Điện toán bảo mật (Confidential Computing)

1. Tổng quan

Điện toán bảo mật (Confidential Computing) là phương thức tính toán bảo vệ tính bí mật và toàn vẹn của dữ liệu ngay cả tại thời điểm tính toán diễn ra (đang sử dụng, in-use), bằng cách xử lý dữ liệu và mã bên trong môi trường thực thi tin cậy (TEE, Trusted Execution Environment) dựa trên phần cứng được tích hợp trong CPU. Confidential Computing Consortium (CCC, trực thuộc Linux Foundation) định nghĩa thuật ngữ và kiến trúc chuẩn.

Việc bảo vệ dữ liệu theo truyền thống tập trung vào hai trạng thái: khi lưu trữ (at rest) và khi truyền (in transit). Mã hóa đĩa (TDE, LUKS) và mã hóa truyền tải (TLS) lần lượt đảm nhận hai trạng thái này. Tuy nhiên thời điểm dữ liệu thực sự tạo ra giá trị có ý nghĩa là lúc phép tính được thực hiện trên CPU và bộ nhớ, khi đó dữ liệu phải tồn tại ở dạng bản rõ trong bộ nhớ, nên trạng thái thứ ba — dữ liệu đang sử dụng (in-use) — từ lâu vẫn là điểm mù. Khi workload chuyển lên đám mây, rủi ro của điểm mù này càng lớn hơn. Người dùng phải tin tưởng nhiều chủ thể đặc quyền (privileged software) mà họ không kiểm soát được như hypervisor·OS máy chủ·nhà vận hành đám mây·quản trị viên máy chủ vật lý, và chỉ cần một trong số đó bị xâm nhập hoặc có ác ý thì dữ liệu bản rõ đang chạy sẽ bị lộ nguyên vẹn.

Điện toán bảo mật giải quyết vấn đề này bằng cách gỡ gốc tin cậy (Root of Trust) khỏi ngăn xếp phần mềm và chuyển sang phần cứng CPU. Tức là loại cả hệ điều hành·hypervisor·quản trị viên đám mây khỏi đối tượng tin cậy (đẩy ra ngoài ranh giới tin cậy), tối thiểu hóa nền tảng tin cậy để chỉ tin nhà sản xuất CPU và cơ chế cách ly bên trong nó. Đây là cách tiếp cận dựa trên cách ly phần cứng, tương phản với mã hóa đồng cấu (thực hiện chính phép tính trên bản mã) hay tính toán đa bên (MPC) đã bàn trước đó — vốn đạt bảo vệ in-use thuần bằng phần mềm·toán học — và giữ vị trí bổ trợ lẫn nhau với chúng.

2. Kiến trúc TEE và mô hình đe dọa

Thiết bị cốt lõi của điện toán bảo mật là TEE. TEE là vùng thực thi được cách ly do CPU cung cấp; bộ nhớ bên trong nó khi ra ngoài CPU được tự động mã hóa qua engine mã hóa phần cứng, và không chủ thể nào ngoài enclave hợp lệ hoặc VM tin cậy có thể xem nội dung ở dạng bản rõ. Sơ đồ khái niệm dưới đây cho thấy khác biệt về ranh giới tin cậy giữa đường thực thi thông thường và đường được TEE bảo vệ.

graph TB
    subgraph HOST["Máy chủ host (ngoài ranh giới tin cậy)"]
      HV["Hypervisor / OS máy chủ"]
      ADM["Nhà vận hành đám mây / quản trị vật lý"]
      subgraph CPU["Gói CPU (ranh giới tin cậy)"]
        subgraph TEE["TEE (enclave / VM tin cậy)"]
          APP["Mã·dữ liệu được bảo vệ (bản rõ)"]
          MEMENC["Engine mã hóa bộ nhớ"]
        end
      end
      RAM["Bộ nhớ hệ thống (lưu trú dưới dạng bản mã)"]
    end
    APP --> MEMENC --> RAM
    HV -. "Chặn truy cập" .-> TEE
    ADM -. "Chặn truy cập" .-> TEE

