اگر قبلاً تحقیق کردهاید که فناوری Intel SGX چیست؟ میدانید که این تکنولوژی چگونه با ایجاد محیطهای امن (Enclave)، حفاظت از دادههای حیاتی شما را تضمین میکند. همچنین می توانید “مقاله فناوری Intel SGX چیست؟ راهنمای جامع تکنولوژی محافظت از دادهها” را مطالعه نمایید. اکنون، زمان اقدام است. نصب و فعالسازیSGX یک فرآیند ساده نیست و یک اشتباه کوچک در BIOS یا درایورها میتواند کل فرآیند را مختل کند. این راهنما، نقشه راه عملیاتی و گام به گام شما برای نصب و فعالسازی کامل SGX در سرورها و سیستمهای شماست. در این مقاله از تجارت سرور پارسه با ما همراه باشید تا در این مورد بیشتر صحبت کنیم.
⏲ مدت زمان تخمینی مطالعه: 10 دقیقه
فهرست موضوعات
تفاوت SGX با سایر تکنولوژیهای امنیتی سختافزاری
در حوزه امنیت سختافزاری، اصطلاحات زیادی مطرح میشود؛ اما هر کدام هدف متفاوتی دارند. سردرگمی در اینجا میتواند کل استراتژی امنیتی شما را به خطر اندازد.
| تکنولوژی | هدف اصلی | تفاوت کلیدی با SGX (تجربه عملی) |
| TPM (Trusted Platform Module) | امنیت فرآیند بوت (Boot Integrity) و ذخیره کلیدها | TPM فقط در زمان بوت شدن سیستم فعال است. اما SGX در زمان اجرای برنامه (Runtime) از دادهها محافظت میکند. به زبان ساده، TPM محافظ درب ورودی است و SGX، گاوصندوقی است که داخل ساختمان قرار دارد. |
| Intel ME (Management Engine) | مدیریت از راه دور، روشن/خاموش کردن سرور و تشخیص خطاها | ME یک محیط زیرسیستمی و سطح پایین است که برای مدیریت سرور استفاده میشود. SGX هیچ ارتباطی به مدیریت سرور ندارد و فقط روی حفاظت از کدهای حساس برنامه کاربردی متمرکز است. |
| AMD SEV (Secure Encrypted Virtualization) | رمزنگاری کل فضای ماشین مجازی (VM) | SEV محیطهای مجازی را ایمن میکند. SGX روی تک برنامهها (Application-level) متمرکز است و تنها بخشهای حیاتی کد را ایزوله میکند. اگر با محیطهای ابری کار میکنید، این تفاوت بسیار تعیینکننده است. |
وقتی مدیران از ما میپرسند، همیشه تأکید میکنیم که SGX یک مکمل است، نه جایگزین شما نمیتوانید فقط SGX را فعال کنید و امنیت را تضمین شده بدانید. شما به یک استراتژی لایهای نیاز دارید که از TPM در پایینترین سطح، و SGX در بالاترین سطح (برنامهنویسی) استفاده کند.
پیشنیازهای نصب و فعالسازی SGX
قبل از بررسی فرایند نصب SGX، باید ببینیم پیشنیازهای نصب و فعالسازی SGX چیست؟ در ادامه به این موارد میپردازیم.
- بررسی سازگاری پردازنده و مادربرد
ابتدا باید سازگاری پردازنده و مادربرد سرور خود را با SGX بررسی کنید. در این بخش لیست پرازندههای سازگار با SGX را آوردهایم.
- پرازندههای اینتل Core نسل 6 تا 10 (Comet Lake تا Skylake)
- پردازندههای Xeon E3-1200 v5/v6 (خانوادههای Skylake/Kaby Lake)
- پردازندههای Xeon Scalable نسل اول و دوم (Skylake-SP و Cascade Lake-SP)
همچنین برای اطمینان میتوانید از نرمافزار Intel Processor Identification Utility استفاده کنید و یا اینکه در سایت اینتل مستندات پردازنده خود را چک کنید. این نکته را نیز باید بدانید که فناوری SGX در پردازندههای نسل ۱۱ به بعد Intel Core و نسل سوم و چهارم Intel Xeon پشتیبانی نمیشود.
مرحله بعد بررسی سازگاری مادربرد با SGX است. برای این کار باید مشخصات مادربرد خود را بدانید و سپس به وب سایت سازنده آن مراجعه کنید. در بخش مشخصات فنی مادربرد باید به پشتیبانی SGX اشاره شده باشد.
اگر به دنبال ارتقاء زیرساخت خود به سرورهایی با پشتیبانی SGX هستید، میتوانید برای خرید مادربرد سرور HP سازگار با فناوریهای امنیتی جدید، از ما مشاوره بگیرید.
- نیازمندیهای نرمافزاری و سیستمعامل
سیستم عامل نیز باید دارای ویندوز ۱۰ نسخه ۶۴ بیتی ۱۶۰۷ به بعد، ویندوز سرور ۲۰۱۶ و ۲۰۱۹ باشد. همچنین اگر از لینوکس استفاده میکنید باید با کرنل پشتیبانی شود.
