Asegurando DDS con Intel SGX: Parte 3 – Servicios DDS Fortificados

Esta es la Parte 3 de una serie de seis blogs sobre este tema. Si es nuevo en esta serie, lea los blogs previos aquí.

En la Parte 2, demostré cómo crear un endpoint fortificado usando RTI Connext DDS Micro + Seguridad, SCONE e Intel SGX. Aunque convincente, aún no hemos explorado una solución práctica que incorpore SGX nativamente. La Parte 1 sugirió que DDS + SGX es más probable que aparezca en una sala de servidores que en un endpoint tradicional de Internet Industrial de las Cosas (IIoT). En esta entrega, nos enfocamos en despliegues reales de aplicaciones DDS fortificadas con SGX a través de la lente de los servicios DDS.

Muchos servicios DDS son objetivos principales para el endurecimiento de seguridad. Suscriben múltiples tópicos, lo que significa que deben mantener más claves efímeras usadas para cifrado. Estas claves residen en memoria de la aplicación, y un atacante hábil puede extraerlas o, más eficazmente, leer o modificar datos mientras están en texto plano justo antes o después del descifrado. El cifrado por sí solo no ayuda si los datos están expuestos en memoria.

Figura 1: Superficie de Ataque en Entornos DDS

Nuestra arquitectura, introducida en la Parte 1, permite que paquetes protegidos por DDS lleguen por el cable, sean enrutados al espacio protegido por SGX antes del descifrado, y luego operados de forma segura. Dado que la CPU solo puede ver los datos en texto plano dentro del enclave, no hay necesidad de operaciones exóticas como cifrado homomórfico. Este diseño ofrece una ventaja clara: los datos cifrados viajan por la red, entran en un enclave protegido, se descifran, procesan y luego se vuelven a cifrar para el tráfico saliente.

Como DDS ya asegura el tráfico por cable, el mismo enfoque permite una red heterogénea donde aplicaciones no-SGX pueden comunicarse con habilitadas para SGX —incluyendo servicios DDS— sin comprometer la seguridad.

Considere el Servicio de Enrutamiento RTI. La especificación OMG DDS Security exige que el servicio de enrutamiento opere sobre datos claros, incluso momentáneamente, y retenga todas las claves temporales de cada endpoint con el que se ha comunicado. Cuando se posiciona en el borde de la red, se convierte en un objetivo de alto valor para atacantes.

Figura 2: El Servicio de Enrutamiento RTI Proporciona un Espacio Protegido para Aplicaciones que Corren en Entornos SGX

SCONE ofrece soporte integrado y transparente para almacenes de archivos cifrados y atestación. Aprovechando estas características, podemos almacenar las claves privadas usadas para identidad dentro de un espacio protegido inaccesible para root o cualquier otro usuario. Este enfoque se extiende a todos los datos que la aplicación escribe en disco.

Figura 3: DDS y el Servicio de Enrutamiento RTI Están Protegidos en Entornos SCONE

Por ejemplo, podemos almacenar de forma segura comunicaciones DDS para reproducción autorizada. SCONE también proporciona soporte TLS nativo para comunicación segura entre contenedores SCONE autorizados, como SQLite.

Con estas herramientas, podemos construir una infraestructura donde los datos permanecen protegidos en todo momento —incluso contra un administrador de sistema malicioso o un atacante externo. Sin embargo, la aplicación debe verificar primero su propia integridad antes de acceder a servicios de confianza, conexiones de red o almacenes seguros. Este es el propósito del servicio de atestación.

El servicio de atestación realiza verificación remota de que una aplicación no está modificada, es auténtica y se ejecuta en una CPU SGX genuina. Aunque originalmente provista exclusivamente por Intel, el ecosistema está evolucionando. La atestación remota puede parecer desalentadora, pero en la práctica es una operación única que persiste entre reinicios. Utiliza instrucciones ISA con garantías de integridad criptográfica, sella los valores resultantes en disco y permite su reutilización para probar la autenticidad de la aplicación a socios remotos. Esta capacidad es especialmente valiosa en sistemas distribuidos donde la confianza entre componentes remotos es esencial.

SCONE provee su propio servicio de atestación. Los titulares de licencias empresariales pueden gestionarlo localmente; los usuarios no empresariales pueden confiar en el servicio global de atestación de SCONE, que se examinará en publicaciones posteriores.

En el próximo artículo, evaluaré el costo de implementar seguridad en entornos DDS-SGX.