Lec 23 安全硬件与可信执行环境

MIT 6.1600 · Introduction to Computer Security

TL;DR

• 当面对恶意操作系统、不可信云管平台或物理机房攻击者时，常规软件隔离边界全面瓦解。
• 可信执行环境（TEE / Enclave）将安全边界收缩至 CPU 芯片物理封装内部，实现内存透明加密。
• 远程证明机制结合芯片内置硬件非对称密钥与密码学哈希，向远程用户提供不可伪造的软件状态背书。

1. 威胁模型的极限升级：不可信 Host

在传统安全系统设计中，我们始终假设底层的操作系统内核（OS Kernel）与虚拟机监视器（Hypervisor）是安全可信的。然而在现代公共云（AWS, Azure, GCP）与多租户计算中，这一假设在现实中往往不成立：

1. 恶意的或被攻陷的宿主系统：
   • 处于 Ring 0 甚至 Ring -1 的攻击者拥有对全部物理内存、页表、中断向量和寄存器的绝对读写控制权。
2. 云服务商的内部人员威胁：
   • 机房运维工程师可以直接拉取物理内存镜像，甚至在物理总线上安装逻辑分析仪窃听数据总线。
3. 物理冷启动攻击（Cold Boot Attack）：
   • 在关机断电瞬间用液氮冷冻 DRAM 芯片，将其迅速移至攻击机器提取明文密码学密钥。

为了在如此敌对的环境下安全处理极其敏感的数据（如密钥管理、医疗计算、多方安全联合计算），必须引入硬件可信执行环境（Trusted Execution Environment, TEE），将整个计算的可信计算基（TCB）彻底缩减到CPU 物理芯片芯片封装内部。

2. 硬件 Enclave 架构设计（以 Intel SGX 为例）

Intel 软件防护扩展（Software Guard Extensions, SGX）是 TEE 的工业级代表实现。

flowchart TD
    subgraph Untrusted [不可信宿主环境 (Ring 0 / Hypervisor)]
        OS[操作系统 / 虚拟机监视器]
        Driver[硬件驱动 / 页表管理]
    end

    subgraph HardwareBoundary [CPU 物理封装芯片内部 (TCB)]
        Core[CPU 执行核心]
        MEE[内存加密引擎 Memory Encryption Engine]
        SecReg[硬件测量与安全寄存器]
    end

    subgraph ExternalDRAM [外部 DRAM (物理内存)]
        NormalMem[普通不可信内存]
        EPC[密文 Enclave 内存 (PRM/EPC)]
    end

    OS -.不可直接访问.-> Core
    Core --> MEE
    MEE --AES-XTS加密 + 完整性校验树--> EPC

2.1 隔离与内存加密引擎（MEE）

• Enclave（飞地）：用户进程内开辟的一块受硬件严密保护的专属安全内存区。
• 处理器保留内存（PRM）与 Enclave 页面缓存（EPC）： 物理内存中划分的一块独立区域，操作系统无法读取其有效内容。
• 内存加密引擎（Memory Encryption Engine, MEE）： 位于 CPU 片上内存控制器内部。当数据从 CPU 缓存被刷出（Evict）到片外 DRAM 总线时，MEE 会实时进行 AES-XTS 块加密，并维护片上 **Merkle 树（Integrity Tree）**防止重放与篡改。攻击者即便在主板上飞线测量总线，看到的也纯粹是高熵随机密文。

2.2 边界穿越语义

• EENTER / EEXIT 指令： 进入 Enclave 必须通过专门的硬件微码指令。进入时，CPU 硬件保存并清空当前的通用寄存器，切换堆栈指针，将执行上下文严格切换为安全环境；
• 异步退出（AEX）： 当发生外部硬件中断或系统调用时，CPU 自动将敏感寄存器状态保存进 Enclave 内部的状态保存区（SSA），用全零抹除寄存器后再将控制权转交外部 OS 处理，杜绝寄存器秘密泄露。

3. 远程证明（Remote Attestation）

远程用户如何确信自己的代码确实运行在正品安全硬件的 Enclave 内部，而不是运行在被黑客精心模拟的 QEMU 虚拟机里？这一信任闭环由远程证明完成。

3.1 测量哈希（Measurement）

• MRENCLAVE： 在 Enclave 构建初始化的全过程中，硬件通过类似 SHA-256 的加密哈希，记录其装入的每一段初始代码段、数据段以及内存页排列顺序。任何对二进制代码的单比特修改都会彻底改变 MRENCLAVE。
• MRSIGNER： 软件发布者的公钥签名哈希，用于支持软件安全平滑升级。

3.2 证明报告与证书背书（Quote）

1. Enclave 调用 EREPORT 指令，生成一份包含其 MRENCLAVE 哈希以及自定义用户数据（如用于建立安全通道的临时公钥 $pk_{ ext{client}}$）的硬件报告；
2. 芯片内置的硬件特殊签名单元（基于生产制造时激光熔断在硅片内部的根密钥 Root Provisioning Key），使用 Intel 认证私钥对该报告进行签名，生成不可伪造的 Quote 认证凭证；
3. 远程用户通过验证 Intel CA 证书链确信 Quote 由正版 CPU 生成，并比对 MRENCLAVE 确认代码未被篡改，随后即可利用 $pk_{ ext{client}}$ 建立端到端加密 TLS 通道将机密数据注入。

4. 硬件 Enclave 的侧信道梦魇

TEE 构筑的密码学城墙虽然坚固，但在微架构共享硬件资源层面却打开了泛滥的**侧信道（Side-Channel Attacks）**潘多拉魔盒：

• 缓存时序攻击（Cache-Timing）： Enclave 与不可信宿主进程共享同一物理核心的 L1/L2 缓存。恶意 OS 可以频繁执行 clflush 并测量自身的内存访问时延（Prime+Probe），推断 Enclave 正在访问哪一行密钥数组查找表。
• 受控信道攻击（Controlled-Channel Attack, Xu et al., 2015）： 操作系统负责为 Enclave 分配物理页表。恶意 OS 蓄意将 Enclave 的所有内存页标记为“不存在”（Not Present），当 Enclave 执行到相应分支时必定触发缺页异常（Page Fault）。OS 通过捕获异常发生的虚拟地址，获得了 Enclave 内部零噪声的逐页控制流执行轨迹！
• 瞬态执行攻击（Foreshadow / L1TF, 2018）： 现代 CPU 的推测执行（Speculative Execution）机制在进行权限和界限检查之前，就提前将 EPC 中的敏感内存投机性加载进微架构缓冲区中，并通过微架构瞬态侧信道将明文直接倾倒给宿主进程。