اگر متوجه شدید که پردازنده سرور HP شما از SGX پشتیبانی نمیکند یا قصد ارتقا دارید، میتوانید برای بررسی مدلهای سازگار و مشاوره تخصصی برای خرید CPU سرور HP با کارشناسان ما تماس بگیرید.
مراحل نصب SGX
بعد از اینکه پیش نیازهای نصب SGX را فراهم کردید، میتوانید به سراغ مرحله نصب بروید. برای این منظور مراحل زیر را طی کنید.
فعالسازی SGX در BIOS/UEFI
- ابتدا باید SGX را در BIOS/UEFI فعال کنید. پس سیستم را ریستارت کنید و بعد از روشن شدن با کمک یکی از کلیدهای Del , F10 یا F2 به تنظیمات BIOS/UEFI وارد شوید.
- حال به منوی BIOS/FEI وارد شدهاید. در اینجا به بخش Advanced Settings یا CPU Configuration بروید.
- سپس روی گزینه Intel SGX یا Software Guard Extensions بزنید و SGX را روی enabled بگذارید.
- سپس باید تغییرات را ذخیره کنید. این کار را میتوانید با فشردن کلید F10 یا معادل آن در دیگر مادربردها انجام دهید و از BIOS خارج شوید.
نصب درایورها و ابزارهای نرمافزاری
مرحله بعد نصب درایورها و نرمافزارهای مورد نیاز برای استفاده بهتر از SGX میباشد:
نصب درایورهای اینتل: برای درایورهای اینتل باید به وب سایت اینتل بروید و بسته Intel SGX Platform Software (PSW) را که شامل درایورها و ابزارهای لازم برای استفاده از SGX است را دانلود و نصب کنید.
نصب Intel SGX SDK: این کیت توسعه مخصوص برنامه نویسان نمیباشد که میخواهند برنامههای سازگار با SGX را توسعه دهند. بدین منظور بعد از نصب درایورها باید ابزارهای Intel SGX Software Development (SDK) را نصب کنید.
بهروزرسانی: در مرحله نهایی نیز باید سیستم عامل، درایورها و نرمافزارهای نصب شده را بهروزرسانی نمایید.
بیشتر بخوانید: Die در پردازنده اینتل چیست؟
بررسی وضعیت فعال بودن SGX پس از نصب
بعد از اینکه نصب SGX بر روی سیستم کامل شد، باید وضعیت فعال بودن را بررسی کنید. در سیستم لینوکس با اجرای دستور dmesg | grep sgx و در ویندوز با کمک ابزار SGX SDK یا Intel SGX Platform میتوانید این کار را انجام دهید.
تنظیمات BIOS/UEFI لازم قبل از فعالسازی
فرآیند فعالسازی SGX از همان ابتدا، یعنی تنظیمات BIOS/UEFI شروع میشود. این سادهترین مرحله است، اما یک اشتباه کوچک در اینجا میتواند ساعتها وقت شما را برای عیبیابی تلف کند.
مراحل تنظیم دقیق در Firmware:
- پیدا کردن گزینه SGX: پس از ورود به تنظیمات بایوس (معمولاً با F2 یا Delete)، به دنبال بخشهای Advanced یا Security باشید. در سرورهای HP، معمولاً این گزینه در تنظیمات Processor یا System Configuration قرار دارد.
- فعالسازی نهایی (Enabling): گزینه Intel SGX یا Software Guard Extensions را پیدا کرده و وضعیت آن را از Disabled به Enabled تغییر دهید.
- تخصیص حافظه (PRM Size): مهمترین گام، تنظیم حجم حافظه رزرو شده (PRM – Processor Reserved Memory) است. این همان فضایی است که برای اجرای Enclave استفاده میشود.
- تجربه عملی: اگر این فضا را روی حالت پیشفرض (مثل ۶۴ مگابایت) رها کنید و قصد اجرای برنامههای سنگینتر داشته باشید، برنامه با خطای کمبود منابع مواجه میشود. توصیه ما این است که بسته به میزان رم سرور، آن را حداقل روی ۱۲۸ مگابایت یا ۲۵۶ مگابایت تنظیم کنید. اگر حجم کاری توسعهدهندگان شما سنگین است، ممکن است نیاز به حداکثر مجاز (مثلاً ۵۱۲ مگابایت) داشته باشید.
نمونههای واقعی استفاده از SGX در صنعت
در این بخش قصد داریم به این سوال پاسخ دهیم که کاربردهای عملی SGX چیست؟ این فناوری در موارد مختلفی مثل پروژههای تجاری، زیرساختهای رایانش ابری و … کاربرد دارد که در ادامه به آنها میپردازیم:
رایانش ابری: برخی شرکتها مانند Alibaba Cloud از SGX برای ارائه سرویس Confidential Computing استفاده میکنند تا مشتریان بتوانند دادههای رمزنگاری را بدون رمزگشایی در سرور پردازش کنند. همچنین با کمک این سرویس حتی خود مایکروسافت هم نمیتواند به دادههای رمزنگاری شده دسترسی پیدا کند. این نوع کاربری بیشتر برای دادههای حساسی مثل صنایع مالی و دادههای حکومتی کاربرد دارد.
