So verifizieren Sie Hardware-Attestation in Azure Confidential Computing

Von Mirko Peters · 2026-10-26

Erfahren Sie, wie die Hardware-Attestation in Azure funktioniert, vergleichen Sie AMD SEV-SNP und Intel SGX und erfahren Sie, wie Sie die kryptografische Überprüfung in Ihre CI/CD-Pipelines integrieren.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Die Hardware-Attestation in Azure ist ein zentraler kryptografischer Prüfprozess, der belegt, dass Ihre Trusted Execution Environment echt und unverändert ist, bevor sensible Workloads geladen werden. Durch die Auswertung der Messwerte des Secure Boot und der Hardwareschlüssel gegen die Referenzwerte von Microsoft und den Herstellern schließt die Attestation die Vertrauenslücke zwischen Cloud-Betreibern und dem Datenschutz der Mandanten.

Das Wichtigste in Kürze

• Die Hardware-Attestation überprüft kryptografisch, dass Ihre Trusted Execution Environment (TEE) echt und nicht kompromittiert ist.
• Der Remote-Attestation-Dienst vergleicht Plattform-Messwerte mit Sicherheits-Referenzwerten, bevor er Entschlüsselungsschlüssel freigibt.
• Sowohl AMD SEV-SNP als auch Intel SGX setzen auf die Remote-Überprüfung, damit Cloud-Administratoren den Speicher während der Nutzung nicht einsehen können.
• Die Integration der Attestation in Ihre CI/CD-Bereitstellungspipelines automatisiert die Vertrauensprüfung und verhindert, dass manipulierte Container gestartet werden.
• Das Verständnis des Attestation-Handshakes ist unverzichtbar, um in modernen Hybrid-Cloud-Umgebungen einen Zero-Trust-Ansatz umzusetzen.

Das Vertrauensdefizit in öffentlichen Clouds

Beim Umzug sensibler Workloads in die Public Cloud schützen klassische Sicherheitsmodelle Ihre Daten während der Übertragung mit TLS und im Ruhezustand mit AES-256-Verschlüsselung. Es bleibt jedoch eine erhebliche Schwachstelle: die Daten während der Verarbeitung. Bisher mussten Daten, sobald ein Prozessor Code ausführte, entschlüsselt und im Arbeitsspeicher im Klartext vorliegen. In einer Multi-Tenant-Cloud bedeutete das, dem Hypervisor, dem Cloud-Infrastrukturanbieter und jedem Administrator mit Zugriff auf die physische Hardware vertrauen zu müssen.

Azure Confidential Computing ändert dieses Paradigma durch hardwarebasierte Trusted Execution Environments (TEEs). Diese sicheren Enklaven und isolierten virtuellen Maschinen verschlüsseln Speicherinhalte mit dedizierten Hardwareschlüsseln, die direkt vom CPU-Chip verwaltet werden. Doch ein verschlossener Raum ist nur die halbe Miete. Bevor Sie Ihre kryptografischen Schlüssel übergeben, brauchen Sie auch eine Möglichkeit zu prüfen, dass das Schloss nicht geknackt wurde, dass die Tür korrekt gebaut ist und dass innerhalb der sicheren Grenze keine unautorisierte Software läuft.

So funktioniert Remote-Attestation

Remote-Attestation ist der Überprüfungsmechanismus, der eine grundlegende Frage beantwortet: Woher wissen Sie, dass die Cloud-Umgebung, in die Sie deployen, tatsächlich sicher und unverändert ist? Ohne Attestation könnte ein Angreifer mit Zugriff auf Hypervisor-Ebene theoretisch ein schadhaftes BIOS unterschieben oder den Bootloader manipulieren und so Ihre Verschlüsselungsschlüssel abfangen, sobald sie in den Arbeitsspeicher geladen werden.

