SAFETY: Secure gwAs in Federated Environment Through a hYbrid solution with Intel SGX and Homomorphic Encryption
最近的研究表明，有效的医疗保健可以受益于使用人类基因组信息。例如，对肿瘤基因组的分析揭示了140个基因的突变导致癌症。因此，许多机构正在使用基因组数据的统计分析，这些数据主要基于全基因组关联研究（GWAS）。GWAS分析基因组序列变异，以确定疾病的遗传风险因素。这些研究通常需要汇集来自不同来源的数据，以揭示遗传变异和疾病之间的统计模式或关系。在这种情况下，主要的挑战是实现一个主要目标：以隐私保护的方式访问多个基因组数据库进行合作研究。由于基因组数据的敏感性和隐私问题，世界不同地区之间实施了跨境基因组数据共享的多管辖区法律和政策。在本文中，我们介绍了一个混合框架SAFETY，它可以使用同态加密在联邦基因组数据集上安全地执行GWAS，并在最近引入了英特尔软件保护扩展（Intel SGX）的安全硬件组件，以确保高效率和隐私。不同的实验设置显示了这种混合框架在GWAS安全传导中的有效性和适用性。据我们所知，这种同态加密与英特尔SGX的混合使用迄今尚未提出或试验。我们提出的框架，安全是最快的4.82倍，比现有的最好的安全计算技术。
2017-03-07 cs.CR
Secure IoT Data Analytics in Cloud via Intel SGX
物联网设备在我们日常生活中的日益普及正在产生大量数据，其中大部分是私人信息，需要仔细维护和安全的存储系统来确保数据的完整性和保护。此外，巨大的物联网生态系统为用户提供了通过将其设备和其他服务与基于规则的程序互连来实现系统自动化的机会。用于存储和处理敏感物联网数据的云服务很容易受到外部威胁的影响。因此，需要保护敏感的物联网数据和基于规则的程序免受网络攻击。为了应对这一重要挑战，在本文中，我们提出了一个框架来维护物联网数据的机密性和完整性以及基于规则的程序执行。我们设计的框架，以保护数据隐私，利用可信执行环境（TEE），如英特尔SGX，和端到端的数据加密机制。我们通过在SGX中使用模拟和真实的物联网设备数据安全地执行基于规则的程序来评估该框架。
2020-08-10 cs.CR cs.DB
Stacco: Differentially Analyzing Side-Channel Traces for Detecting SSL/TLS Vulnerabilities in Secure Enclaves
英特尔Software Guard Extension（SGX）提供软件应用程序安全区，以保护其机密性和完整性免受恶意操作系统的攻击。SSL/TLS协议是用于保护传输层网络通信的事实标准，已被广泛部署用于安全通信信道。然而，在本文中，我们表明，新交所和SSL之间的婚姻可能不会一帆风顺。特别是，我们考虑一类侧信道攻击对SSL/TLS实现在安全飞地，我们称之为控制流推理攻击。在这些攻击中，恶意操作系统内核可以执行强大的内核中人攻击，以在页面、高速缓存行或分支级别收集飞地程序的执行痕迹，同时将其自身定位在两个通信方的中间。我们工作的中心是一个差分分析框架，称为Stacks，用于动态分析SSL/TLS实现并检测可被用作解密预言机的漏洞。令人惊讶的是，我们在检查过的所有SSL/TLS库的最新版本中发现了可利用的漏洞。为了验证检测到的漏洞，我们开发了一个内核中的攻击者来演示Bleichenbacher对SGX飞地中运行的最新OpenSSL库的攻击（在Graphene的帮助下），并完全打破了由4096位RSA公钥加密的PreMasterSecret，只有57286次查询。我们还针对在Graphene-SGX中运行的最新GnuTLS和mbedTLS的开源SGX实现（即，mbedTLS-SGX），并表明它只需要48388和25717查询，分别打破一个块的AES密文。经验评估表明，这些内核中的人攻击可…
2017-09-26 cs.CR
Occlum: Secure and Efficient Multitasking Inside a Single Enclave of Intel SGX