Cốt lõi của mô hình đe dọa mà TEE phòng thủ là giả định phần mềm đặc quyền và người có quyền truy cập vật lý là kẻ tấn công tiềm năng. Nếu mô hình kiểm soát truy cập thông thường xử lý đe dọa ở mức ứng dụng·người dùng, thì điện toán bảo mật đẩy ra ngoài ranh giới tin cậy cả các tầng cao hơn như kernel·hypervisor·firmware, thậm chí cả quản trị viên trung tâm dữ liệu có thể chạm vật lý vào máy chủ. Dù tấn công cold boot đánh cắp module bộ nhớ hay hypervisor độc hại dump bộ nhớ của guest, trong bộ nhớ chỉ tồn tại bản mã nên không thể lấy được bản rõ.

Tuy nhiên phạm vi bảo vệ của TEE có ranh giới rõ ràng. TEE bảo đảm mạnh mẽ cách ly bộ nhớ và toàn vẹn, nhưng về bản chất có thể dễ bị tấn công kênh kề (side-channel) quan sát các hiệu ứng phụ vật lý như cache·dự đoán rẽ nhánh·tiêu thụ điện. Thực tế, một loạt tấn công vi kiến trúc nhắm vào Intel SGX như Foreshadow (L1TF), Plundervolt, SGAxe đã được báo cáo và nhà sản xuất đã ứng phó bằng bản vá microcode. Do đó nguyên tắc thực tiễn là hiểu điện toán bảo mật không phải "tấm khiên vạn năng" mà là công cụ định nghĩa lại ranh giới đe dọa, và song song áp dụng giảm thiểu kênh kề·bản vá mới nhất.

3. Thủ tục chứng thực từ xa (Remote Attestation)

Cơ chế quyết định giúp điện toán bảo mật thực sự thiết lập được sự tin cậy là chứng thực từ xa (Remote Attestation). Khi người dùng đưa workload lên một máy chủ nào đó trên đám mây, người dùng phải có thể kiểm chứng từ xa bằng mật mã rằng "đoạn mã này có thật sự đang chạy không bị sửa đổi bên trong một TEE thật hay không" thì mới có thể đưa dữ liệu nhạy cảm vào. Chứng thực từ xa là thủ tục trong đó CPU đo (băm) trạng thái mã·cấu hình của enclave và cấp một bằng chứng (quote) được ký bằng khóa phần cứng, rồi bên kiểm chứng xác minh nó thông qua dịch vụ chứng thực của nhà sản xuất.

sequenceDiagram
    participant U as Người dùng (bên kiểm chứng)
    participant T as TEE (enclave)
    participant V as Dịch vụ chứng thực (nhà sản xuất CPU)
    U->>T: Triển khai workload và yêu cầu chứng thực (nonce)
    T->>T: Tạo giá trị đo (băm) mã·cấu hình
    T->>V: Nộp Quote gồm giá trị đo + chữ ký khóa phần cứng
    V->>V: Kiểm chứng chữ ký·giá trị đo
    V->>U: Kết quả chứng thực (có đáng tin hay không)
    U->>T: Nếu kiểm chứng thành công thì nạp khóa bí mật·dữ liệu nhạy cảm

Cốt lõi của thủ tục này là chỉ sau khi sự tin cậy được kiểm chứng thì bí mật mới được di chuyển. Người dùng biết trước giá trị băm kỳ vọng của mã mình muốn chạy, nên chỉ chuyển khóa mã hóa hoặc dữ liệu gốc vào enclave khi giá trị đo trong kết quả chứng thực khớp với giá trị kỳ vọng. Nếu quản trị viên đám mây lén đánh tráo mã hoặc đang chạy trên VM thông thường chứ không phải TEE thì giá trị đo·chữ ký sẽ khác, kiểm chứng thất bại và bí mật không bao giờ bị lộ. Như vậy có thể xem chứng thực từ xa là khái niệm mở rộng việc định danh·xác thực trong kiểm soát truy cập từ "con người·tài khoản" sang "chính môi trường thực thi".

