TDX : Trust Domain Extensions (Intel)
Sécurité
TDX : Trust Domain Extensions, technologie d'Intel qui isole des machines virtuelles complètes, appelées domaines de confiance, de l'hyperviseur et de l'administrateur de l'hôte. « La machine virtuelle qui se méfie de son propre hébergeur », par analogie avec le locataire qui fait changer la serrure et chiffre son courrier, tout en continuant de payer le loyer au propriétaire qui détient le double des clés de l'immeuble.
Principe : La mémoire de chaque domaine de confiance est chiffrée par le processeur avec une clé propre, inaccessible à l'hyperviseur. Un module logiciel signé par Intel, exécuté dans un mode processeur dédié, arbitre les transitions entre l'hyperviseur et les domaines. Le fournisseur cloud continue d'ordonnancer la machine virtuelle sans pouvoir en lire le contenu.
Attestation : Le domaine produit un rapport signé qui décrit son état de démarrage ; un service distant le vérifie avant de lui confier des secrets, par exemple une clé détenue dans un KMS. Sans cette vérification, la protection repose sur la parole de l'hébergeur, c'est-à-dire précisément sur ce dont on voulait se passer.
Équivalents : Annoncée en 2020 et proposée sur des processeurs serveur Xeon récents, TDX joue le même rôle que SEV-SNP (Secure Encrypted Virtualization with Secure Nested Paging) chez AMD. SGX (Software Guard Extensions), plus ancienne technologie d'Intel, isole seulement une partie d'un processus, appelée enclave.
Ce qui arrive si on s'en passe
Une charge déployée dans un domaine TDX sans vérifier l'attestation peut recevoir ses secrets alors qu'elle tourne en réalité dans une machine virtuelle ordinaire, ou avec un micrologiciel modifié, et l'administrateur de l'hôte les lit comme avant. Un domaine de confiance qui charge un noyau ou une image non mesurés transporte ses vulnérabilités à l'intérieur de l'enceinte protégée, où elles sont simplement mieux chiffrées. Enfin, oublier les mises à jour du micrologiciel et du module TDX laisse ouvertes des failles corrigées depuis longtemps, que l'attestation, si on la consulte, aurait signalées.
Explication de la marmotte
Dans le cloud, nos programmes tournent sur des ordinateurs qui appartiennent à quelqu'un d'autre, et l'administrateur de ces machines pourrait en principe regarder dans leur mémoire. Intel TDX permet de faire tourner un ordinateur virtuel dont la mémoire est chiffrée par le processeur lui-même, si bien que l'hébergeur ne peut pas la lire. Avant de lui confier des données secrètes, on peut demander au processeur une preuve signée que tout est bien en place. C'est ce qu'on appelle l'informatique confidentielle.
Où ce terme est utilisé
- Évasion de VM et isolation matérielle des hyperviseurs (5 occurrences)
- Chiffrement homomorphe dans le cloud : promesses et limites réelles (2 occurrences)
- Sécuriser les données en mémoire dans le cloud (2 occurrences)