英特尔Software Guard Extensions（SGX）支持用户级代码创建称为安全区的私有内存区域，CPU保护这些区域的代码和数据免受安全区外部的软件和硬件攻击。最近的工作将库操作系统（LibOS）引入SGX，以便遗留应用程序可以在飞地内运行，只需很少或甚至不需要修改。由于几乎任何重要的应用程序都需要多个进程，因此LibOS必须支持多任务处理。然而，现有的SGX LibOS都不支持安全有效的多任务处理。本文介绍了Occlum，一个系统，使安全和有效的多任务在SGX。我们将LibOS进程实现为SFI隔离进程（SIP）。SFI是一种软件工具化技术，用于对不受信任的模块（称为域）进行沙箱化。我们设计了一个新的SFI方案命名为基于MPX，多域SFI（MMDSFI），并利用MMDSFI来加强SIP的隔离。我们还设计了一个独立的验证器来保证MMDSFI的安全性。通过SIP安全地共享飞地的单个地址空间，LibOS可以有效地实现多任务处理。Occlum LibOS在多任务繁重的工作负载上的性能优于最先进的SGX LibOS，在微基准测试中高达6，600倍，在应用程序基准测试中高达500倍。
2020-01-21 cs.AR cs.CR cs.OS
Integrating Remote Attestation with Transport Layer Security
英特尔®软件防护扩展（英特尔® SGX）是一种很有前途的技术，可在不受信任的环境中安全地处理信息。英特尔SGX的一个重要方面是能够执行远程认证以评估端点的可信度。最终，远程证明将产生经证明的安全信道以将秘密提供给飞地。我们将英特尔SGX远程认证与标准传输层安全（TLS）连接的建立无缝结合。远程证明在连接设置期间执行。为了实现这一点，我们既不改变TLS协议，也不修改现有的协议实现。我们有三个广泛使用的开源TLS库的原型实现：OpenSSL，SSL和mbedTLS。我们描述了将经过认证的TLS端点无缝绑定到英特尔SGX安全区的要求、设计和实施细节。
2019-07-26 cs.CR
TensorSCONE: A Secure TensorFlow Framework using Intel SGX
TU Dresden（德累斯顿工业大学）；Scontain UG（Scontain有限责任公司）；The University of Edinburgh（爱丁堡大学）
机器学习已成为现代数据驱动的在线服务的关键组成部分。通常，机器学习技术的训练阶段需要处理可能包含客户的私有和敏感信息的大规模数据集。由于现代在线服务依赖于云计算来存储和处理敏感数据，因此这带来了重大的安全风险。在不可信的计算基础设施中，安全性正成为一个最重要的问题，因为客户需要信任第三方云提供商。不幸的是，这种信任在过去曾多次遭到破坏。为了克服云中潜在的安全风险，我们回答了以下研究问题：如何在不受信任的基础设施中安全执行机器学习计算？为了实现这一目标，我们提出了一种基于可信执行环境（TEE）（特别是英特尔SGX）的硬件辅助方法，以便在私有和敏感数据集上安全执行机器学习计算。更具体地说，我们提出了一个通用的和安全的机器学习框架的基础上Tensorflow，它使现有的应用程序的商品不可信的基础设施上的安全执行。特别是，我们通过将TensorFlow与SCONE（一个基于英特尔SGX的屏蔽执行框架）集成，从头构建了名为TensorSCONE的系统。这项工作的主要挑战是在构建安全的TensorFlow系统的背景下克服英特尔SGX的架构限制。我们的评估表明，我们实现了合理的性能开销，同时提供了较强的安全性能与低TCB。
2019-02-12 cs.CR cs.DC cs.LG
A lightweight MapReduce framework for secure processing with SGX
