Intel SGX開放第三方證明服務

TPM/TXT提供從一定程度的硬體信任根到系統軟體的信任鏈的構建，而應用程式的安全並沒有直接納入TPM/TXT的考慮範疇，Intel近年來一直在大力推動SGX作為新一代針對應用程式的enclave（飛地）方案，SGX自誕生之日起就引起了眾多爭議，主要集中在幾個方面：

1，韌體的不可審計帶來後門的風險。

2，過度複雜的設計和實現增加了攻擊平面。

3，對Intel ME一些程式碼模組的依賴導致會受到ME漏洞（也包括SGX自身漏洞）的影響。

4，受到處理器微架構漏洞的影響比如L1TF。

5，IAS( Intel Attestation Service）不對第三方開放，所以必須信任Intel作為遠端證明的前提。

近日，Intel終於開放了第三方證明服務，Intel釋出了文件介紹如何構建自己的證明服務，Intel SGX DCAP使用了一個在韌體中實現的新特性FLC(Flexible Launch Control)控制哪些enclaves被允許使用CRS(Certificate Retrieval Service)去訪問PPID(Platform Provisioning Identifier)，而那些請求訪問PPID的enclave可以被證明服務提供者簽名。

Intel此次開放第三方證明服務對整個生態是好事，可以吸引更多的廠商參與，但自由韌體社群更關注的問題1)和3)依然沒有得到解決，自由韌體社群的黑客們顯然是不可能去信任一個無法審計而且高度依賴來自Ring -3世界惡魔的enclave實現，遺憾的是目前的開放enclave方案如Sanctum/Keystone到生產環境的成熟度還有一段距離。

來源：solidot.org

宣告：本網站所提供的資訊僅供參考之用，並不代表本網站贊同其觀點，也不代表本網站對其真實性負責。

更多資訊：

• 使用者該怎麼捉資料洩露的“BUG”
  

• 網路黑客利用漏洞“截胡”商家服務費 牟利2500餘萬元
  

• Chrome將強化“後退”按鈕 打擊後退至廣告頁行為
  

• 他說，程式設計的黃金時代已到