Una Confidential Virtual Machine (CVM) es una máquina virtual que opera dentro de un entorno de ejecución confiable (Trusted Execution Environment - TEE) proporcionado por el hardware subyacente. Su característica principal es la protección criptográfica de la memoria y el estado de la CPU de la VM, lo que garantiza que los datos en uso (en memoria y registros) permanezcan confidenciales e íntegros, incluso si el hipervisor (VMM), el sistema operativo del host o cualquier otro software privilegiado en la plataforma está comprometido. Esto se logra mediante tecnologías como la encriptación de memoria basada en hardware y la atestación remota (remote attestation), que permite verificar la integridad del entorno de ejecución antes de cargar cargas de trabajo sensibles.
La implementación de CVMs se basa en extensiones de hardware específicas de los procesadores modernos. Ejemplos concretos incluyen AMD Secure Encrypted Virtualization (SEV), que ha evolucionado a SEV-ES (Encrypt State) y SEV-SNP (Secure Nested Paging) para proteger aún más el estado de la CPU y la integridad de la memoria contra ataques del hipervisor. Intel, por su parte, ofrece Intel Trust Domain Extensions (TDX), que proporciona un modelo similar de protección de VM con atestación remota. Estas tecnologías son la base de servicios de computación confidencial en la nube como Azure Confidential Computing, Google Cloud Confidential VMs y AWS Nitro Enclaves, que permiten a los usuarios ejecutar cargas de trabajo sensibles con una garantía de confidencialidad e integridad sin precedentes, incluso frente a un proveedor de nube malicioso o comprometido.
Para un arquitecto, las CVMs son cruciales para diseñar sistemas que manejen datos altamente sensibles en entornos de nube pública o multi-tenant, donde la confianza en el proveedor de infraestructura es una preocupación. Permiten cumplir con estrictos requisitos regulatorios (GDPR, HIPAA) y de cumplimiento al reducir drásticamente la superficie de ataque y el perímetro de confianza. Sin embargo, su adopción implica trade-offs: puede haber una ligera sobrecarga de rendimiento debido a la encriptación y desencriptación de memoria, y la depuración o el monitoreo tradicional pueden ser más complejos debido a la opacidad del entorno para el hipervisor. Los arquitectos deben evaluar si el nivel de protección adicional justifica estos compromisos, especialmente en escenarios como el procesamiento de datos financieros, información de salud, claves criptográficas o modelos de Machine Learning propietarios, donde la protección de datos en uso es primordial.