MapReduce是一种广泛用于分布式环境中并行数据处理的编程模型。使用MapReduce实现了广泛的算法，从简单的任务（如排序和搜索）到复杂的聚类和机器学习操作。其中许多实现是外部化到云基础设施的服务的一部分。然而，在过去几年中，人们对在这种环境中提供的安全保障提出了许多关切。提出了一些依赖于密码学的解决方案来对抗威胁，但这些解决方案通常意味着高计算开销。最大的商用CPU制造商英特尔最近推出了SGX（软件防护扩展），这是一组支持在隔离的安全环境中执行代码的硬件指令。在本文中，我们探讨了如何使用英特尔SGX为MapReduce操作提供隐私保障，并根据我们的评估得出结论，它代表了加密机制的可行替代方案。我们目前的结果广泛使用的k-means聚类算法的基础上，但我们的实现可以推广到其他应用程序，可以表示使用MapReduce模型。
2017-05-16 cs.CR cs.DC
Leaking Uninitialized Secure Enclave Memory via Structure Padding (Extended Abstract)
英特尔软件防护扩展（SGX）旨在为用户级进程提供一个隔离的执行环境（称为安全区），以最大限度地提高其机密性和完整性。在本文中，我们研究了如何通过结构填充泄漏安全飞地内的未初始化数据。我们发现，在ECALL和OCALL期间，英特尔SGX软件开发工具包（SDK）自动生成的代理函数将结构变量从安全区完全复制到正常内存，以返回ECALL函数的结果，并将输入参数传递给OCALL函数。如果结构变量包含填充字节，则可以通过填充字节将未初始化的飞地存储器（其可能包含诸如私钥的机密数据）复制到正常存储器。我们还考虑了针对这些安全威胁的潜在对策。
2017-10-25 cs.CR
A Comprehensive Benchmark Suite for Intel SGX
诸如\intelsgx之类的可信执行环境（TEE）有助于在不可信的机器上安全地执行应用程序。遗憾的是，这样的环境在将数据写回主存储器、与操作系统的交互以及发出I/O指令的能力方面受到严重的限制和性能开销。因此，有大量的工作集中在提高这种环境的性能上--这就需要一个标准的、被广泛接受的基准测试套件（类似于SPEC和PARSEC）。据我们所知，这样的一套并不存在。我们的套件SGXGauge包含一组不同的工作负载，如区块链代码，安全机器学习算法，轻量级Web服务器，安全键值存储等。我们彻底描述了基准套件在本地平台和使用基于库操作系统的匀场层（GrapheneSGX）的平台上的行为。我们观察到，最重要的指标的兴趣是性能计数器相关的分页，内存和TLB访问。当内存占用开始超过英特尔SGX中的EPC大小时，性能会发生突然变化，而库操作系统不会增加显著的开销（~ +- 10%）。
2022-05-13 cs.CR cs.PF
Malware in the SGX supply chain: Be careful when signing enclaves!
恶意软件攻击是每年检测到的新软件安全威胁的重要组成部分。Intel Software Guard Extensions（SGX）是Intel在其最新的处理器系列中引入的一组硬件指令，旨在为用户开发的应用程序提供安全的执行环境。据我们所知，目前还没有认真尝试通过利用软件供应链基础设施的弱点来克服新交所的保护，即在开发，构建或签署服务器的层面。虽然新交所的保护并没有特别考虑到这些威胁，但我们在本文中表明，利用构建和签名过程之间的分离进行的简单恶意软件攻击可能会产生严重的破坏性影响，实际上会使新交所的完整性保护措施无效。我们还探索了两种可能的攻击缓解措施，一种是利用SGX本身的集中式，另一种是依赖于部署在区块链基础设施上的智能合约的分布式。我们的评估表明，这两种方法在实践中是可行的，其增加的成本是可以接受的提供的保护。
2020-09-23 cs.CR
Towards Memory Safe Python Enclave for Security Sensitive Computation
