Confidential Computing.

机密计算补上了数据保护的最后一块短板:使用中的加密。工作负载在 TEE 中运行——这是一个由 CPU 强制保护的飞地,其内存经过加密并进行完整性校验,因此无论是虚拟化层、宿主机操作系统,还是具备特权的云管理员,都无法读取明文。远程证明是其中的关键环节:在发送数据或密钥之前,客户端会验证一份由硬件签名的报告(quote),该报告描述了飞地内部运行的确切代码度量值和微码版本。这一概念由 机密计算联盟(Confidential Computing Consortium) 管理,该联盟于 2019 年在 Linux 基金会下成立。硬件后端包括 Intel SGX、Intel TDX、AMD SEV-SNP、Arm CCA、AWS Nitro Enclaves、Azure Confidential VMs 与 Google Confidential Computing。

TEE 并非万能灵药,其历史也提醒人们:侧信道能够绕过内存加密。Foreshadow / L1TF(CVE-2018-3615,2018 年) 利用推测执行从 L1 缓存中读取 SGX 飞地的秘密,在微码和操作系统补丁发布之前一直能够击败证明机制。Plundervolt(CVE-2019-11157,2019 年) 则反其道而行:通过动态降低 CPU 电压向 SGX 保护的计算中注入故障,破坏乘法以及 RSA/AES 运算从而泄露密钥。因此,稳健的设计会将机密计算与最小权限、已打补丁的微码、最小化的飞地代码以及短生命周期的经证明密钥结合起来。

flowchart TD
  W[将工作负载部署到 TEE] --> M[CPU 度量代码与微码]
  M --> Q[硬件签署证明报告]
  Q --> V{客户端验证报告}
  V -->|可信| REL[向飞地释放密钥与数据]
  V -->|不匹配| DENY[拒绝下发秘密]
  REL --> ENC[经加密并完整性校验的飞地内存]
  ENC --> P[处理明文, 对宿主机与运维人员不可见]