증명은 기밀 컴퓨팅에 신뢰를 구축하는 프로세스입니다. 증명은 디지털 인증 메커니즘으로서 엄격한 심사를 거친 하드웨어 기반 신뢰할 수 있는 실행 환경(TEE) 내에서만 기밀 데이터가 처리되도록 합니다.
Google Cloud 증명은 모든 Google 기밀 환경의 신뢰성을 원격으로 확인할 수 있는 통합 솔루션을 제공합니다. 이 서비스는 SEV의 vTPM (Virtual Trusted Platform Module) 및 Intel TDX의 TDX 모듈에 의해 지원되는 기밀 환경의 증명을 지원합니다.
Google Cloud 증명은 다음 서비스에 적용할 수 있습니다. Google Cloud
| 컨피덴셜 컴퓨팅 서비스 | 컨피덴셜 컴퓨팅 기술 | Google Cloud Attestation 지원 |
|---|---|---|
| 컨피덴셜 VM | AMD SEV | |
| 컨피덴셜 VM | AMD SEV-SNP | |
| 컨피덴셜 VM | Intel TDX | |
| Confidential Space | AMD SEV | |
| Confidential Space | Intel TDX | |
| Confidential GKE Node | AMD SEV |
Google Cloud 증명은 편리하지만 오픈소스 도구를 사용하여 컨피덴셜 VM 인스턴스에 대한 증명 보고서를 직접 가져올 수도 있습니다. 자세한 내용은 증명 보고서 요청을 참고하세요.
Google Cloud Attestation의 작동 방식
Google Cloud 증명은 하드웨어 공급업체로부터 직접 추천을 수집하고 각 기밀 환경에 맞게 특별히 조정된 자체 참조 값 및 평가 정책을 준수합니다. 사용자는 이 API를 사용하여 증명 결과 클레임 토큰을 가져올 수 있습니다. Google Cloud
Google Cloud 증명은 기밀 환경에서 정보를 수집하고 승인된 값 및 Google에서 유지 관리하는 정책과 대조합니다. 이러한 확인은 IETF 원격 ATtestation ProcedureS (RATS) Entity Attestation Token (EAT) 표준을 준수하는 검증 가능한 주장으로 변환됩니다. 그런 다음 Google Cloud 증명은 Secret Manager 및 Google Identity and Access Management (IAM)와 같이 이러한 주장에 의존하는 서비스에서 사용할 수 있는 이러한 주장의 암호화 증거를 제공합니다.
암호화 증거는 다음과 같은 방법으로 검증할 수 있습니다.
공개 키 사용 자세한 내용은 OIDC 토큰을 참고하세요. 이 옵션은 더 간단하며 OIDC 호환 애플리케이션에서 기본적으로 작동합니다.
루트 인증서 사용 자세한 내용은 PKI 토큰을 참고하세요. 이 옵션을 사용하면 각 신뢰 당사자가 인증 키를 찾을 필요 없이 오프라인 인증을 할 수 있습니다. 오프라인 유효성 검사의 엔드 투 엔드 예시는 클라우드 제공업체에 저장되지 않은 보호된 리소스에 Confidential Space 사용 Codelab을 참고하세요.
RATS 아키텍처 개요
원격 증명 절차 (RATS) 아키텍처에는 다음과 같은 기본 항목이 포함됩니다.
증명자: 신뢰할 수 있음을 증명하는 기관입니다.Google Cloud에서는 컨피덴셜 환경 (예: 컨피덴셜 VM, Confidential GKE Node, Confidential Space)입니다.
검증자: 증거를 평가하고 증명 결과를 생성하는 주체입니다. Google Cloud 증명입니다.
신뢰 당사자: 증명 결과를 토대로 결정을 내리는 당사자(예: 모바일 앱, 저장소 버킷, 키 관리 시스템)입니다.
RATS 아키텍처는 다음과 같은 주요 역할을 포함합니다.
신뢰 당사자 소유자: 신뢰 당사자의 평가 정책을 구성하는 항목입니다.
인증자 소유자: 인증자의 평가 정책을 구성하는 법인(예: Google)입니다.
추천자: 증명자의 기능을 확인하는 추천을 제공하는 항목 (예: AMD, Intel, Nvidia와 같은 하드웨어 OEM)입니다.
참조 값 제공업체: 증명자의 주장을 검증하기 위해 검증자가 참조 값을 제공하는 항목입니다.
여권 모델 증명 워크플로
Google Cloud 증명은 여권 모델을 사용합니다. 여권 모델의 대략적인 워크플로는 다음 단계로 구성됩니다.
증명자 (기밀 환경)는 증거를 제공하여 검증자 (Google Cloud 증명)에게 증명 결과를 요청합니다.
검증자는 증거를 평가하고 증명 결과를 발행합니다.
증명자는 이 결과를 신뢰 당사자에게 제시합니다.
이 워크플로에서 Google Cloud 증명은 검증자로 작동합니다. 컨피덴셜 VM, Confidential GKE Node 또는 Confidential Space와 같은 컨피덴셜 환경이 증명자로 작동합니다. 신뢰 당사자에는 Thales EKM, Google IAM, 기타 토큰 브로커가 포함됩니다.
증명 결과의 최신성을 보장하기 위해 Google Cloud 증명은 재사용할 수 없는 암호화 숫자를 사용합니다. 증명자는 신뢰 당사자와 합의한 랜덤 숫자를 검증자에게 제공할 수 있습니다. 그러면 신뢰 당사자는 이 번호를 검증하여 최신성 및 정확성을 확인할 수 있습니다.