原創(chuàng )：譚婧
人在干，天在看，云在算。
云計算越發(fā)展，云安全越重要。
故事得從小小的芯片講起。
一家以色列的芯片公司，名叫Annapurna Labs，以喜馬拉雅山脈的最高峰——安娜普爾納峰命名。
兩位創(chuàng )始人Billy和Nafea曾想在創(chuàng )業(yè)之前攀登此峰，挑戰人生極限。結果，造化弄人，沒(méi)登上此峰，卻登上了芯片界的險峰，換了個(gè)角度實(shí)現人生理想。
日后，這家智能網(wǎng)卡起家的公司，被亞馬遜云科技公司（AWS）以3.5億美元高價(jià)收購。
這場(chǎng)收購，買(mǎi)到了定制化芯片（ASIC）的能力。
此時(shí)，AWS公司副總裁技術(shù)大神AnthonyLiguori（安東尼·利古里）出場(chǎng)。
為Nitrosystem打下牢固的基礎，此處按下另表。
自此，AWS芯片實(shí)力大增。
云計算走到今天，為了突破創(chuàng )新，不得不向芯片問(wèn)路。這背后的本質(zhì)是，系統架構創(chuàng )新。
系統架構是什么？芯片以及配套的軟硬件。
這一次創(chuàng )新，帶來(lái)的機會(huì )是：
誰(shuí)能成為下一代數據中心虛擬化標準架構的“王者”？
1
處在相同段位的技術(shù)領(lǐng)袖，判斷總是出奇的相似。
2016年，阿里云彈性計算產(chǎn)品線(xiàn)負責人張獻濤博士低調地往返于北京和杭州兩地多次，他在勸說(shuō)一位芯片主架構師加入阿里云。
?起初，人家不來(lái)。
原因也很清楚，2016年誰(shuí)會(huì )相信互聯(lián)網(wǎng)公司需要芯片技術(shù)。也許是三顧茅廬的誠意，也許是前景，這位生于1979年的主架構師被勸動(dòng)了。
張獻濤博士當時(shí)的原話(huà)是：“你在傳統公司很多年了，理解不透互聯(lián)網(wǎng)公司的決心，這件事情前人絕對沒(méi)做過(guò)，它可以改變云計算里面最核心的技術(shù)?！?/p>
信仰的光，最是感召。隨后，多位重量級芯片技術(shù)大拿前后加入阿里云。
他們眼睛里面的光芒，從何而來(lái)？
這要從虛擬化技術(shù)的過(guò)往講起。
2004年，張獻濤博士在讀，專(zhuān)攻虛擬化技術(shù)。當時(shí)，全球研究同領(lǐng)域的人不多，可能加起來(lái)不到一百人。擇業(yè)范圍太小了，張博士也擔心畢業(yè)之后能不能找到工作。
彼時(shí)，著(zhù)名高校和前沿公司在研究虛擬化，斯坦福大學(xué)、劍橋大學(xué)，微軟公司、英特爾公司。問(wèn)題是，沒(méi)有太多的地方用。
1997年，斯坦福大學(xué)背景的教授創(chuàng )立VMWare公司，成了虛擬化技術(shù)的商業(yè)鼻祖，但它主要在PC上運行，這和云計算數據中心需要的虛擬化技術(shù)，大有不同。
或者說(shuō)，云計算之前的虛擬化技術(shù)，可以被稱(chēng)為傳統虛擬技術(shù)。
七八年轉瞬而過(guò)，2005年，英特爾和AMD也看出來(lái)虛擬化技術(shù)的重要性了，運功發(fā)力推出了VT-x和VT-d，推了一把虛擬化技術(shù)的進(jìn)程。
阿里云成立的時(shí)候，思路也很清晰，必須拋棄那些不適用于云計算的虛擬化技術(shù)，才能做云計算的領(lǐng)頭羊。
所以，阿里云自研虛擬化就從深度定制化和產(chǎn)品化的開(kāi)源虛擬化軟件Xen和KVM開(kāi)始。
2014年是張獻濤博士在英特爾的最后一年。
這一年，距離他開(kāi)始博士研究，已經(jīng)過(guò)去了整整十年。
這十年，他全神貫注研究虛擬化。
這一年，他加入阿里云。
云計算實(shí)現了虛擬化技術(shù)的躍遷，大家突然意識到虛擬化技術(shù)“值錢(qián)”了。但是，傳統技術(shù)的缺陷明顯，性能損耗，隔離性差，這些依然在給云安全以重錘。