پروژههای متن باز: پروژهای مثل Gramine از SGX برای اجرای برنامههای لینوکسی بدون نیاز به بازنویسی و یا پروژه Open Enclave SDK که توسط مایکروسافت برای ساده سازی استفاده از SGX توسعه یافته است نوعی کیت متن باز برای توسعه کدهای چند سکویی میباشد.
تحلیل دادههای سلامت: با کمک فناوری SGX میتوان الگوریتمهای یادگیری ماشین، تحلیل آماری و مدل سازی ریاضی را بر روی دادههای رمزنگاری شده پیاده کرد. مثلا اگر دو بیمارستان بخواهند بر روی یک بیماری تحقیقاتی انجام دهند، میتوانند دادههای خود را بدون افشا با هم در Enclave به اشتراک بگذارند.
قرارداد هوشمند: با اجرای قراردادهای هوشمند در Enclave میتوان از نشت اطلاعات به نودها یا ماینرها جلوگیری کرد.
انتقال کلیدهای رمزنگاری: برای ذخیره و پردازش کلیدهای رمزنگاری میتوان آنها را به صورت امن در Enclave نگهداری کرد و به هنگام نیاز آنها را در همان فضا رمزگشایی و استفاده کرد.
مزایای استفاده از SGX
با استفاده از SGX میتوان از مزایای زیادی بهرهمند شد که برخی از مهمترین آنها شامل موارد زیر میباشند:
- بالا بردن امنیت دادههای حساس
- رمزنگاری اطلاعات حتی آنها را در خارج از Enclave نیز حفظ میکند.
- با کمک این فناوری دادههایی که نیاز به Verify دارند، میتوانند به جای اینکه به سرورهای راه دور ارسال شوند، در همان دستگاه بمانند و از خطراتی که سرور را تهدید میکنند در امان بمانند.
بیشتر بخوانید: از پاور سرور HP برای ماینینگ (mining) چگونه استفاده کنیم؟
محدودیتها و معایب SGX
یک متخصص هیچوقت فقط از مزایا صحبت نمیکند. ما باید شفاف باشیم: SGX با وجود امنیت بالا، هزینههای پنهانی دارد که باید مدیریت شوند.
- سربار عملکرد (Performance Overhead) و تأخیر:
- تجربه عملی: بله، فعالسازی SGX عملکرد سیستم را کاهش میدهد. این کاهش معمولاً بین ۳ تا ۱۰ درصد (بسته به نوع عملیات) است. چرا؟ چون هر بار که دادهای وارد یا خارج از فضای امن (Enclave) میشود، باید مراحل رمزنگاری/رمزگشایی و اعتبارسنجی را طی کند. این سربار، بهخصوص در عملیاتهای مکرر I/O، محسوس است. شما باید تصمیم بگیرید که این کاهش ۳ تا ۱۰ درصدی در برابر امنیت دادههای حیاتی، برای شما ارزشمند است یا خیر.
- محدودیتهای سختافزاری و هزینههای پنهان:
- محدودیت نسل پردازنده: مهمترین محدودیت، همانطور که اشاره شد، این است که SGX عمدتاً در پردازندههای نسل ۶ تا ۱۰ اینتل (و برخی زئونهای قدیمیتر) پشتیبانی میشود. اگر همین امروز یک سرور HP نسل جدید (G11) یا پردازندههای نسل ۱۲ به بعد میخرید، عملاً SGX را از دست میدهید و باید سراغ تکنولوژیهای جایگزین مثل TDX بروید. این یعنی وابستگی شدید به یک نسل خاص از سختافزار.
- پیچیدگی توسعه: راهاندازی و توسعه برنامهها با استفاده از SDKهای SGX برای برنامهنویسان، پیچیده و زمانبر است. این کار به سادگی استفاده از یک کتابخانه رمزنگاری نیست.
- نقصهای امنیتی تاریخی (Spectre/Meltdown):
- نکته تخصصی: هرچند SGX برای حل مشکلات امنیتی ساخته شد، اما خودش هم در طول زمان، مورد حملات جانبی قرار گرفته است (مانند حملات Enclave Side-Channel). این نشان میدهد که هیچ امنیتی مطلق نیست و باید دائماً Firmware و درایورها را بهروز نگه داشت.
جمعبندی
در این مقاله سعی کردیم به موضوع SGX بپردازیم و چگونگی نصب و فعالسازی SGX آن در سرور را بهطور مختصر توضیح دادیم. SGX فناوری است که با رمزنگاری فضای حافظه میتواند امنیت دادههای حساس را فراهم کند. حوزههای مختلفی مثل پزشکی، دولتی، مالی و هر سازمانی که دارای اطلاعات حساس است، میتواند از این فناوری مفید استفاده کند. اگر میخواهید از مزایای این فناوری بهرهمند شوید، میتوانید با خرید سرور hp سازگار با این فناوری اقدام کنید. همچنین برای دریافت مشاوره تخصصی با ما در تجارت سرور پارسه در تماس باشید.