Der Attestation-Workflow besteht aus einem strengen, mehrstufigen kryptografischen Handshake:

Schritt 1: Secure Boot und Plattform-Messung

Wenn eine vertrauliche Azure-virtuelle-Maschine oder Container-Instanz startet, erfassen Hardware und Firmware kryptografische Messwerte jeder Komponente, die am Startvorgang beteiligt ist. Dazu gehören der Bootloader, die Kernel-Images und alle initialen RAM-Disks. Diese Messwerte werden sicher in Hardware-Registern innerhalb der CPU gespeichert, die weder vom Host-Betriebssystem noch vom Hypervisor verändert werden können.

Schritt 2: Erzeugen des kryptografischen Berichts

Sobald die Workload innerhalb der TEE initialisiert ist, fordert sie von der CPU einen hardwaresignierten Bericht an. Der Prozessor signiert diesen Messbericht mit einem fest codierten, unveränderlichen privaten Schlüssel, der im Herstellungswerk in den Chip eingebrannt wurde. Dieser Bericht dient als fälschungssicherer digitaler Reisepass, der den exakten Zustand des Software-Stacks in der isolierten Umgebung abbildet.

Schritt 3: Auswertung durch den Azure Attestation Service

Der signierte Hardwarebericht wird an den Dienst Microsoft Azure Attestation (MAA) oder an einen kompatiblen Drittanbieter-Verifizierer gesendet. Der Attestation-Dienst vergleicht die eingehenden Messwerte mit einer vom Mandanten definierten Referenzrichtlinie für einen als vertrauenswürdig bekannten Zustand. Entspricht der Code in der Enklave der autorisierten Richtlinie, erzeugt der Dienst ein Attestation-Token.

Schritt 4: Freigabe der Geheimnisse

Mit einem gültigen Attestation-Token kann Ihre Anwendung sicher Datenbank-Anmeldeinformationen, TLS-Zertifikate oder Datenverschlüsselungsschlüssel von einem sicheren Managed HSM in Key Vault anfordern. Key Vault prüft das Token und gibt die Geheimnisse ausschließlich an die verifizierte TEE frei. So ist sichergestellt, dass keine nicht autorisierte Umgebung jemals auf Ihre Klartextdaten zugreifen kann.

Architekturunterschiede: AMD SEV-SNP im Vergleich zu Intel SGX

Die Implementierung von Attestation setzt voraus, dass Sie die zugrunde liegende Hardwarearchitektur Ihrer Azure-Confidential-Computing-Knoten verstehen. Microsoft Azure unterstützt zwei zentrale Hardwaretechnologien, die Isolation und Attestation jeweils etwas unterschiedlich umsetzen.

Intel Software Guard Extensions (SGX) setzt auf Isolation auf Prozessebene. Anstatt eine gesamte virtuelle Maschine zu schützen, ermöglicht SGX Entwicklern, bestimmte Code- und Datenstrukturen in feingranulare Enklaven zu isolieren. Die Attestation bei SGX stützt sich stark auf Quoting-Enklaven, die den Hardwarezustand in ein überprüfbares Quote verpacken. Dieses wird anschließend gegen die Infrastruktur von Intel mit Enhanced Privacy ID (EPID) oder den moderneren Data Center Attestation Primitives (DCAP) validiert.

AMD Secure Encrypted Virtualization-Secure Nested Paging (SEV-SNP) schützt dagegen ganze virtuelle Maschinen. SEV-SNP sichert die Speicherintegrität durch hardwarebasierte Speicherverschlüsselung und verhindert, dass bösartige Hypervisoren Guest-Physical-Adressen neu zuordnen. Der Attestation-Bericht einer AMD-SEV-SNP-VM enthält Gastrichtlinien-Konfigurationen und Launch-Messwerte. Dadurch lassen sich bestehende containerisierte Anwendungen einfacher per Lift-and-Shift migrieren, ohne Code für enklavenspezifische APIs umzuschreiben.