沒(méi)有云計算廠(chǎng)商不重視安全，安全是隨著(zhù)技術(shù)發(fā)展動(dòng)態(tài)變化的。
所謂魔高一尺，道高一丈。
但是，很多人對安全有偏見(jiàn)，觀(guān)點(diǎn)“看似挺對，其實(shí)不對”：
“現在才講安全，你以前的產(chǎn)品是不是都不安全？”
實(shí)際上，阿里云安全團隊，獨立于集團的安全部門(mén)，是一支幾千人的團隊，只干一件事，安全。
張獻濤博士坦言：“只要是個(gè)軟件，都會(huì )有安全相關(guān)的bug或者漏洞，所以，沒(méi)有絕對安全，只有更安全?！?/p>
解決安全問(wèn)題，不是“堆”多少人力，而是徹底解決傳統技術(shù)的“缺陷”，安全的防線(xiàn)才能拔高。
用芯片解決缺陷是一個(gè)正確的方向，一開(kāi)始只有AWS和阿里云兩大巨頭死死盯著(zhù)這條路。
多年后，回頭再看AWS的芯片收購案，抄了研發(fā)的近道，每年都為AWS省下大筆資金。省的，就是賺的。
但是，阿里云的技術(shù)團隊不會(huì )走“重點(diǎn)技術(shù)采購于別家”這條路。說(shuō)得再實(shí)際一點(diǎn)，體量越大的廠(chǎng)商，越是黑客眼里的唐僧肉。
“體量”逼著(zhù)阿里云拿出巨大的決心從架構創(chuàng )新做起，一舉解決整個(gè)一代云計算技術(shù)面臨的痛點(diǎn)。
先烈們說(shuō)：“勞資，打的就是精銳?！?/p>
阿里云說(shuō)：“我們，干的就是自研?！?/p>
2016年的時(shí)候，張獻濤博士天天都在思考：如何通過(guò)架構創(chuàng )新解決傳統虛擬化在云計算場(chǎng)景中的問(wèn)題？
只有把虛擬技術(shù)想透徹的人，才能從根本上解決虛擬化的安全問(wèn)題。
誰(shuí)搞定了云計算架構創(chuàng )新，誰(shuí)將在云場(chǎng)景中收益巨大。
2
2017年10月，阿里云神龍架構發(fā)布。
2017年11月，AWS Nitro system發(fā)布。
全球兩家頂級云廠(chǎng)商，不謀而合地打響了云計算芯片創(chuàng )新的全球第一槍。
張獻濤博士談道：“神龍芯片，引領(lǐng)了下一代數據中心的虛擬化標準架構?！?/p>
從安全的角度講，有了神龍芯片，阿里云的虛擬化安全就引領(lǐng)了一個(gè)時(shí)代。
怎么做到的？
第一，用芯片實(shí)現隔離。
處理器和內存隔離，有兩個(gè)層面：安全，性能。
張獻濤博士談道：“所謂性能的隔離，是一臺物理機上有兩個(gè)虛擬機的時(shí)候，互相不干擾，性能隔離做得不好，性能輸出會(huì )忽高忽低，這樣不能服務(wù)于企業(yè)客戶(hù)。這也解釋了為什么阿里云2017年推出了企業(yè)級實(shí)例，做到完全隔離?！?/p>
阿里云2017年的企業(yè)級實(shí)例產(chǎn)品和神龍前后腳推出，這不是巧合，是一起解決“不得不面對”的問(wèn)題。
在技術(shù)早期階段，安全常常有讓步于性能的無(wú)奈。
“性能”對著(zhù)“安全”吼：
“你能不能讓我先實(shí)現了，再考慮你?！?/p>
安全回答道：
“行啊，反正誰(shuí)也離不了我。你不重視我，我就讓客戶(hù)難受?！?/p>
第二，用芯片解決出入口漏洞。
就像防賊要防住門(mén)窗一樣，IO鏈路上是最容易出安全漏洞的。傳統的虛擬化相關(guān)軟件在那個(gè)時(shí)間點(diǎn)上，完完全全過(guò)時(shí)了。神龍芯片大刀闊斧，把該砍掉的全砍掉，所有IO鏈路完全用硬件實(shí)現。
現在，網(wǎng)絡(luò )和存儲的IO都做到了用單獨的硬件隊列在硬件中去實(shí)現。這樣，硬件上A和B兩個(gè)虛擬機的數據鏈路做到了完全隔離。
