los datos en uso es fundamental, ya que incluso los controles de seguridad más estrictos pueden ser vulnerados por amenazas internas. Por ejemplo, si bien el cifrado puede proteger los datos en reposo, las claves de descifrado deben cargarse en la memoria cuando el sistema necesita utilizar esos datos, por lo que pueden quedar expuestas a cualquier persona con acceso a la memoria virtual o física. La informática confidencial soluciona este aspecto vulnerable. También brinda seguridad para los entornos de infraestructura compartida y multiempresa, o para las empresas que necesitan compartir conjuntos de datos con un partner sin comprometer la información confidencial. 

La informática confidencial se basa en entornos de ejecución confiables (TEE), que son enclaves seguros en los que el código se ejecuta sin que el host pueda acceder a él. Los TEE impiden el acceso no autorizado o la modificación de las aplicaciones y los datos, incluso mientras se están utilizando, y ayudan a mantener la confidencialidad y la integridad de los datos mientras se ejecutan en un entorno de nube. La comunidad Confidential Computing Consortium (CCC) define al TEE como "un entorno que brinda garantía de confidencialidad de los datos, integridad de los datos e integridad del código". Todo esto depende de una base de hardware de confianza. 

Obtén más información en el pódcast Technically Speaking

Con respecto al hardware, la memoria está particionada físicamente, por lo que puedes ejecutar una aplicación en su propio enclave (el TEE). El enclave funciona como una caja negra que contiene una clave de cifrado que solo sirve para un programa autorizado. El TEE permite que el programa autorizado descifre la información que se ejecuta dentro del TEE, para que pueda llevar a cabo sus procesos específicos, pero esta clave no se extiende a otras personas, por lo que la información confidencial no se revela a agentes malintencionados, amenazas internas ni partners que no necesitan acceso. 

Estos son los aspectos clave de la informática confidencial:

• Protección contra las amenazas internas. Los datos y códigos confidenciales están protegidos de los usuarios con privilegios, como los proveedores de nube y los administradores de infraestructura, que normalmente podrían tener acceso al hardware o al software. Incluso cuando la infraestructura se ve comprometida, los datos del TEE permanecen protegidos.
• Aislamiento del hardware. La confidencialidad se aplica en el hardware, por lo general mediante el cifrado de la memoria y los estados de CPU, para establecer TEE sólidos.
• Autenticación remota. La autenticación remota permite que un verificador confirme criptográficamente que un sistema remoto está ejecutando software de confianza en un TEE de hardware seguro antes de enviarle datos confidenciales para su procesamiento.
• Máquinas virtuales confidenciales. Muchas soluciones de informática confidencial utilizan máquinas virtuales confidenciales (CVM). Las CVM se ejecutan dentro de un TEE y actúan como una base segura donde se implementan las cargas de trabajo confidenciales. Por lo tanto, impiden que entidades no autorizadas accedan o vean lo que ocurre en su interior.

Los enfoques tradicionales de la privacidad de los datos suelen utilizar toda la stack de infraestructura y el sistema operativo host del proveedor de nube. En cambio, la informática confidencial crea entornos de cargas de trabajo aislados que funcionan de forma independiente del sistema host. Mientras que los enfoques de seguridad convencionales pueden incluir la verificación de la integridad, la autenticación mediante la informática confidencial permite procesar los datos confidenciales únicamente en condiciones y entornos de ejecución verificados.

La informática confidencial resuelve una carencia de los métodos tradicionales de cifrado de datos cuando estos se encuentran en su estado más vulnerable, es decir, durante las operaciones. A diferencia de los métodos de privacidad basados en software, los TEE ofrecen un aislamiento basado en hardware que impide que el software o los administradores de sistemas con privilegios accedan a los datos del enclave seguro.

Algunos de los beneficios de la informática confidencial son una mayor seguridad de los datos, la privacidad durante la ejecución y la capacidad de procesar información confidencial de forma segura. La informática confidencial puede mejorar la integridad de los datos y el código, especialmente con funciones de TEE como el cifrado de datos en uso y la protección en tiempo de ejecución. También ayuda a las empresas a cumplir con la normativa, abordar las estrictas regulaciones de privacidad de los datos y garantizar el cifrado para el usuario final. Al ofrecer una forma más segura de colaborar entre las empresas, la informática confidencial contribuye a que estas mantengan una ventaja competitiva y optimicen la migración a la nube.