英特尔SGX Guard eXtensions（SGX）是一种硬件支持的可信执行环境（TEE），旨在保护安全敏感型应用程序。然而，由于安全区应用程序是用内存不安全的语言（如C/C++）开发的，因此SGX中没有消除传统的内存损坏。Rust-SGX是第一个为飞地开发人员提供内存语言的工具包。然而，Rust被认为是一种系统语言，并已成为并发应用程序和Web浏览器的正确选择。许多应用领域，如大数据，机器学习，机器人，计算机视觉，更常用Python程序设计语言开发。因此，Python应用程序开发人员无法从Intel SGX和rust-SGX等安全飞地中受益。为了填补这一空白，我们提出了Python-SGX，这是一个内存安全的SGX SDK，为飞地开发人员提供了一个内存安全的Python开发环境。其核心思想是通过解决以下关键挑战来在SGX中启用内存安全的Python语言：（1）定义内存安全的Python解释器（2）用安全的Python解释器替换Python解释器的不安全元素，（3）实现与非飞地Python应用程序相当的性能，以及（4）不向SGX中引入任何不安全的新代码或库。我们建议使用RPython编写的Python解释器PyPy构建Python-SGX，PyPy是Python的一个子集，并通过形式化验证，安全加固和内存安全语言来驯服PyPy中的不安全部分。我们已经实现了python-SGX，…
2020-05-12 cs.CR
Ciphertext Policy Attribute Based Encryption with Intel SGX
本研究针对CP-ABE运算的安全增强需求，提出结合Intel SGX的方案，在SGX飞地内按策略安全加解密，实验验证其在仅增加极小执行时间的前提下兼具性能与可扩展性。
2024-09-11 cs.CR
Strongly Secure and Efficient Data Shuffle On Hardware Enclaves
减轻对英特尔SGX架构的内存访问攻击是一个重要且开放的研究问题。缓解的一个自然概念是缓存未命中遗忘，这要求在飞地执行期间发出的缓存未命中对敏感数据不敏感。实现了数据混洗计算中的缓存丢失遗忘。所提出的方法是在英特尔SGX/TSX架构上对Melbourne shuffle的遗忘算法进行软件工程，其中事务同步扩展（TSX）用于检测缓存未命中的发生。在系统建设中，我们提出了软件技术，预取内存数据之前的TSX交易，以抵御物理总线窃听攻击。我们的评估的基础上实际实现表明，我们的系统实现了优越的性能和较低的事务中止率比现有文献中的相关工作。
2017-11-12 cs.CR
Leveraging Intel SGX to Create a Nondisclosure Cryptographic library
确保用户应用程序代码和数据的完整性和机密性是任何从事在线生产级服务的软件开发人员都面临的一项具有挑战性的任务。由于密码学不是一个广泛理解的主题，研究和行业前沿的人们总是在寻找新技术来自然地扩展他们的程序和系统的安全性。英特尔Software Guard Extension（英特尔SGX）是一项英特尔技术，面向希望保护其软件二进制文件免受使用硬件指令的合理攻击的开发人员。英特尔SGX将敏感代码和数据放入CPU强化的受保护区域（称为安全区）。在此项目中，我们利用英特尔SGX生成安全加密库，将生成的密钥保存在安全区域内，限制机密加密密钥的使用和传播。使用安全区来存储密钥，我们维护了一个小的可信计算基础（TCB），在那里我们还在临时缓冲区上执行计算，并从不可信的应用程序代码。作为概念证明，我们在安全区中实现了哈希和对称加密算法，在安全区中存储了哈希、哈希向量（IV）和随机密钥，并开源了代码（https：//github.com/hmofrad/CryptoEnclave）。
2018-04-02 cs.CR
Interface-Based Side Channel Attack Against Intel SGX
英特尔已经推出了一种可信计算技术，英特尔软件防护扩展（SGX），它为用户程序提供了一个被称为飞地的隔离和安全的执行环境，而不信任任何特权软件（例如，操作系统或管理程序）或固件。然而，SGX容易受到几种侧信道攻击（例如，基于页面错误的攻击和基于缓存的攻击）。在本文中，我们探讨了一种新的，但在SGX关键的侧信道攻击，基于接口的侧信道攻击，它可以推断的飞地输入数据的信息。基于接口的侧信道攻击的根本原因是依赖于输入的接口调用信息（例如，接口信息和调用模式）可以揭示飞地中的控制流。研究了基于接口的侧信道攻击的方法。为了说明基于接口的侧信道攻击的有效性，我们使用我们的方法来推断跟踪的网页是否已被SGX辅助的NFV平台处理，并实现了87.6%的准确率和76.6%的召回率。我们还识别出属于被跟踪网页的数据包，准确率为67.9%，召回率为71.1%。最后提出了SGX辅助应用中基于接口的侧信道攻击的防御对策。
