Názory k článku Nový český cloud od T-Mobilu je hezký start, ale na americké obry to zatím opravdu nemá

Pokud dochazi ke zpracovani dat, tak tato jsou v urcitem okamziku desifrovana. A v zavislosti na technickem reseni pak k nim v tomto okamziku ma pristup provozovatel v dane jurisdikci. Muze delat treba nepozorovane dumpy pameti procesu/vmek. A muze v prubehu zpracovani dat ziskavat udaje. U VMek/procesu je to smesne jednoduche. Ale treba HSM velmi narocne a bez schovanych backdooru pokud neni znacne hodnotny cil nerentabilni. U hostovane HSM/nebo balanceru s TLS se muzetete pouze domnivat ze vse je bezpecne. Nemate jak si to vyjma papiru od auditu overit.
A to vubec nezminuji data typu zaznamenej dnes, desifruj zitra.
Takze diskuse JE o suverenite a o tom ze data _zpracovavam_ lokalne. Ulozeni dejme tomu mohu resit klidne jinde po svete ale jejich _zpracovavani_ budu resit na svem pisecku mimo napriklad cloud act.

Pěkný článek, který pěkně popisuje situaci. A díky za zmínku o multicloudu. Tato problematika se na Lupě prakticky nezmiňuje a je přitom hybatelem velkého IT světa. Správa cloudů z jednoho prostředí je sen všech "korporátních" ajťáků, možnost deployovat řešení bez ohledu, co je za tím za cloud je něco, co absolutně zpřehlední infrastrukturu, procedury, obnovu kritických aplikací atp. Nevidím do AWS, ale MS a jeho Azure Arc má docela našlápnuto. Tipuju ale, že se budou hyperscaleři předhánět, kdo to má vyřešené líp. U koho to totiž bude, ten slízne smetánku.

Souhlas, data-at-rest, data-in-transit a data-in-use jsou přesně ty body, které v debatě o suverenitě většinou chybí. A máte pravdu, že samotná lokace serveru je neřeší. A confidential computing lokální hráči zatím většinou neřeší a oproti hyperscalerům ani nenabízí. TEE (AMD SEV, Intel TDX) řeší váš bod o přístupu provozovatele při zpracování kryptograficky ověřitelně a to výrazně lépe než jurisdikční důvěra nebo papír od auditu, v současném threat modelu většiny organizací.

TEE ale resi jen vybrane senzitivni operace. Nebezi v nich cely kod aplikace a vsechna data aplikace. Pred vstupem dat do TEE tato muzete odchytit a dale vyuzit. Kolikrat nejde o to je mit podepsana,zva­lidovana nebo mit nekde ulozene klice.
TEE samotne navic nemusi byt povazovana za dostatecne bezpecna jako HSM vc. hrubeho vykonu.

Navic nektere jurisdikce primo vyzaduji HSM fyzicky v zemi kde dana banka ma business. Zde vam pomuze maximalne sovereign/gov cloud od poskytovatele cloudoveho reseni pokud je to pripustne ale nekde ani to ne z duvodu bankovni regulace daneho statu.

Děkuji, psal jsem záměrně o AMD SEV-SNP, Intel TDX, který chrání celý VM workload, ne jen vybrané operace, komentářem cílíte asi na SGX, ne? HSM a TEE jsou komplementární, ne konkurenční. A fyzický HSM v jurisdikci? AWS CloudHSM i Azure Dedicated HSM běží fyzicky ve vybraných EU regionech. Tady bych se zeptal na detail, země resp. jurisdikce na které odkazujete, ať zareaguji přesně.

Treba tim ze se projdete Microsoft Azure Attestation source kod, ktery Microsoft dava k zakaznikum k dispozici a chysta se na jeho open source. Udelate si reproducable build. A nebo pokud jste hodne panaroidni tak to date do lokalniho DC vedle HSM a mate zaruceno ze attestace je pod vasi kontrolou

Dejme tomu ze verime implementaci. Muzeme ale cerit i atestaci a ze nebyl system certifikatu kompromitovan tripismenkovymi agenturami? Jak poznate ze ve slutecnosti nebezite v emulaci nebo cinknutem cpu?

Pisi to s plnym vedomim ze rada _takysecuritaku_ vubec nestanovuje jako prvni krok overovani atestacnich klicu - cest tem nasim, ale my si ten hw vyrábíme tak bychom to měli vědět :-)

K druhé části. Fyzické HSM vyzaduji Indie, SA,UAE,Putinstan, Cina. Nigerie, Kena a muzu pokračovat...
Nepřímo vyzaduji treba Vietnam, Indonesie.
Thajsko tuším sel nejaky hybrid a stejne Egypt kdy Lze mít hostovane HSM ale v lokalnim DC.
Nejvíc rozvolnene to ma asi EU kde staci mít HSM někde v EU. U některých zemí jako třeba Francie to neni povinné ale clovek he k vlastnímu HSM prakticky dotlacen - resp. je jednodušší ho pořídit a udržovat než řešit politické tlaky.

Děkuji za výčet, ale pohybujeme se v kontextu EU a české debaty o digitální suverenitě, kde jak sám zmiňujete HSM regulace je nejvíce rozvolněná a stačí mít HSM někde v EU, což hyperscaleři ve vybraných EU regionech splňují. Očekával jsem, že zmíníte DE a BaFin, ale tam to hyperscaleři také splňují. A pokud řešíte suverenitu a jurisdikci Nigérie a Číny, tak máte můj obdiv.

Neni uplne pravda (ale castecne ano). Pokud zakaznik chape co musi schovat pouzije i ostatni building blocks confidential compute a data ma treba v SQL Always Encrypted - pak nikdo nema sanci se k nim dostat.

Co se tyka pozadavku pro HSM fyzicky v lokaci zakaznika, tak tohle umi vsechny hyperscalers, od AWS, GCP i Azure. Akorat musite mit dostatecne hlubukou penezku a mit u nich "zajimavy' obem.

Pak sifrujete klicema nad kteryma mate 100% kontrolu a pri pouziti CC se nemusite bat ze cloud operator nebo i vas admin data uvidi.

Peníze nesmrdi:-) A pokud jste globální dodavatel reseni tak řešíte trhy kde se předpokládá růst a můžete se uplatnit - resp. pp statni certifikaci zahackovat. Proto se resi i rozvojové země. Protoze od bank můžete casem dodavat pak v dane zemi treba přímo vojákům- a ti vetsinou vzdy chtějí hsm vlastní.

15. 5. 2026, 08:47 editováno autorem komentáře

Nesplněne vlhké sny tohoto typu mel treba splnit kubernetes a terraform. A víme jak to dopadlo.
Takze to pak končí tak ze stavíte další abstraktni vrstvu toho dortu aby se integrovaly všechny specificke veci a vecne je neco rozbitého.
Nakonec to dopadne tak ze hybrid cloud prijde od dodavatele k vašemu DC a zas mate tech+vendor lock.