Báo cáo BIS xem xét TEE cho ngân hàng trung ương, cảnh báo giới hạn bảo mật

Ngân hàng Thanh toán Quốc tế (BIS) đã xem xét việc sử dụng môi trường thực thi tin cậy (TEE) để bảo vệ dữ liệu nhạy cảm 'đang được sử dụng' của các ngân hàng trung ương. Tuy nhiên, BIS đánh giá TEE không thể tự bảo đảm an ninh hoàn toàn; các vấn đề như tấn công kênh bên, xâm phạm chuỗi cung ứng, kiểm soát pháp lý và quản trị cần được giải quyết riêng.

BIS công bố báo cáo 'Môi trường thực thi tin cậy cho ngân hàng trung ương' vào tháng 9/2026. Báo cáo định nghĩa TEE là môi trường thực thi biệt lập dựa trên phần cứng. Cấu trúc này được thiết kế để ngăn hệ điều hành, trình siêu giám sát và quản trị viên hạ tầng truy cập bộ nhớ được bảo vệ hoặc thay đổi quá trình thực thi khi mã được phê duyệt đang xử lý dữ liệu nhạy cảm.

Các bảo đảm cốt lõi của TEE gồm △tính xác thực của mã, tức xác nhận phần mềm được phê duyệt đang được thực thi △tính toàn vẹn thực thi, bảo vệ mã và bộ nhớ trong quá trình chạy △tính bảo mật của dữ liệu đang được sử dụng, bảo vệ dữ liệu ở dạng rõ và khóa mã hóa trong quá trình xử lý.

Xác minh từ xa hỗ trợ cấu trúc này. TEE cung cấp bằng chứng có chữ ký về mã đang chạy, cấu hình và trạng thái nền tảng. Các tổ chức tham gia có thể đối chiếu những bằng chứng này với hàm băm của phần mềm được phê duyệt và cấp độ firmware trước khi chuyển khóa mã hóa hoặc dữ liệu đầu vào đã mã hóa.

Báo cáo phân loại các hình thức triển khai thành enclave, bảo vệ một khu vực hẹp bên trong ứng dụng, và máy ảo bảo mật (CVM), bảo vệ toàn bộ hệ điều hành khách. Enclave có cơ sở điện toán tin cậy (TCB) nhỏ nên dễ xác minh và kiểm toán hơn, trong khi CVM cho phép chuyển các nền tảng phân tích hoặc cơ sở dữ liệu hiện có vào vùng bảo vệ với tương đối ít thay đổi về mã.

Khả năng ứng dụng tại ngân hàng trung ương và khoảng trống bảo vệ dữ liệu

BIS nêu các trường hợp sử dụng TEE gồm phân tích thống kê chính thức xuyên biên giới, kiểm thử sức chịu đựng mang tính hệ thống, phát hiện gian lận, chống rửa tiền và chống tài trợ khủng bố (AML/CFT), kiểm tra tuân thủ lệnh trừng phạt, ví tài sản số và tăng cường an ninh mạng. Dữ liệu đầu vào được mã hóa và xử lý trong TEE mà không cần chia sẻ trực tiếp dữ liệu gốc, sau đó chỉ các đầu ra được cho phép như giá trị tổng hợp, cờ ngoại lệ hoặc kết quả phê duyệt hay từ chối mới được đưa ra bên ngoài.

Khoảng trống trong việc bảo vệ 'dữ liệu đang được sử dụng' là lý do công nghệ này được quan tâm. Dữ liệu lưu trữ và dữ liệu truyền đi có thể được mã hóa, nhưng thông thường cần giải mã trong quá trình tính toán. Khi đó, hệ điều hành, nhà vận hành đám mây hoặc quản trị viên có thể tiếp cận dữ liệu ở dạng rõ.

Khi các ngân hàng trung ương cùng phân tích thông tin về giao dịch, đối tác và thanh khoản, bí mật thương mại, dữ liệu cá nhân và nghĩa vụ bảo vệ theo quy định tài chính cũng trở thành trở ngại. Cách tiếp cận bảo vệ chính môi trường xử lý dữ liệu có thể giảm bớt vấn đề này, nhưng việc phê duyệt mã nào và cho phép đưa kết quả nào ra bên ngoài vẫn là vấn đề quản trị riêng.

Phạm vi bảo mật và thách thức triển khai thực tế

Phạm vi bảo mật của TEE chỉ giới hạn trong TCB gồm phần cứng, firmware và phần mềm. Báo cáo chỉ ra các rủi ro như tấn công kênh bên dựa trên chênh lệch thời gian và tranh chấp bộ nhớ đệm, thao túng dữ liệu đầu vào, lệnh gọi hệ thống và đường dẫn vào ra của máy chủ, tấn công khôi phục trạng thái cũ bằng phần mềm dễ bị tổn thương hoặc trạng thái lỗi thời, cùng nguy cơ xâm phạm chuỗi cung ứng.

TEE không thể thay thế kiểm soát pháp lý, quản trị và quy trình kiểm toán. Khi triển khai thực tế, các yếu tố như hiệu năng, khả năng mở rộng, tiêu chuẩn mua sắm, tính di động giữa các nền tảng, khả năng kiểm toán và mức độ phụ thuộc vào phần cứng hoặc nhà cung cấp đám mây cụ thể cũng cần được xem xét.

Báo cáo BIS lần này không đưa ra trường hợp triển khai TEE cụ thể của ngân hàng trung ương hay doanh nghiệp tài sản số nào. Các nhận định trong báo cáo cũng là phân tích của các tác giả, không phải chính sách chính thức của BIS hoặc các ngân hàng trung ương thành viên. Việc ngân hàng trung ương có áp dụng thực tế hay không sẽ được quyết định sau khi đánh giá đồng thời tính bảo mật, hiệu năng, khả năng mở rộng, tiêu chuẩn mua sắm, tính di động giữa các nền tảng và khả năng kiểm toán.