處理器大廠AMD今年7月底發表代號為Venice的第六代EPYC處理器，將於11月正式推出首批產品（EPYC 9006 SP7系列），部分伺服器廠商近期也陸續發表搭配這批處理器的新一代機型。
例如：5月Dell預告隸屬於第18代PowerEdge的M9825、R9825與R9815，將於下半年推出；6月神雲（MiTAC Computing）公開G系列AI MGX伺服器，8月推出支援OCP ORv3機櫃標準的C2810Z6與C2610Z6；7月底華碩（Asus）、永擎（ASRock Rack）、技嘉（Gigabyte）、微星（MSI）、雲達（QCT）、Supermicro均宣布推出新產品；到了10月初，HPE終於宣布將推出4款機型，均可搭配AMD EPYC 9006 SP7處理器，其中的DL525 Gen13預計11月上市，並順勢揭開第13代ProLiant系列伺服器產品的序幕。
根據HPE本週最新揭露的消息，第13代ProLiant系列伺服器的最大賣點，顯然在於安全性強化，提供號稱業界首創的三項全新功能，進一步保護資料與系統的完整性。
首先，是具備超越韌體層面的後量子防護能力。HPE表示，搭配最新推出嵌入式管理處理器iLO 8的ProLiant Gen13系列，對於伺服器的後量子密碼學（PQC）防護範圍，已延伸至系統元件之間的關鍵通訊與互動過程，從而降低因漏洞而導致關鍵工作負載受損的風險。
回顧HPE既有伺服器產品，若是搭配iLO 7的ProLiant Gen12系列，當中已提供符合NIST及CNSA 2.0抗量子加密要求的資安韌體簽章功能，並設置專為進階加密金鑰儲存設計的嵌入式安全隔離區，也因此成為符合FIPS 140-3第3級要求的標準伺服器。
根據IT產業研究與顧問公司Moor Insights & Strategy的分析報告，HPE ProLiant Gen12系列開始具備後量子密碼學（PQC）防護能力，iLO 7採用NIST認可的雜湊式簽章方案LMS（Leighton-Micali Signature）簽署韌體，並在系統安全啟動時進行驗證。到了ProLiant Gen13系列，iLO 8改用符合FIPS 204標準的ML-DSA數位簽章演算法簽署韌體，並新增符合FIPS 203標準的ML-KEM金鑰封裝機制，以支援金鑰建立。FIPS 203與FIPS 204均於2024年正式定案。透過這項配置，Gen13可支援抗量子密碼演算法與傳統密碼演算法的混合使用，並提供專用的CNSA 2.0模式，以及支援PQC的信任平臺模組（TPM）。此外，其PQC防護範圍也延伸至TLS、SSH及SPDM等通訊機制。
第二，是伺服器系統的重大操作行為（high-impact actions）須經由兩人核准（two-person approval），才能執行。
HPE在iLO 8導入多人授權機制（Multi-Party Authorization，MPA），針對金鑰的建立（key provisioning）與資料的安全抹除（secure erase）等操作，可依據組織本身的政策要求，實施需經由兩名或多名授權人員批准的工作流程，也就是要求兩位授權的使用者共同核准上述的重大操作，藉此降低單一人員操作錯誤、身分憑證濫用或非法變更組態等惡意行為所造成的風險。
這項功能的推出，令人想到儲存系統廠商NetApp近期導入的多重管理員驗證（Multi-Admin Verification，MAV）。HPE表示，多人授權機制相當於伺服器領域的雙重控制（dual control）與職責分離（separation of duties），而在這樣的安全模式下，即使有一名疏忽或遭入侵的管理員，也無法單獨進行金鑰配置或系統抹除。
第三，是伺服器首次開機啟動就自動啟用加密功能（Encryption from first boot），以保護靜態儲存資料。HPE表示，搭載iLO 8的ProLiant Gen13 伺服器是業界首款自動執行自我加密硬碟（auto-SED）功能的產品，iLO 8會自動配置並管理用於保護資料的安全金鑰，因此，無需搭配外部金鑰管理器、額外設定或手動啟用，從伺服器首次開機的那一刻起，便能自動保護伺服器存放的靜態資料。
有了這項保護，HPE認為，加密功能不再是用戶必須刻意記住並手動啟用的設定項目，而是成為伺服器本身的內建特性。
Comments (0)
Sign in to comment