打开链接即可点亮社区Star，照亮技术的前进之路。

Github 地址：*https://github.com/secretflow/trustflow/*

Intel SGX（Software Guard Extensions）是由Intel推出的一种TEE方案。SGX的安全模型是只信任CPU和微码。

## Enclave

SGX最重要的核心概念是Enclave（飞地），Enclave可以被视为进程中安全可信的部分，其中运行的程序和数据的机密性和完整性受到SGX的保护。Enclave所处的内存是加密的，除了Enclave自身和CPU之外， 其他系统软件包括 Operating system (OS), Virtual Machine Monitor (VMM), System Management Mode (SMM), BIOS等都无法访问 Enclave，从而避免 Enclave 被恶意攻击。

下图中黄色部分表示了Enclave。从图中我们可以看到，在标准的SGX模型下，应用被分为可信和不可信两部分，可信部分为 Enclave，
非可信部分为运行在外面的代码和数据。

关于Enclave的更详细介绍，可以阅读[SGX Enclave](https://www.intel.com/content/dam/develop/external/us/en/documents/overview-of-intel-sgx-enclave-637284.pdf).
![](https://developer.qcloudimg.com/http-save/yehe-11868355/845650d3d47f9093384e9c847e0b2eaf.png)

### Enclave身份标识 - MRENCLAVE 和 MRSIGNER

每个Enclave都具有两个与其绑定的身份标识。

第一个是Enclave Identity（飞地身份），它由**MRENCLAVE**的值表示，MRENCLAVE是Enclave的度量值，度量了Enclave构建和初始化过程的每个步骤的加密哈希值。MRENCLAVE唯一标识任何特定的飞地。不同版本的飞地构建/版本将导致不同的MRENCLAVE值。

第二个是由授权机构提供的Signing Identity（签名身份），该机构在分发之前对enclave进行签名。该值称为**MRSIGNER**，对于所有使用相同授权机构签名的飞地，该值均是相同的。

根据场景的不同，您可以选择用MRENCLAVE或者MRSIGNER来唯一确认Enclave的身份，通常情况下应该使用MRENCLAVE。若您可以信任某个机构，则可以使用MRSIGNER，从而减缓使用中可能遇到的潜在问题，比如代码频繁升级带来的困扰。

## 远程认证

远程认证提供了一种机制，允许远程用户验证远程进程中软件的真实性。SGX的远程认证可以对以下内容进行验证：

1. Enclave运行在SGX内部
2. Enclave运行在具有最新安全级别的系统上
3. Enclave的代码

通过远程认证，用户可以确保enclave运行环境是可靠的，且运行的代码未被篡改。

目前SGX支持两种类型的远程认证：ECDSA（Elliptic Curve Digital Signature Algorithm）认证和 Intel EPID(Intel Enhanced Privacy ID) 认证，更详细说明参见[intel remote attestation](https://www.intel.com/content/www/us/en/developer/tools/software-guard-extensions/attestation-services.html)。SecretFlow目前仅支持ECDSA认证模式。

ECDSA配合 Intel SGX DCAP（Intel Software Guard Extensions Data Center Attestation Primitives）可以允许用户构建自己的认证服务，而不需要依赖intel的远程认证服务。intel提供了Provisioning Certification Caching Service (PCCS)来帮助用户完成这一目标。

![](https://developer.qcloudimg.com/http-save/yehe-11868355/9b6214cfca6b16ed7bd9cee0816b59af.png)

（[图片来源](https://download.01.org/intel-sgx/sgx-dcap/1.10/linux/docs/SGX_DCAP_Caching_Service_Design_Guide.pdf)）

### 如何部署PCCS服务

#### 情形一：使用云厂商自带的PCCS服务

如果您购买的是云厂商的机器，则云厂商通常会默认提供PCCS服务。
比如您的服务器提供商是阿里云，则可参考[阿里云远程证明服务](https://www.alibabacloud.com/help/zh/ecs/user-guide/build-an-sgx-encrypted-computing-environment#section-utn-xc1-656)。

具体可以查阅对应云厂商的官方文档。

#### 自行搭建PCCS服务

如果您希望自行搭建PCCS服务，则可以参考[Intel PCCS](https://github.com/intel/SGXDataCenterAttestationPrimitives/tree/master/QuoteGeneration/pccs)。

Github 地址：*https://github.com/secretflow/trustflow/*

TrustFlow 可信执行环境之 Intel SGX TEE 方案

云计算

安全

硬件

Intel SGX技术详解：Enclave飞地保护数据安全，MRENCLAVE/MRSIGNER双重身份验证机制确保可信执行环境。支持ECDSA远程认证，阿里云等云厂商提供PCCS服务，也可自行搭建SGX认证服务。了解最新SGX技术实现，点击查看Github项目。

服务器

4核4G3M云服务器 新用户低至38元/年！

文章

问答

视频

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

TrustFlow 可信执行环境之 Intel SGX TEE 方案-腾讯云开发者社区-腾讯云

TrustFlow 可信执行环境之 Intel SGX TEE 方案

TrustFlow 可信执行环境之 Intel SGX TEE 方案

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