Attestation in CI/CD-Pipelines umsetzen

Für Cloud-Architekten und DevOps-Ingenieure ist die manuelle Überprüfung von Attestation-Berichten weder skalierbar noch praktikabel. Um eine belastbare Cloud-Infrastruktur aufzubauen, muss Attestation tief in Ihre automatisierten Bereitstellungspipelines integriert werden.

Moderne Container-Deployments in Azure Kubernetes Service (AKS) mit Confidential Nodes können Sidecar-Container oder Device Plugins nutzen, um den Attestation-Handshake automatisch abzuwickeln. Beim Start eines Confidential Pods ruft der Attestation-Client den Hardwarebericht ab, übermittelt ihn an den Azure Attestation Service und speichert das resultierende Token zwischen. Erst wenn das Token verifiziert ist, bindet der Anwendungscontainer seine sicheren Volumes ein und beginnt mit der Verarbeitung von Anfragen.

Indem Sie Attestation-Prüfungen in Ihre Release-Gates einbauen, stellen Sie sicher, dass jede nicht autorisierte Codeänderung – ob versehentlich oder böswillig – die Hardware-Messwerte sofort ungültig macht. Dadurch wird der Schlüsselfreigabeprozess gestoppt und verhindert, dass die kompromittierte Workload in der Produktion hochgefahren wird.

Fazit: Daten im Speicher heute absichern

Azure Confidential Computing bietet die technische Grundlage, um sensible Cloud-Workloads vor modernen Bedrohungen auf Infrastrukturebene zu schützen. Hardwareisolation allein ist jedoch unvollständig ohne konsequente Überprüfung. Wer Remote Attestation beherrscht, kann als Cloud-Architekt nachweisbares Vertrauen zwischen Mandantencode und Bare-Metal-Hardware herstellen. So bleiben Daten während der Verarbeitung genauso geschützt wie im Ruhezustand und während der Übertragung. Eine ausführliche Zusammenfassung dieser Cloud-Sicherheitskonzepte und einen Überblick über die breitere Microsoft 365- und Azure-Landschaft finden Sie in der vollständigen Episode des M365 FM Podcasts.

Häufige Fragen

Was ist der Hauptzweck von Azure Attestation?

Azure Attestation ist ein einheitlicher Cloud-Dienst, der die Vertrauenswürdigkeit einer Trusted Execution Environment kryptografisch überprüft und die Integrität der darin ausgeführten Software validiert, bevor Geheimnisse oder Verschlüsselungsschlüssel freigegeben werden.

Kann ein Cloud-Administrator die Hardware-Attestierung umgehen?

Nein. Hardware-Attestierung beruht auf kryptografischen Schlüsseln, die vom Hardwarehersteller direkt in den CPU-Chip eingebrannt werden. Da Hypervisoren und Cloud-Betreiber nicht auf diese Schlüssel zugreifen können, können Administratoren keinen gültigen Attestierungsbericht für eine kompromittierte Umgebung fälschen.

Worin unterscheidet sich die Attestierung auf VM-Ebene von der auf Prozessebene?

Die Attestierung auf VM-Ebene (etwa mit AMD SEV-SNP) misst und validiert das gesamte Betriebssystem einer virtuellen Maschine und deren Workloads. Die Attestierung auf Prozessebene (etwa mit Intel SGX) isoliert bestimmte Coderoutinen oder Enklaven innerhalb einer standardmäßigen Betriebssystemumgebung und weist deren Integrität nach.

Wie arbeiten Attestierungs-Tokens mit Azure Key Vault zusammen?

Sobald ein vertraulicher Workload den Attestierungsvorgang erfolgreich abgeschlossen hat, erhält er ein signiertes Token. Dieses Token kann an Azure Key Vault Managed HSM übergeben werden, um die Integrität der Umgebung nachzuweisen. Daraufhin werden Verschlüsselungsschlüssel und Datenbank-Zugangsdaten automatisch freigegeben.