10月12日，在2017杭州·云棲大會上，阿里云發布了全新一代的計算類服務器產品–神龍云服務器（X-Dragon Cloud Server）。
神龍云服務器是一種可水平彈性伸縮的高性能計算服務，融合了物理機與云服務器的各自優勢，實現超強、超穩的計算能力。
神龍服務器的核心亮點之一就是加密計算。本文特別邀請到阿里云安全首席架構師李曉寧特別撰文解讀，神龍服務器中的加密計算背后的技術實現。
第一部分：加密計算是什么，荷蘭服務器 英國主機租用，和它所帶來的改變
阿里云加密計算是一種高等級的數據保護技術。通過“芯片級”的可信執行環境，可以讓數據所有者最大程度地對云上數據進行保護。
對于客戶來說，阿里云加密計算可確?？蛻?a href='http://www.qzkangyuan.com/help/serverqa/' target='_blank'>云主機上只存有加密過的數據，任何其他人包括云廠商都無法接觸到明文數據?？蛻艨梢宰杂傻剡x擇適合自己的加密計算方案，并在云上使用。當需要數據明文時，也可通過阿里云加密計算，在硬件層可信執行環境中，將數據安全解密和計算。
阿里云加密計算，目前基于芯片級”可信執行環境作為基礎。 該技術可以提供最高強度的關鍵數據和代碼運行保護（其設計模型如下圖所示），默認可信執行環境之外的所有計算環境，都是不可信的，所有加密信息只能在可信執行環境中運算。其中，“不需要信任”的部分包括了系統硬件，系統固件比如BIOS系統, 虛擬機底層管理器，操作系統內核，其他高權限客戶進程，以及本進程內除了可信執行環境以外的所有代碼。這些不可信系統部分的隔離是基于高強度的芯片保護，任何屬于非信任環境的代碼都無法讀取數據可信執行環境內部的關鍵數據。
阿里云加密計算技術和以往的加密保護相比，有以下區別：
加密計算技術基于處理器芯片，直接提供硬件可信執行環境，其信任根是基于處理器芯片，而不是基于底層軟件保護，比如虛擬機管理器或者操作系統內核。 加密計算技術通過硬件可信執行環境，給客戶提供足夠靈活的加密方案，由客戶自己來定義和控制，確保客戶的加解密密鑰以及算法，都在自己的控制下。 加密計算技術不需要信任除了硬件可信執行環境以外的任何代碼的數據，從而提供更高等級的安全保護。 加密計算技術最大化地復用了處理器的計算能力，這樣加密計算本身的計算處理性能充分發揮了處理器的性能。
阿里云加密計算是在硬件層面的“芯片級”數據保護方案。除了加密計算之外，阿里云也提供了全鏈路的數據加密方案確?？蛻魯祿踩半[私，覆蓋物理安全，硬件安全，存儲安全，密鑰管理，傳輸加密相關的各個環節。
數據安全和隱私保護是阿里云的第一原則。目前，阿里云自身也在逐步采用加密計算技術保護內部的敏感數據，比如關鍵密鑰，敏感配置信息等，提升云平臺的安全度和強韌度。同時，阿里云也將加密計算能力輸出給客戶?？蛻艨梢酝ㄟ^購買特定的神龍云服務器以獲取加密計算服務，具體的神龍云服務器原型將很快在官網發布。
第二部分：阿里云加密計算技術原理，以及客戶如何用好它
1、加密計算基本架構和使用實例
下面讓我們看看加密計算的基本架構。
如上圖所示，計算環境是加密計算的技術基礎，也是完成信息流轉的基本計算節點。
為避免客戶的數據在未經授權的數據訪問中泄露，所有在加密計算環境外流轉的敏感數據都處于加密狀態。
也就是說，當客戶需要對自己敏感數據進行訪問和計算時，可以通過在加密計算環境中的授權代碼對數據進行恢復，并進行計算。這些關鍵操作都是在被保護的環境，也就是加密計算環境中進行的。
加密計算環境的安全性是整個加密計算安全性的基石。
當客戶使用加密計算技術時，需要通過完整的數據閉環，來確保對數據的保護。下面我們舉例說明，如何通過其中的一種加密計算方案，保護客戶數據安全。
第一步，客戶可以在自己可信的環境下，選取加密數據密鑰，對敏感信息明文進行加密，再上載到阿里云客戶主機上。
