Os processadores escaláveis Intel Xeon mais recentes apresentam o suporte para o Trust Domain Extensions (TDX), permitindo máquinas virtuais confiáveis.
Embora o Intel TDX ofereça “isolamento, confidencialidade e integridade no nível da VM”, a necessidade de binários assinados tem gerado debates na comunidade Fedora.
Daniel Berrange, da equipe de engenharia de virtualização da Red Hat, solicitou uma exceção para enviar os binários de enclave SGX assinados e pré-construídos no Fedora Linux. Para usar o atestado remoto Intel TDX, o código executado dentro do enclave SGX com o TDX precisa ser assinado pelo fornecedor.
Berrange explicou que é possível verificar se um enclave está executando código assinado pelo certificado do fornecedor. Isso envolve o uso de alguns enclaves SGX padrão construídos e assinados pela Intel. Para suportar o atestado remoto de CVMs usando o Intel TDX, é necessário empacotar grande parte do software SGX no Fedora.
Embora seja possível construir os enclaves no Fedora, o resultado não seria utilizável, pois os binários não teriam as assinaturas criptográficas Intel necessárias para estabelecer a raiz de confiança de volta ao hardware.
Isso cria um problema de conformidade com as diretrizes de empacotamento do Fedora. Para poder usar o atestado remoto com VMs confidenciais no Intel TDX, eles precisariam usar binários assinados pela Intel.
A proposta de Berrange é que os binários pré-construídos para os enclaves SGX padrão, assinados e distribuídos pela Intel, possam ser empacotados no Fedora. Isso gerou muitos debates na comunidade Fedora e no ecossistema de código aberto/Linux mais amplo.
Até agora, nenhuma ação foi decidida pela FESco sobre como o Fedora lidará com o suporte às VMs confidenciais do Intel TDX. A discussão em andamento pode ser encontrada aqui.
Até a próxima !!
Nenhum comentário:
Postar um comentário