4. So sánh các loại hiện thực TEE

TEE chia làm hai loại lớn tùy đơn vị bảo vệ: loại cách ly tiến trình và loại cách ly VM. Loại cách ly tiến trình đặt một vùng bảo vệ nhỏ (enclave) bên trong ứng dụng, còn loại cách ly VM mã hóa·cách ly toàn bộ VM khách. Loại thứ nhất giữ đối tượng tin cậy (TCB, Trusted Computing Base) cực nhỏ nên bề mặt tấn công hẹp nhưng phải thiết kế lại ứng dụng cho enclave; loại thứ hai có thể đưa workload hiện có lên gần như nguyên trạng nên khả năng áp dụng trên đám mây cao — đó là khác biệt thực tiễn. Khác biệt này tạo ra đánh đổi "gánh nặng thiết kế lại đối lại tính di động".

TrustZone của phe Arm là một dạng khác được dùng rộng rãi trong di động·nhúng, chia một bộ xử lý thành thế giới bảo mật (Secure World) và thế giới thông thường (Normal World), cách ly các xử lý nhạy cảm như vân tay·thông tin thanh toán trong thế giới bảo mật. Trên đám mây máy chủ, loại cách ly VM (SEV-SNP, TDX) với gánh nặng thiết kế lại thấp gần đây đã trở thành dòng chính trên thực tế, phản ánh nhu cầu thực tế của doanh nghiệp muốn có tính bí mật mà không sửa mã. Ví dụ Azure Confidential VM, Google Cloud Confidential VM dựa trên SEV-SNP tự động mã hóa bộ nhớ khách, và người dùng có thể tin tưởng workload sau khi kiểm chứng môi trường bằng chứng thực từ xa lúc khởi động.

5. Trường hợp sử dụng và so sánh với công nghệ tương tự

Ứng dụng thực tiễn tiêu biểu của điện toán bảo mật là hợp tác dữ liệu đa bên. Nhiều tổ chức không muốn công khai dữ liệu gốc cho nhau (ví dụ nhiều công ty tài chính cùng huấn luyện mô hình phát hiện giao dịch bất thường) đưa dữ liệu của mình vào cùng một TEE ở trạng thái mã hóa, và nếu chỉ cho phép kết hợp·tính toán bên trong enclave đã được kiểm chứng thì có thể chỉ chia sẻ kết quả mà không lộ dữ liệu gốc. Phân tích bộ gen nhạy cảm trong lĩnh vực y tế·sinh học, hợp đồng thông minh bảo mật off-chain của blockchain, tối thiểu hóa sự tin cậy vào bên xử lý trong ủy thác xử lý thông tin cá nhân trên đám mây, v.v. cũng là các lĩnh vực áp dụng chính.

Đặc biệt gần đây AI bảo mật (Confidential AI) đang nổi lên. Khi suy luận mô hình quy mô lớn, nếu xử lý cả prompt đầu vào và trọng số mô hình bên trong TEE (bao gồm GPU TEE, ví dụ chế độ Confidential Computing của NVIDIA H100), thì ngay cả nhà cung cấp đám mây cũng không thể xem prompt của người dùng hay tham số mô hình độc quyền của doanh nghiệp. Điều này được chú ý như phương tiện thực chất giảm lo ngại về chủ quyền dữ liệu·bí mật kinh doanh khi áp dụng AI tạo sinh.

So sánh với các công nghệ có cùng mục tiêu 'bảo vệ in-use' thì vị trí của từng kỹ thuật trở nên rõ ràng. Bảng dưới đây tổng hợp khác biệt với mã hóa đồng cấu·MPC đã bàn trước đó. Khác biệt cốt lõi nằm ở tin cậy cái gì và trả giá bằng hiệu năng thế nào.