2018-10-08 cs.CR
S3ML: A Secure Serving System for Machine Learning Inference
Peking University（北京大学）；Ant Group（蚂蚁集团）
本文提出了一个面向机器学习推理的安全服务系统S3ML。S3ML在英特尔SGX安全区中运行机器学习模型，以保护用户隐私。S3ML设计了一个安全的密钥管理服务来构建灵活的隐私保护服务器集群，并提出了新的SGX感知的负载均衡和伸缩方法，以满足用户的服务水平目标。我们基于Kubernetes实现了S3ML，作为一个低开销，高可用性和可扩展的系统。我们证明了系统的性能和有效性的S3ML通过一系列广泛使用的模型上进行广泛的实验。
2020-10-13 cs.CR cs.LG
Using Trusted Execution Environments for Secure Stream Processing of Medical Data
在第三方不受信任的云上处理敏感数据（例如由身体传感器产生的数据）尤其具有挑战性，同时又不损害生成数据的用户的隐私。通常，这些传感器以流方式生成大量连续数据。即使在强大的对抗模型下，也必须有效和安全地处理如此大量的数据。最近在大众市场推出的具有可信执行环境（TEE）的消费级处理器（例如英特尔SGX）为实施克服不太灵活的方法（例如基于同态加密的方法）的解决方案铺平了道路。我们展示了一个构建在英特尔SGX之上的安全流处理系统，以展示这种方法在专门适用于医疗数据的系统中的可行性。我们设计并完全实现了一个原型系统，我们评估与几个现实的数据集。我们的实验结果表明，与vanilla Spark相比，该系统实现了适度的开销，同时在强大的攻击者和威胁模型下提供了额外的保护保证。
2019-06-17 cs.CR
Intel SGX Enabled Key Manager Service with OpenStack Barbican
保护云中的数据越来越重要，加密被用来实现所需的数据保护。虽然希望使用加密，但各种云组件不希望处理密钥管理，这表明迫切需要单独的密钥管理系统。OpenStack Barbican是由OpenStack社区开发的平台，旨在提供适用于所有环境的加密功能，包括大型短暂云。Barbican公开了为安全存储、配置和管理密码、加密密钥和X.509证书等秘密而设计的REST API，并支持后端各种加密解决方案的插件。加密插件将秘密存储为Barbican数据库中的加密blob。基于软件的加密插件提供了可扩展的解决方案，但易受系统软件攻击。硬件安全模块或HSM插件提供了强大的安全保证，但它们价格昂贵，而且扩展性不好。我们建议构建一个基于英特尔Software Guard Extension或SGX的软件加密插件，提供类似于HSM的安全性，同时具有基于软件的解决方案的低成本和可扩展性。我们扩展了OpenStack Barbican API，以支持英特尔SGX加密插件的认证，从而提高客户对用于存储密钥的软件的信心。此外，该API还支持支持英特尔SGX客户端的相互认证、多用户密钥分发以及用于保护后端数据库机密性和完整性的扩展。
2017-12-20 cs.CR
Computation on Encrypted Data using Data Flow Authentication