此時(shí)，硬件實(shí)現了軟件要做的事情，硬件的攻擊面小于軟件的，所以，更安全了。
另外，阿里云把CPU、內存的虛擬化做得極其精簡(jiǎn)。
張獻濤博士說(shuō)：“所謂極其精簡(jiǎn)，（就是）我們知道軟件的安全漏洞和它的代碼行數一定是成正比的，所以，會(huì )審查每一行代碼的安全問(wèn)題?！?/p>
近幾年，主流公有云廠(chǎng)商將安全能力列為平臺基礎能力，大舉投入。本質(zhì)是，云計算今非昔比，“性能”履行當年對“安全”的承諾。
性能解決了，更多兵力要劃撥到安全的戰場(chǎng)上去。
Gartner發(fā)布2021年需深挖的9項重要戰略科技趨勢，其中之一是加密計算，到2025年將有一半的大型企業(yè)使用。
阿里云對加密計算的研究，得從神龍芯片的研發(fā)時(shí)間開(kāi)始推算。
因為神龍芯片一石三鳥(niǎo)，為云安全解決了三個(gè)問(wèn)題：
一個(gè)是性能隔離，
一個(gè)是數據鏈路隔離，
一個(gè)是建立獨立安全屋。
簡(jiǎn)單理解，獨立安全屋就是加密計算。
加密計算是創(chuàng )造一個(gè)隔離環(huán)境，誰(shuí)也進(jìn)不來(lái)，管理員（阿里云）也不行。加密計算靠的是硬件（處理器），把代碼和數據放到一個(gè)硬件保護起來(lái)的安全環(huán)境中去計算。
前文也提了，云計算走到今天，為突破創(chuàng )新，不得不聯(lián)手芯片。阿里云都這么努力，英特爾這種老牌芯片公司會(huì )吃閑飯嗎？
加密計算技術(shù)有很多種，其中英特爾公司的SGX（Software Guard Extension，指令集擴展）尤為出名。
英特爾推出SGX這項技術(shù)，可以追溯到2004年。
十年后，SGX成為了系統安全領(lǐng)域的重大進(jìn)展。
當下，SGX是較為成熟的加密計算技術(shù)，阿里云也是最早支持SGX能力的云廠(chǎng)商之一。
SGX能夠在計算平臺上提供一個(gè)可信的隔離空間，保障用戶(hù)關(guān)鍵代碼和數據的機密性和完整性。
SGX出貨量肯定很大，因為捆在英特爾CPU里面了。
SGX的原理是，提供了一系列的擴展指令集，核心就是CPU運行的時(shí)候可以切換到Enclave的SGX模式。
切到這個(gè)模式里之后，當CPU去內存里取指令的時(shí)候，是把加密過(guò)的指令取到CPU里解密。
加密內存中的數據，加密后的“密文”只有在處理器里才會(huì )被解密成“明文”。
在CPU里完成這個(gè)解密，再完成這個(gè)指令的執行。
處理器和內存都參與了加密，所以，這個(gè)運算過(guò)程在外部看來(lái)永遠是一個(gè)密文。要么打破內存加密，要么打破芯片處理器加密，黑客攻擊難度都很大。
加密計算用戶(hù)可以讓數據的計算在保險柜中進(jìn)行，實(shí)現運行數據的“可用不可見(jiàn)”。
SGX2.0帶來(lái)的好消息是，英特爾SGX技術(shù)迭代了，到了這一代，Ice Lake（第三代英特爾?至強?可擴展處理器）可在多路服務(wù)器上支持SGX。
SGX2.0也是一個(gè)突破性的技術(shù)，從根本上解決了企業(yè)對于機器學(xué)習、人工智能等GB級以上數據量的高效運算技術(shù)需求，為金融互聯(lián)網(wǎng)等使用場(chǎng)景，提供了更高安全等級數據保護的支持。
或者說(shuō)，目前，SGX2.0是真實(shí)場(chǎng)景、大數據、大規模情況下進(jìn)行隱私計算唯一可實(shí)踐的技術(shù)路徑。
3
有用的數據，從一出生就需要保護。
所以，按數據生命周期的階段來(lái)劃分加密計算，有三位鏢師：
鏢師一，保護存儲中的數據，數據加密；
鏢師二，保護傳輸中的數據，加密協(xié)議；
