10月12日，在2017杭州·云栖大会上，阿里云发布了全新一代的计算类服务器产品–神龙云服务器（X-Dragon Cloud Server）。
神龙云服务器是一种可水平弹性伸缩的高性能计算服务，融合了物理机与云服务器的各自优势，实现超强、超稳的计算能力。
神龙服务器的核心亮点之一就是加密计算。本文特别邀请到阿里云安全首席架构师李晓宁特别撰文解读，神龙服务器中的加密计算背后的技术实现。
第一部分：加密计算是什么，和它所带来的改变
阿里云加密计算是一种高等级的数据保护技术。通过“芯片级”的可信执行环境，可以让数据所有者最大程度地对云上数据进行保护。
对于客户来说，阿里云加密计算可确保客户云主机上只存有加密过的数据，任何其他人包括云厂商都无法接触到明文数据。客户可以自由地选择适合自己的加密计算方案，并在云上使用。当需要数据明文时，也可通过阿里云加密计算，在硬件层可信执行环境中，将数据安全解密和计算。
阿里云加密计算，目前基于芯片级”可信执行环境作为基础。 该技术可以提供最高强度的关键数据和代码运行保护（其设计模型如下图所示），默认可信执行环境之外的所有计算环境，都是不可信的，所有加密信息只能在可信执行环境中运算。其中，“不需要信任”的部分包括了系统硬件，系统固件比如BIOS系统, 虚拟机底层管理器，操作系统内核，其他高权限客户进程，以及本进程内除了可信执行环境以外的所有代码。这些不可信系统部分的隔离是基于高强度的芯片保护，任何属于非信任环境的代码都无法读取数据可信执行环境内部的关键数据。
阿里云加密计算技术和以往的加密保护相比，有以下区别：
加密计算技术基于处理器芯片，直接提供硬件可信执行环境，其信任根是基于处理器芯片，而不是基于底层软件保护，比如虚拟机管理器或者操作系统内核。 加密计算技术通过硬件可信执行环境，给客户提供足够灵活的加密方案，由客户自己来定义和控制，确保客户的加解密密钥以及算法，都在自己的控制下。 加密计算技术不需要信任除了硬件可信执行环境以外的任何代码的数据，从而提供更高等级的安全保护。 加密计算技术最大化地复用了处理器的计算能力，这样加密计算本身的计算处理性能充分发挥了处理器的性能。
阿里云加密计算是在硬件层面的“芯片级”数据保护方案。除了加密计算之外，阿里云也提供了全链路的数据加密方案确保客户数据安全及隐私，覆盖物理安全，硬件安全，存储安全，密钥管理，传输加密相关的各个环节。
数据安全和隐私保护是阿里云的第一原则。目前，阿里云自身也在逐步采用加密计算技术保护内部的敏感数据，比如关键密钥，敏感配置信息等，提升云平台的安全度和强韧度。同时，阿里云也将加密计算能力输出给客户。客户可以通过购买特定的神龙云服务器以获取加密计算服务，具体的神龙云服务器原型将很快在官网发布。
第二部分：阿里云加密计算技术原理，以及客户如何用好它
1、加密计算基本架构和使用实例
下面让我们看看加密计算的基本架构。