La implementación de la informática confidencial también puede plantear desafíos importantes, como un mayor consumo de recursos de rendimiento y de comunicación. Pueden surgir problemas de compatibilidad, especialmente en entornos híbridos, donde el hardware especializado o la reestructuración de las aplicaciones pueden aumentar la complejidad. La informática confidencial puede limitar la capacidad de ajuste de la infraestructura y generar nuevas inquietudes relacionadas con la seguridad en los entornos multicloud, donde varias personas pueden comprometer la seguridad de los enclaves al requerir acceso como superusuario.

La informática confidencial refuerza la privacidad y la seguridad de los datos, especialmente ahora que los avances en inteligencia artificial y cloud computing generan una necesidad constante de herramientas de privacidad en los servicios de nube pública. A medida que evolucionen las pautas y las normas del sector (definidas por la comunidad CCC y las observaciones de Everest Group), en particular en relación con la entrada y salida segura (E/S segura) de los datos y los mecanismos de autenticación, la informática confidencial se convertirá en una parte cada vez más integral de la infraestructura de nube.

La informática confidencial aborda distintos casos prácticos y desafíos de seguridad importantes:

Reducción de las amenazas internas

La informática confidencial permite proteger el código y los datos confidenciales de sistemas hosts o usuarios con privilegios que, por lo general, podrían tener acceso a la infraestructura de hardware o software a través de la empresa. Esto incluye a proveedores de nube, administradores de infraestructura e incluso administradores de clústeres. 

Cumplimiento de los requisitos normativos

En sectores altamente regulados, como la salud, la administración pública y los servicios financieros y aseguradoras (FSI), la informática confidencial ayuda a las empresas a cumplir con normas estrictas, como el Reglamento General de Protección de Datos (GDPR), el Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago (PCI-DSS), la Ley de Portabilidad y Responsabilidad de los Seguros Médicos (HIPAA), la Ley de Resiliencia Operativa Digital (DORA), la Directiva sobre la Seguridad de las Redes y los Sistemas de Información 2 (NIS2) y la Ley de Resiliencia Cibernética (CRA).

Protección de la propiedad intelectual y los modelos de inteligencia artificial

La informática confidencial es fundamental para proteger la propiedad intelectual y la lógica empresarial propietaria, los modelos de inteligencia artificial, los conjuntos de datos de entrenamiento y los datos confidenciales de los usuarios durante el procesamiento (en el entrenamiento y la inferencia). Protege estos recursos valiosos contra el acceso no autorizado, la inyección de peticiones, la divulgación de información confidencial, el envenenamiento de modelos y el robo, incluso cuando se ejecutan en entornos controlados por clientes o partners. Con la informática confidencial, puedes compartir información con otra persona sin exponer tu propiedad intelectual. 

Mantenimiento de la infraestructura compartida y multiempresa

Al proporcionar aislamiento de datos en entornos de nube compartida y multiempresa, la informática confidencial ofrece protección contra los ataques entre tenants, de manera que los datos o secretos de un tenant no sean accesibles para otros que compartan el mismo hardware.

Mejora de la confianza cero y la seguridad de la cadena de suministro de software

La informática confidencial respalda las prácticas de DevOps de la siguiente manera:

• Aísla los canales de integración y distribución continuas (CI/CD).
• Protege el código y los datos de los administradores.
• Garantiza la integridad de las claves de firma de artefactos a través de la autenticación. 

La informática confidencial también es un elemento fundamental de la seguridad de confianza cero, ya que mejora los controles de seguridad basados en los TEE y la confianza en la nube pública. 

Obtén más información sobre el gestor de identidades de las cargas de trabajo de confianza cero

Soporte para el edge computing

La informática confidencial protege los datos y las cargas de trabajo en el extremo de la red, incluso cuando estos forman parte de los servicios de nube. Por lo tanto, la información confidencial y los procesos asociados son más seguros, ya sea que se encuentren completamente en un dispositivo del extremo de la red o que interactúen con una infraestructura de nube central. Esta protección es esencial para el edge computing, ya que los dispositivos suelen encontrarse en entornos menos controlados y tienen más probabilidades de sufrir ataques físicos o accesos no autorizados.