Như vậy ba công nghệ không hẳn là hàng thay thế mà là hàng bổ trợ có mô hình tin cậy và hồ sơ hiệu năng khác nhau. Trong thực tế, thiết kế lai dùng TEE để cách ly môi trường thực thi đồng thời chạy song song MPC·HE bên trong để phân tán cả sự tin cậy vào phần cứng cũng đang được nghiên cứu.

6. Các lưu ý và hàm ý

Từ góc nhìn Kỹ sư chuyên nghiệp, khi áp dụng·chiến lược hóa điện toán bảo mật cần xem xét các điểm sau.

• Chuyển dịch nền tảng tin cậy và nhận thức rủi ro còn lại: điện toán bảo mật chỉ chuyển đối tượng tin cậy từ nhà vận hành đám mây sang nhà sản xuất CPU chứ không xóa bỏ bản thân sự tin cậy. Rủi ro chuỗi cung ứng của nhà sản xuất·lỗ hổng microcode·kênh kề vẫn còn, nên phải tài liệu hóa căn cứ áp dụng theo góc độ thiết lập lại ranh giới đe dọa chứ không phải "không khiếm khuyết".
• Đánh đổi hiệu năng-bảo mật và chọn lọc workload: loại cách ly VM thường có chi phí ở mức một chữ số phần trăm và tính di động cao, nhưng có độ trễ do mã hóa bộ nhớ·thủ tục chứng thực. Thay vì áp dụng hàng loạt cho mọi workload, chiến lược từng bước ưu tiên áp dụng cho tài sản nhạy cảm cao như thông tin cá nhân·khóa·mô hình là hợp lý.
• Bảo đảm hệ thống vận hành chứng thực từ xa: giá trị của điện toán bảo mật chỉ phát huy khi hệ thống kiểm chứng chứng thực thực sự được vận hành. Phải thiết kế quy trình vận hành bao gồm tính sẵn sàng của dịch vụ chứng thực, quản lý giá trị đo chuẩn (chính sách), tự động hóa phân phối khóa (liên kết KMS) thì mới không dừng ở mức áp dụng hình thức.
• Liên kết quy định·tuân thủ: đối với các biện pháp bảo đảm an toàn theo Luật Bảo vệ Thông tin Cá nhân của Hàn Quốc, chứng nhận bảo mật đám mây (CSAP), yêu cầu tối thiểu hóa kiểm soát của bên nhận ủy thác khi ủy thác xử lý, điện toán bảo mật là phương tiện bổ trợ kỹ thuật mạnh mẽ. Tuy nhiên cần song song hoàn thiện thể chế về việc hệ thống chứng nhận·kiểm toán tại Hàn Quốc sẽ tiếp nhận kết quả chứng thực TEE như thế nào.
• Tính di động đa đám mây và chuẩn hóa: định dạng chứng thực và SDK khác nhau giữa các nhà cung cấp như SGX·SEV·TDX·CCA nên có lo ngại phụ thuộc (lock-in). Theo dõi xu hướng chuẩn hóa của CCC và các khung chứng thực trung lập với nhà cung cấp (ví dụ đặc tả chứng thực mở) để thiết kế kiến trúc có tính di động là có lợi về chiến lược dài hạn.

Tài liệu tham khảo

• Confidential Computing Consortium, "A Technical Analysis of Confidential Computing" — https://confidentialcomputing.io/
• Intel, "Intel Trust Domain Extensions (TDX)" — https://www.intel.com/content/www/us/en/developer/tools/trust-domain-extensions/overview.html
• AMD, "AMD SEV-SNP" — https://www.amd.com/en/developer/sev.html

Tóm tắt một câu: Điện toán bảo mật là mô hình bảo vệ dữ liệu cách ly bằng phần cứng, dùng TEE dựa trên phần cứng CPU và chứng thực từ xa để bảo vệ dữ liệu tới cả trạng thái 'đang sử dụng (in-use)' khi được tính toán, đẩy cả hypervisor lẫn nhà vận hành đám mây ra ngoài ranh giới tin cậy.