.png){kind=logo}
Ihre VMs. Hardwarebasiert geschützt.
Buckypaper führt Ihre bestehenden VMs in hardwaregeschützten Trusted Execution Environments aus. Der Arbeitsspeicher bleibt während der Verarbeitung verschlüsselt, Betreiber haben keinen Zugriff und jeder Boot-Vorgang wird attestiert. Und das alles, ohne Ihre Workloads anpassen zu müssen.
SIE MIGrieren ihre vmware-umgebung? Buckypaper ist die sichere Landing Zone für Ihren VMware-Exit.
Ihre vertraute VM, geschützt vor jedem externen Zugriff
Eine Buckypaper VM verhält sich wie jede andere virtuelle Maschine, die Ihr Team heute betreibt – mit denselben Images, denselben Tools und demselben Lifecycle. Der Unterschied liegt darin, wo sie ausgeführt wird: in einer hardwaregeschützten Enklave, deren Arbeitsspeicher während der Verarbeitung verschlüsselt bleibt. Die Keys liegen außerhalb der Kontrolle des Infrastrukturbetreibers und werden erst freigegeben, wenn der von Ihnen autorisierte Zustand der VM erfolgreich attestiert wurde.
Damit entfällt eine zentrale Annahme, die viele Security-Maßnahmen überhaupt erforderlich macht: dass der Betreiber des Hosts auf die darin ausgeführten VMs zugreifen kann. Hypervisor-Administratoren, Cloud-Betreiber und selbst Personen mit physischem Zugriff auf die Hardware haben keine Möglichkeit, die Daten des Workloads im Klartext einzusehen.Buckypaper setzt das Prinzip der Operator Exclusion damit in der vertrautesten Einheit moderner Infrastrukturen um: einer VM.
All diese Attribute sind Hardware-basiert implementiert und kryptografisch nachgewiesen –
nicht nur in einem Report beansprucht.
Der Arbeitsspeicher der VM bleibt während der Ausführung des Workloads verschlüsselt. Damit schließt Buckypaper direkt auf Siliziumebene die Schutzlücke, die offen bleibt, wenn nur im Ruhezustand und bei der Übertragung verschlüsselt wird.
Jede VM weist ihre Integrität kryptografisch nach, bevor Keys freigegeben werden. Image, Konfiguration und Plattformstatus werden erfasst; die entsprechenden Nachweise stehen Ihren Auditoren jederzeit zur Verfügung.
Disk- und Secret-Keys verbleiben unter Ihrer Kontrolle in vHSM/Vault. Sie werden nur dann für eine VM freigegeben, wenn deren Attestierung den definierten Policies entspricht – und niemals auf dem Host vorgehalten.
NIST-standardisierte Algorithmen schützen die VM-Verschlüsselung vor „Harvest now, decrypt later“-Angriffen – ein Feature, das Buckypaper als Bestandteil der NATO-DIANA-Architektur etabliert hat.
Bestehende Images lassen sich ohne Änderungen des Anwendungscodes in Confidential VMs überführen. So nehmen Migrationsprojekte nur wenige Wochen in Anspruch.
Ob europäischer Cloud-Provider, Hyperscaler oder Ihr eigenes Rechenzentrum: Das Schutzmodell bleibt identisch. Damit bestimmen Ihre Anforderungen den Ort des Betriebs – nicht die Architektur.
Workload startet
CPU prüft Code, Konfiguration und Plattformstatus
Nachweis erstellt
Hardwarebasierter Attestierungsnachweis, signiert
Policy geprüft
Nitride gleicht den Nachweis mit Ihrer Policy ab
Keys freigegeben
vHSM und Vault entsiegeln – erst jetzt, nur für diesen Workload
Workload startet
Manipuliertes Image, eingeschleuster Container oder UNBEKANNTER HOST
Nachweis erstellt
Messwert stimmt nicht mit der freigegebenen Konfiguration überein
Policy lehnt ab
Abweichung und Ursache werden im Audit Log erfasst
Keine Freigabe
Keine Keys, keine Secrets – die Daten bleiben verschlüsselt
Was Teams über Buckypaper wissen wollen
Müssen wir unsere VM Images anpassen?
Nein. Bestehende Images laufen ohne Änderungen an den Anwendungen in Confidential VMs. Wo die Grenzen der Enclave liegen, hängt von der Plattform und der zugrunde liegenden Hardware ab – nicht von Ihrem Code.
Welche Auswirkungen hat Buckypaper auf die Performance?
Die Verschlüsselung des Arbeitsspeichers erfolgt direkt in der Hardware und ist darauf ausgelegt, die Computing-Leistung zu erhalten.
Wie hängen Buckypaper, Dyneemes und eMCP zusammen?
Buckypaper bildet die VM-Ebene, Dyneemes die darauf aufsetzende Kubernetes-Ebene und eMCP die Control Plane, über die beide Cloud-übergreifend betrieben werden. In den meisten Infrastrukturen kommen alle drei gemeinsam zum Einsatz.
Wir schützen Ihre VM-Images
Ein repräsentatives VM Image, die Cloud Ihrer Wahl und am Ende der Attestierungsnachweis – der kürzeste Weg vom Versprechen zum Beweis.
Sie kommen von VMware? Buckypaper ist Ihr Exit-Pfad. Kubernetes-Umgebung? Dafür gibt es Dyneemes.