Aumento de la adopción de la nube y la nube híbrida

Al permitir a las empresas migrar las cargas de trabajo confidenciales a los entornos de nube pública, privada e híbrida, la informática confidencial elimina los obstáculos para adoptar la nube y la nube híbrida. Incluye:

• Cloudbursting seguro. Amplía la confianza en las instalaciones a la nube pública para los momentos de mayor demanda de cargas de trabajo o recursos especializados (como GPU) sin comprometer la seguridad o el cumplimiento normativo.
• Data-clean rooms y colaboración entre partners. Permite que varias personas accedan a los datos confidenciales sin exponer información propietaria individual para fomentar un entorno de colaboración de confianza.
• Soberanía digital. Proporciona los recursos para trasladar las cargas de trabajo entre diferentes proveedores de nube o sistemas locales sin comprometer la protección de los datos. 

Red Hat respalda la informática confidencial con soluciones y tecnologías que mejoran la seguridad de los datos en la nube, en entornos locales y en el extremo de la red. 

Los contenedores en entornos de pruebas (sandbox) de Red Hat® OpenShift®, basados en el proyecto Kata Containers, pueden ejecutar contenedores confidenciales. Los contenedores confidenciales adoptan el uso estandarizado de la informática confidencial en los pods y simplifican su implementación en entornos Kubernetes. Esto permite a los usuarios implementar cargas de trabajo confidenciales utilizando herramientas y flujos de trabajo conocidos, sin necesidad de tener un amplio conocimiento sobre los TEE. Los contenedores confidenciales, que están disponibles a partir de la versión 1.10 de los contenedores en entornos de pruebas (sandbox) de Red Hat OpenShift, utilizan un enclave de hardware aislado que protege los datos y el código de usuarios con privilegios, como los administradores de la nube y de clústeres. Protegen la integridad de los discos de las CVM, garantizan la inicialización de las cargas de trabajo y sellan los secretos que solo están disponibles dentro de un TEE después de su verificación.

Mejora la seguridad con Red Hat OpenShift

El proyecto Confidential Clusters integra la tecnología de informática confidencial en los clústeres de Kubernetes. Con este proyecto, todos los nodos de Red Hat OpenShift funcionan en las CVM. Este enfoque protege la confidencialidad de todos los contenedores del clúster al establecer un modelo de confianza, el cual no confía en los proveedores de nube, pero sí en los administradores de clústeres.

Al utilizar Red Hat Enterprise Linux® para las CVM, las empresas pueden integrarse a una amplia variedad de proveedores de hardware de TEE y utilizar entornos locales o de nube sin depender de un solo proveedor. Con las CVM, el almacenamiento principal se cifra automáticamente al iniciarse, por lo que no es necesario contar con proveedores de almacenamiento externos. También proporcionan todas las medidas requeridas para integrarse a los servicios de autenticación.

La compilación Trustee de Red Hat es un servicio de autenticación para la informática confidencial que verifica la fiabilidad de los TEE antes de que se ejecuten las cargas de trabajo o se transmitan datos confidenciales. Proporciona secretos a las cargas de trabajo autenticadas dentro de los TEE, se integra a servicios de autenticación externos y actúa como una base de confianza fundamental para las tecnologías de TEE. También admite implementaciones jerárquicas para extender la informática confidencial de nube híbrida y multicloud mientras mantiene una gestión de confianza concentrada.

Red Hat colabora con un amplio ecosistema de partners, entre los que se encuentran NVIDIA, AMD e Intel, para respaldar la informática confidencial. NVIDIA y Red Hat trabajan juntas para ofrecer GPU confidenciales y cargas de trabajo confiables de inteligencia artificial y machine learning (aprendizaje automático). Gracias a esta integración, dichas cargas de trabajo, como el entrenamiento y la inferencia, se ejecutan de manera confiable, lo que aumenta significativamente el rendimiento en los contenedores confidenciales. El proceso de autenticación incluye el hardware y el software de la CPU y la GPU antes de que se revelen las claves de descifrado. 

Red Hat también colabora con partners para crear TEE que protegen las aplicaciones y los datos contra el acceso y la modificación no autorizados, incluso cuando están utilizándose en la memoria. La confidencialidad se implementa en el hardware, lo que suele implicar el cifrado de la memoria y el estado de la CPU. Entre las plataformas de hardware que admiten esta función se encuentran: 

• AMD Secure Encrypted Virtualization-Secure Nested Paging (SEV-SNP)
• Intel Trust Domain Extensions (TDX)
• IBM Secure Execution for Linux (SEL)
• Power Protected Execution Facility (PEF)
• ARM Confidential Compute Architecture (CCA)

Red Hat y nuestros partners ofrecen numerosas opciones para que tu empresa aproveche la informática confidencial y la seguridad de datos mejorada en los entornos de nube modernos.