es.wedoany.com Noticia: Un equipo de investigación de la Universidad de Colonia ha construido una supercomputadora llamada RAMSES que mantiene los datos cifrados durante su procesamiento, cerrando la brecha de seguridad más allá del almacenamiento y la transmisión de datos.
Anteriormente, al procesar datos sensibles, el cifrado solía aplicarse en dos etapas: el almacenamiento en disco y la transmisión por red. Sin embargo, cuando los datos se cargaban en la memoria para su procesamiento, la protección desaparecía, dejando la información expuesta en la memoria, accesible para cualquier persona con los permisos adecuados. Este problema persistía principalmente debido a limitaciones físicas y de costos. El cifrado y descifrado requieren recursos computacionales, y la tarea principal de una supercomputadora es la velocidad; agregar una capa de seguridad a cada operación de memoria podría provocar una disminución significativa del rendimiento.
Los chips más recientes han cambiado esta situación. El sistema RAMSES integra funciones integradas de los procesadores AMD, donde el hardware cifra automáticamente la memoria a medida que los datos entran y salen. El cifrado se realiza a nivel del controlador de memoria del chip, y los programas que se ejecutan sobre él no requieren ninguna modificación; los datos permanecen cifrados durante todo el proceso. Una vez activada la protección, ni siquiera el administrador que gestiona la máquina puede leer el contenido de la memoria de los trabajos de los usuarios, y la capa de software que gestiona las máquinas virtuales tampoco puede hacerlo.
RAMSES integra diversas herramientas existentes: la protección de memoria proviene de AMD, el cifrado de archivos se realiza mediante el software de almacenamiento de IBM, las claves de cifrado se almacenan en un dispositivo de seguridad dedicado de Thales, y el inicio de sesión requiere una verificación secundaria a través de Cisco Duo. Para los usuarios comunes, la operación frontal sigue siendo simple: solo necesitan agregar una breve instrucción en la solicitud de trabajo, y el sistema iniciará un entorno de cifrado privado, obtendrá las claves, ejecutará el trabajo y limpiará el entorno, dejando solo los resultados cifrados. La experiencia del usuario para trabajos seguros y trabajos normales es casi idéntica.
El equipo probó el sistema en dos cargas de trabajo genómicas, incluyendo el escaneo y la comparación de datos de ADN. Los resultados de las pruebas mostraron que una tarea que dependía de la actividad del disco, al activar la protección de seguridad más fuerte, redujo su velocidad aproximadamente un 4,4%; otra tarea que dependía en gran medida de la memoria, redujo su velocidad un 18%. El desglose de la sobrecarga mostró que ejecutarse en un entorno virtual privado sin ningún cifrado representaba aproximadamente la mitad de la reducción de velocidad; el cifrado de memoria en sí mismo contribuía con la mayor parte del resto; el cifrado de archivos casi no añadía sobrecarga.
Los documentos técnicos muestran que la protección de memoria de AMD tiene dos versiones: una versión anterior y una versión más nueva y más fuerte. La nueva versión añade defensas contra ciertos ataques, y la promesa de estar a salvo de administradores comprometidos depende de estas defensas. Los chips en RAMSES pueden ejecutar la versión más fuerte; el artículo utiliza ambos nombres, y la configuración exacta sigue siendo una cuestión abierta.
La motivación de todo el proyecto está relacionada con los requisitos regulatorios. La máquina procesa datos del genoma humano e imágenes médicas, que pertenecen a la categoría más protegida bajo las leyes de privacidad europeas. Enviar datos a la nube comercial implica transferirlos fuera de la institución, lo que conlleva cargas legales y de auditoría adicionales. Al mantener la supercomputadora dentro del campus, la universidad puede mantener los datos bajo su control, realizar sus propias auditorías y controlar el acceso físico al hardware. El centro ofrece sus servicios de forma gratuita a sus investigadores, y el código fuente puede ponerse a disposición de otras instituciones académicas previa solicitud.
