Guillem Alsina Gonzàlez
La multinacional estadounidense ha anunciado la disponibilidad en fase de prueba pública de sus nuevas máquinas virtuales confidenciales para entornos de infraestructura perimetral gestionada directamente por el cliente en servidores Azure propios. Esta iniciativa busca dotar de capacidades avanzadas de aislamiento criptográfico y cifrado de memoria a aquellos sistemas que operan dentro de las instalaciones de las organizaciones, asegurando la protección de la información incluso frente a los propios administradores del sistema o el personal de mantenimiento.
Según explican desde Microsoft, la protección de la información corporativa se ha centrado históricamente en asegurar los archivos almacenados y las comunicaciones a través de la red. Sin embargo, el desafío tecnológico persistente ha sido mantener la seguridad de los datos mientras son procesados de forma activa.
Las nuevas máquinas virtuales abordan la vulnerabilidad de la información en uso aislando la memoria mediante tecnología de cifrado por hardware, utilizando los sistemas de virtualización cifrada segura y la paginación anidada desarrolladas por AMD en sus procesadores EPYC de cuarta generación. Esto significa que ni el sistema operativo principal, ni el hipervisor, ni los gestores de la infraestructura tienen acceso a los datos durante su ejecución.
Para lograr este nivel de protección, la plataforma incorpora herramientas orientadas a asegurar la integridad de los discos virtuales y evitar modificaciones no autorizadas en los archivos de arranque del sistema invitado. Además, el sistema emplea un mecanismo de verificación física que asegura que la carga de trabajo no ha sido alterada antes de liberar las credenciales de acceso, las cuales son suministradas a través del servicio de gestión de claves en la nube. Todo el procesamiento de datos posterior se realiza exclusivamente en una memoria de acceso aleatorio previamente cifrada.
El planteamiento de este modelo de seguridad resulta de utilidad para organizaciones que trabajan en entornos regulados y, por lo tanto, sujetas a normativas estrictas y para el despliegue de modelos de lenguaje o herramientas de inteligencia artificial. Esta arquitectura permite proteger algoritmos propietarios frente a intentos de ingeniería inversa y facilita la ejecución de sistemas críticos en infraestructuras fuera del país de origen, manteniendo en todo momento el control de las claves criptográficas en el territorio nacional, además de habilitar el análisis informático conjunto entre distintas organizaciones, como ocurre en los protocolos de detección de fraudes bancarios, sin que ninguna de las partes implicadas exponga sus registros primarios al resto de participantes.
En esta primera versión previa, la compatibilidad técnica está dirigida a garantizar la viabilidad del aislamiento para cargas de trabajo efímeras. Para su despliegue en esta fase inicial, las empresas requerirán servidores validados equipados con procesadores específicos de AMD y conectividad continua a la nube, utilizando por el momento de forma exclusiva la versión 24.04 del sistema operativo Ubuntu, dado que la compatibilidad con entornos Windows todavía no se encuentra disponible. Los equipos certificados por la compañía para esta labor incluyen modelos concretos fabricados por Lenovo y HPE (Hewlett Packard Enterprise).
De cara a las próximas actualizaciones, Microsoft tiene previsto ampliar las capacidades de esta herramienta de seguridad perimetral con la incorporación de procesadores equivalentes diseñados por Intel, así como extender progresivamente el abanico de sistemas operativos soportados en los entornos invitados y mejorar las herramientas de suministro de imágenes de sistema.
