A Fortanix anunciou suporte a Confidential Containers (CoCo) em sua plataforma Confidential AI. A integração liga a atestação de workloads Kubernetes à liberação de chaves de criptografia: quando o ambiente atende à política de segurança, o workload pode descriptografar modelos e dados sensíveis dentro de ambientes de execução confiáveis baseados em hardware (TEEs).
CoCo é um projeto da Cloud Native Computing Foundation que executa pods Kubernetes em máquinas virtuais confidenciais protegidas por TEEs. Nessas máquinas, proteções de hardware criptografam a memória e restringem o acesso ao workload durante a execução. Isso busca proteger dados em uso e possibilitar a execução de cargas sensíveis em infraestrutura compartilhada. A proteção, porém, também depende da confiança no software convidado e da configuração correta dos mecanismos de atestação e liberação de chaves.
Na arquitetura descrita pela Fortanix, plugins conectam os workloads CoCo a dois serviços. O Confidential Computing Manager (CCM) verifica o ambiente; o Data Security Manager (DSM) libera chaves somente para ambientes que o CCM validou. Segundo a empresa, o CCM pode atestar conjuntamente o processador e a GPU, mas essa verificação depende da configuração adotada.
O fluxo do CoCo mantém a obtenção e a descompactação das imagens dentro do ambiente convidado confidencial. O Attestation Agent coleta evidências de hardware, e o Confidential Data Hub obtém segredos depois da verificação. No processo descrito pela Fortanix, uma falha na atestação mantém as chaves no DSM e impede que o workload descriptografe os modelos ou dados protegidos.
A Fortanix afirma que CCM e DSM operam em cluster e são oferecidos como serviço hospedado, instalação local ou em ambiente isolado de redes externas, com suporte 24 horas por dia, sete dias por semana. Seu guia de implantação para Intel TDX prevê duas opções para a verificação da GPU: Required faz o CCM validar as evidências por meio do serviço de atestação da NVIDIA; Ignored verifica apenas se há evidências, sem considerar o resultado da validação. O guia também ressalta que o Helm chart CoCo da Fortanix não configura o firmware do host nem as definições do kernel — essas etapas devem ser concluídas antes da implantação.
A empresa atribui à integração a possibilidade de adotar o CoCo padrão sem criar internamente uma camada de confiança. “Com atestação e gerenciamento de chaves em uma plataforma, as equipes podem adotar o CoCo padrão sem construir a camada de confiança por conta própria”, afirmou Anuj Jaiswal, diretor de produto da Fortanix.
A atestação e a entrega condicional de segredos também já estão disponíveis nos componentes de código aberto Trustee, do CoCo. O Trustee separa a avaliação das evidências da autorização de recursos: seu serviço de atestação compara declarações da plataforma com valores de referência; em seguida, o Key Broker Service aplica uma política definida pelo usuário antes de liberar segredos de armazenamento local, de um plugin ou de um cofre externo. Portanto, uma atestação bem-sucedida, por si só, não garante a liberação: a política também precisa autorizar a solicitação. O Trustee aceita ainda evidências de GPU vinculadas ao relatório de atestação do processador.
Outra opção é o Azure Secure Key Release, da Microsoft, serviço gerenciado integrado ao Azure Attestation e disponível no Key Vault Premium e no Managed HSM. Seu escopo é diferente: libera chaves exportáveis, mas não segredos nem certificados.
A fronteira de confiança do CoCo inclui o kernel convidado do pod e os processos auxiliares, que também precisam ser considerados confiáveis. O modelo do projeto explica que as medições de hardware normalmente cobrem o ambiente convidado, enquanto a verificação dos contêineres ocorre em uma etapa separada. Também alerta que uma aplicação em enclave pode expor uma interface externa perigosa e que o modelo não oferece proteção contra negação de serviço nem contra canais laterais de hardware. A atestação, por sua vez, não determina se uma aplicação de IA trata os dados com segurança.
A Fortanix informa que o suporte a CoCo já está disponível e que seu guia documenta a instalação do Helm chart da empresa. Também diz estar desenvolvendo plugins de código aberto para CoCo, sem identificar repositórios ou versões. Separadamente, as notas de versão do CCM de 17 de setembro registraram a inclusão do cadastro de aplicações CoCo para AMD SEV-SNP e Intel TDX.