鏢師三，保護使用中的數據，加密計算。
其中，鏢師三最難，保護使用中的數據，需用兩部《兵法》。
《兵法一》出自英特爾，SGX2.0+Enclave。
《兵法二》出自阿里云自研虛擬化Enclave。
Enclave，中文譯為“飛地”，簡(jiǎn)單理解就是大空間里劃出來(lái)一個(gè)小空間。
Enclave是一個(gè)隔離環(huán)境，可以理解為，虛擬機中的虛擬機。
把云計算比喻為一座宏偉大廈，從地基往上的每一層樓，每一個(gè)房間，都要安全，Enclave就好比房間里面隔離出來(lái)的保險柜。
（SGX支持虛擬化技術(shù)可以再虛擬出一個(gè)vSGX，也就是，把物理加密計算能力“給”虛擬機。vSGX通過(guò)虛擬化實(shí)現了在虛擬機層面基于SGX技術(shù)的Enclave。）
《兵法一》
是“硬件”SGX+Enclave技術(shù)。
用硬件安全強制保障軟件安全，最終達到保障虛擬化的安全的目的。這里的硬件，指的是英特爾的硬件。
《兵法二》
是用神龍芯片構建了一個(gè)安全的微型服務(wù)器，通過(guò)芯片的隔離技術(shù)，構建了一個(gè)安全的執行環(huán)境。
可以這樣說(shuō)，沒(méi)有第三代神龍架構，就不會(huì )有阿里云自研虛擬化Enclave這種加密計算技術(shù)。
原理是，在虛擬機創(chuàng )建了Enclave隔離環(huán)境后，用本地加密通道對隔離環(huán)境下達指令和應用，提供全隔離、高可信的計算環(huán)境，隔離存儲設備、可交互環(huán)境和外部網(wǎng)絡(luò )連接。
SGX環(huán)境是一個(gè)硬件級別的環(huán)境，阿里云盡管是在硬件上跑的系統，但是沒(méi)有權限看到里面的東西，所以整個(gè)運行環(huán)境對阿里云來(lái)說(shuō)不在一個(gè)樓層里，相當于阿里云在三樓，SGX是在地下室操作。
所以，永遠不用擔心數據會(huì )被云廠(chǎng)商偷窺。
兩部《兵法》理念相同，用不同的底層軟硬件技術(shù)實(shí)現。
阿里云是業(yè)界最早實(shí)現加密計算（同時(shí)支持基于硬件及虛擬化）與可信計算的云廠(chǎng)商，這些能力內置在阿里云最新發(fā)布的第七代ECS云服務(wù)器里。
此外，第七代ECS云服務(wù)不僅支持加密計算，還融合了可信計算，阿里云也是業(yè)界最早同時(shí)提供這兩種原生計算安全的廠(chǎng)商。
加密計算涉及硬件、BIOS、操作系統、虛擬化、管控軟件、SDK、遠程證明服務(wù)等組件的開(kāi)發(fā)與改造，技術(shù)難點(diǎn)很多，最難點(diǎn)在于虛擬化技術(shù)需要與阿里云彈性計算的神龍架構融合。
這背后有三支攻堅小組：安全小組、虛擬化小組、神龍軟硬一體化小組。其中，安全小組里遍地是高（A）手（+）和高（a）高（li）手（xing）。
黑客見(jiàn)狀，高聲大呼：放棄幻想，趁早改行。
可以預見(jiàn)，加密計算作為一種基礎技術(shù)，將作為運算環(huán)境必不可少的一部分，存在于越來(lái)越多的計算節點(diǎn)上，配套的加密計算應用也會(huì )應運而生，將會(huì )給云計算帶來(lái)新一輪大發(fā)展。
安危他日終須仗，甘苦來(lái)時(shí)要共嘗，技術(shù)發(fā)展和安全的關(guān)系就是這樣。
阿里云用芯片一小步，成就云安全一大步。
最后，補充一個(gè)問(wèn)題：神龍芯片的本質(zhì)是什么？
正是當今資本追捧，軟硬一體，深度協(xié)同，使用芯片對數據面加速的三好學(xué)生優(yōu)秀班干部——DPU。
（完）
最后，再介紹一下主編自己吧。
我是譚婧，科技和科普題材作者。
圍追科技大神，堵截科技公司。
生命短暫，不走捷徑。
還想看我的文章，就關(guān)注“親愛(ài)的數據”。
聯(lián)系客服
