Vlákno názorů k článku Nový český cloud od T-Mobilu je hezký start, ale na americké obry to zatím opravdu nemá od Trident - Pokud dochazi ke zpracovani dat, tak tato jsou...

Pokud dochazi ke zpracovani dat, tak tato jsou v urcitem okamziku desifrovana. A v zavislosti na technickem reseni pak k nim v tomto okamziku ma pristup provozovatel v dane jurisdikci. Muze delat treba nepozorovane dumpy pameti procesu/vmek. A muze v prubehu zpracovani dat ziskavat udaje. U VMek/procesu je to smesne jednoduche. Ale treba HSM velmi narocne a bez schovanych backdooru pokud neni znacne hodnotny cil nerentabilni. U hostovane HSM/nebo balanceru s TLS se muzetete pouze domnivat ze vse je bezpecne. Nemate jak si to vyjma papiru od auditu overit.
A to vubec nezminuji data typu zaznamenej dnes, desifruj zitra.
Takze diskuse JE o suverenite a o tom ze data _zpracovavam_ lokalne. Ulozeni dejme tomu mohu resit klidne jinde po svete ale jejich _zpracovavani_ budu resit na svem pisecku mimo napriklad cloud act.

Souhlas, data-at-rest, data-in-transit a data-in-use jsou přesně ty body, které v debatě o suverenitě většinou chybí. A máte pravdu, že samotná lokace serveru je neřeší. A confidential computing lokální hráči zatím většinou neřeší a oproti hyperscalerům ani nenabízí. TEE (AMD SEV, Intel TDX) řeší váš bod o přístupu provozovatele při zpracování kryptograficky ověřitelně a to výrazně lépe než jurisdikční důvěra nebo papír od auditu, v současném threat modelu většiny organizací.

TEE ale resi jen vybrane senzitivni operace. Nebezi v nich cely kod aplikace a vsechna data aplikace. Pred vstupem dat do TEE tato muzete odchytit a dale vyuzit. Kolikrat nejde o to je mit podepsana,zva­lidovana nebo mit nekde ulozene klice.
TEE samotne navic nemusi byt povazovana za dostatecne bezpecna jako HSM vc. hrubeho vykonu.

Navic nektere jurisdikce primo vyzaduji HSM fyzicky v zemi kde dana banka ma business. Zde vam pomuze maximalne sovereign/gov cloud od poskytovatele cloudoveho reseni pokud je to pripustne ale nekde ani to ne z duvodu bankovni regulace daneho statu.

Děkuji, psal jsem záměrně o AMD SEV-SNP, Intel TDX, který chrání celý VM workload, ne jen vybrané operace, komentářem cílíte asi na SGX, ne? HSM a TEE jsou komplementární, ne konkurenční. A fyzický HSM v jurisdikci? AWS CloudHSM i Azure Dedicated HSM běží fyzicky ve vybraných EU regionech. Tady bych se zeptal na detail, země resp. jurisdikce na které odkazujete, ať zareaguji přesně.

Dejme tomu ze verime implementaci. Muzeme ale cerit i atestaci a ze nebyl system certifikatu kompromitovan tripismenkovymi agenturami? Jak poznate ze ve slutecnosti nebezite v emulaci nebo cinknutem cpu?

Pisi to s plnym vedomim ze rada _takysecuritaku_ vubec nestanovuje jako prvni krok overovani atestacnich klicu - cest tem nasim, ale my si ten hw vyrábíme tak bychom to měli vědět :-)

K druhé části. Fyzické HSM vyzaduji Indie, SA,UAE,Putinstan, Cina. Nigerie, Kena a muzu pokračovat...
Nepřímo vyzaduji treba Vietnam, Indonesie.
Thajsko tuším sel nejaky hybrid a stejne Egypt kdy Lze mít hostovane HSM ale v lokalnim DC.
Nejvíc rozvolnene to ma asi EU kde staci mít HSM někde v EU. U některých zemí jako třeba Francie to neni povinné ale clovek he k vlastnímu HSM prakticky dotlacen - resp. je jednodušší ho pořídit a udržovat než řešit politické tlaky.

Neni uplne pravda (ale castecne ano). Pokud zakaznik chape co musi schovat pouzije i ostatni building blocks confidential compute a data ma treba v SQL Always Encrypted - pak nikdo nema sanci se k nim dostat.

Co se tyka pozadavku pro HSM fyzicky v lokaci zakaznika, tak tohle umi vsechny hyperscalers, od AWS, GCP i Azure. Akorat musite mit dostatecne hlubukou penezku a mit u nich "zajimavy' obem.

Pak sifrujete klicema nad kteryma mate 100% kontrolu a pri pouziti CC se nemusite bat ze cloud operator nebo i vas admin data uvidi.