蚂蚁集团可信执行环境开源操作系统 Occlum v1.0 发布( 二 ) IT之家12月12日消息

第三， Occlumv1.0吸收了蚂蚁集团自主研发的新一代基于日志结构的可信虚拟块设备，可以使现有主流文件系统具有对磁盘I/O的安全保护能力，安全性高于Linux内核中现有各种文件I/O或磁盘I/O保护方案，同时也高于同类TEE的保护方案比如：SGX-PFS 。由于可信虚拟块设备采用了全新的追加写式的日志结构设计， IO性能也会有较大提升。
第四， Occlumv1.0采用了基于按需分配的动态内存管理设计，不仅提高了Enclave物理内存的利用率，并且可以大大缩短应用加载到TEE中的时间。
对比Occlumv1.0和上一个社区版本0.29性能测试数据。可以看到Occlumv1.0的线程调度性能是上一版本的5倍，当应用线程数量越多时， v1.0的调度性能的优势会越加明显。在网络传输速度和文件IO吞吐量上，与上一个版本相比也有2倍和3倍的性能提升，尤其是网络IO上，在同等的环境下可以接近Linux原生的网络传输速度。

文章图片
4）首次上线蚂蚁集团与英特尔联合研发的Spark大数据分析方案
蚂蚁集团和IntelBigDL团队合作，将ApacheSpark分布式大数据处理应用运行在Occlum中，基于这个能力，蚂蚁集团和Intel团队联合发布了《基于Occlum和BigDL构建端到端的安全分布式Spark大数据分析方案》，这项方案也上线到了Occlumv1.0版本中。

文章图片
与现在业界已有的SparkonSGX的方案对比，本次方案除了支持多种部署模式外，在Spark能力支持上也弥补了上述已有方案的不足。
通过在Occlum提供安全运行环境上，基于BigDL构建了分布式的隐私保护机器学习平台(PPML) ，能够保护端到端的（包括数据输入、数据分析、机器学习、深度学习等各个阶段）的分布式人工智能应用。与传统的隐私计算框架不同，该方案提供了一个可以运行标准大数据应用的环境，希望帮助现有的大数据/分布式应用无缝地迁移到端到端安全的环境中，并且强化每个环节的安全性。

文章图片
通过SparkinOcclum能力，可以让现有的Spark应用，直接运行到TEE环境中，而不用做任何代码修改，并且可以根据数据规模进行横向拓展，从而轻松支持TB级别的数据规模；另一方面，负责完整性的远程证明功能，也被无感的添加到了整个流程中，应用开发者不需要显式的增加远程证明代码，即可通过Occlum和BigDL提供的远程证明功能实现实例的远程证明和校验。该方案已经在微软Azure机密计算博客频道上线，并且该方案也是开源的。
IT之家了解到，随着当前TEE硬件架构的发展，为了满足更多在不同运算场景下的安全需求， Occlum将会支持GPUTEE ，将CPU提供的TEE安全能力拓展到GPU上，确保数据可以安全地转移到更强大的计算硬件设备上。
【蚂蚁集团可信执行环境开源操作系统 Occlum v1.0 发布】Occlum也在为明年Intel即将带来的新一代TEETDX做准备， Occlum计划从用户态操作系统向内核态操作系统演进。