Fortanix a annoncé la prise en charge de Confidential Containers dans sa plateforme Confidential AI. L’intégration connecte l’attestation de charge de travail Kubernetes à la version de clé de chiffrement, de sorte que les charges de travail qui respectent la politique de sécurité peuvent déchiffrer les modèles et les données sensibles dans des environnements d’exécution sécurisés (TEE) basés sur le matériel.
Confidential Containers (CoCo), un projet de la Cloud Native Computing Foundation, exécute des pods Kubernetes à l’intérieur de machines virtuelles confidentielles soutenues par des environnements d’exécution sécurisés (TEE) basés sur le matériel. Contrairement aux conteneurs ordinaires, dont l’isolement dépend en grande partie du système d’exploitation hôte, les machines virtuelles confidentielles utilisent des protections matérielles pour chiffrer la mémoire et restreindre l’accès à la charge de travail pendant son exécution. Cela permet de protéger les données en cours d’utilisation, et pas seulement les données au repos ou en transit, et peut permettre aux équipes d’exécuter des charges de travail sensibles sur une infrastructure partagée. Ces protections dépendent toujours de la confiance dans le logiciel invité et de la configuration correcte de l’attestation et de la libération des clés.
La présentation technique de Fortanix décrit les plugins connectant les charges de travail CoCo à deux services : Confidential Computing Manager (CCM), qui vérifie l’environnement, et Data Security Manager (DSM), qui libère les clés uniquement pour les environnements vérifiés par CCM. La société affirme que CCM peut attester ensemble le processeur et l’unité de traitement graphique (GPU), une vérification qui dépend de la configuration.
CoCo déplace l’extraction et le déballage des images vers l’invité confidentiel. Son agent d’attestation collecte des preuves matérielles et son centre de données confidentielles obtient des secrets après vérification. Dans le flux de travail décrit par Fortanix, les clés restent dans DSM si l’attestation échoue, de sorte que la charge de travail ne peut pas déchiffrer les modèles ou les données protégés.
Anuj Jaiswal, directeur produit de Fortanix, a déclaré dans l’annonce : « Avec l’attestation et la gestion des clés sur une seule plateforme, les équipes peuvent adopter le CoCo standard sans construire elles-mêmes la couche de confiance. » Fortanix affirme que CCM et DSM fonctionnent en cluster, avec une assistance 24h/24 et 7j/7, en tant que service hébergé, sur site ou en mode air-gappé.
Le guide de déploiement Intel TDX de Fortanix propose deux paramètres GPU : Required oblige CCM à valider les preuves GPU via le service d’attestation de NVIDIA ; Ignored vérifie uniquement que les preuves sont présentes et ne tient pas compte du résultat. Le guide note également que le graphique Fortanix CoCo Helm ne configure pas les paramètres du micrologiciel hôte ou du noyau, qui doivent être complétés au préalable.
L’attestation et la délivrance conditionnelle de secrets existent déjà dans les composants open source Trustee de CoCo. Le fiduciaire sépare l’évaluation des preuves de l’autorisation des ressources. Son service d’attestation compare les revendications de la plateforme avec les valeurs de référence, puis son service Key Broker applique une politique définie par l’utilisateur avant de divulguer les secrets du stockage local, d’un plugin ou d’un magasin de clés externe. Une attestation réussie nécessite toujours que cette stratégie autorise la demande. Le fiduciaire accepte également les preuves GPU liées au rapport d’attestation du processeur.
Azure Secure Key Release de Microsoft offre une alternative gérée dans Key Vault Premium et Managed HSM, intégrée à Azure Attestation. Il libère des clés exportables, pas des secrets ou des certificats.
Le noyau invité et les processus d’assistance du pod se situent à l’intérieur de la limite de confiance, les équipes doivent donc également leur faire confiance. Le modèle de confiance de CoCo explique que les mesures matérielles couvrent généralement l’environnement invité, la vérification des conteneurs constituant une étape distincte. Il avertit également qu’une application enclavée peut toujours exposer une interface externe dangereuse et exclut la protection contre le déni de service et les canaux latéraux matériels. L’attestation n’établit pas qu’une application d’IA gère les données en toute sécurité.
Fortanix indique que le support CoCo est disponible dès maintenant et son guide de déploiement documente l’installation de la charte Fortanix CoCo Helm. L’annonce indique également que Fortanix développe des plugins open source pour CoCo, sans nommer de référentiels ni de versions. Les notes de version de CCM du 17 septembre ont ajouté l’enregistrement de l’application CoCo pour AMD Secure Encrypted Virtualization-Secure Nested Paging (SEV-SNP) et Intel Trust Domain Extensions (TDX).