在将数据发送到云之前对其进行加密可以保护数据免受黑客和恶意内部人员的攻击，但需要云计算加密数据。可信（硬件）模块，例如，像英特尔的SGX这样的安全飞地，可以非常有效地在加密内存中运行整个程序。然而，已经证明，软件漏洞给攻击者提供了充分的机会将任意代码插入程序。然后，该代码可以修改程序的数据流，并通过SGX侧通道将程序中的任何秘密泄露给云中的观察者。由于任何大型程序都充斥着软件漏洞，因此将整个程序外包给SGX飞地并不是一个好主意。一种具有小型可信代码库的安全替代方案是全同态加密（FHE）--加密计算的圣杯。然而，由于其高计算复杂性，它不太可能在不久的将来被采用。因此，研究人员提出了几个建议，将程序转换为在功能较弱的加密方案上执行加密计算。然而，当前的方法在基于加密数据做出控制流决策的程序上失败。本文介绍了数据流认证的概念。DFAuth防止攻击者任意偏离程序的数据流。因此，攻击者无法在SGX上执行之前概述的攻击。这使得所有的程序，甚至包括对控制流决策变量的操作，都可以在加密数据上计算。我们实现DFAuth使用一种新的认证同态加密方案，Java字节码到字节码编译器产生完全可执行的程序，和SGX飞地。对敏感医疗数据执行机器学习的转换神经网络可以在0.86秒内对加密输入和加密权重进行评估。
2017-10-01 cs.CR
Snort Intrusion Detection System with Intel Software Guard Extension (Intel SGX)
网络功能虚拟化（NFV）通过将网络中间盒外包给公共云或私有云，承诺降低基础设施、人员和管理成本的好处。不幸的是，在云中运行网络功能会带来安全挑战，特别是对于复杂的有状态服务。在本文中，我们介绍了我们使用英特尔软件防护扩展（英特尔SGX）技术强化中间盒之王-入侵检测系统（IDS）的经验。我们的IDS使用英特尔SGX进行保护，称为SEC-IDS，是一个未经修改的Snort 3，具有DPDK网络层，可实现10 Gbps的线路速率。SEC-IDS通过在英特尔SGX安全区内运行所有Snort代码来保证计算完整性。同时，SEC-IDS通过将网络I/O保留在安全区之外，实现了接近本机的性能，吞吐量接近vanilla Snort 3的100%。我们的实验表明，性能仅受当前基于英特尔SGX Skylake的E3 Xeon平台上提供的适度飞地页面缓存大小的限制。最后，我们通过使用Graphene-SGX库操作系统将移植工作量降至最低。Snort中仅修改了27行代码（LoC），而Graphene-SGX本身仅修改了178行代码。
2018-02-01 cs.CR cs.NI
Concealer: SGX-based Secure, Volume Hiding, and Verifiable Processing of Spatial Time-Series Datasets
本文提出了一个名为Concealer的系统，该系统允许共享时变空间数据（例如，如由传感器产生的）以加密的形式提供给不可信的第三方服务提供商，以向用户提供基于位置的应用（涉及在时间窗口上对所选区域的聚集查询）。Concealer利用精心选择的加密技术来使用数据库系统支持的索引，并结合添加伪元组的方法，以实现一个有效的系统，防止基于输出大小的泄漏。因此，隐蔽器的设计克服了现有对称可搜索加密（SSE）技术的两个限制：（i）它避免了限制SSE在大规模部署中的可用性/实用性的专用数据结构的需要，以及（ii）它避免了基于输出大小的信息泄漏，这可能泄漏数据分布。实验结果验证了所提出的算法在空间时间序列数据集（从智能空间收集）和TPC-H数据集上的效率，每个数据集都有1.36亿行，以前的方法还没有扩展到这样的大小。
2021-02-10 cs.CR cs.DB cs.DC
Supporting Intel(r) SGX on Multi-Package Platforms
本文指出为在多封装平台上支持用户可编程、可扩展至云应用且安全高性能的 SGX TEE，需进行额外的平台增强，以推动机密云计算新范式。
2025-07-10 cs.CR cs.DC
Sanctorum: A lightweight security monitor for secure enclaves
飞地已经成为实现可信执行环境的一个特别引人注目的基本要素：在一个基本上不可信的软件环境中，高度隔离的敏感用户模式进程。虽然各种飞地系统采用的威胁模型不同，但它们提供的高级保证基本上是相同的：飞地初始状态的证明，以及在对手存在的情况下飞地完整性和隐私的保证。这项工作描述了Sanctorum，一个小型的可信代码库（TCB），由一个通用的飞地功能系统组成，足以实现类似于英特尔SGX提供的原语的安全飞地。虽然飞地可以通过无条件信任的硬件和微代码实现，正如SGX中的情况一样，但我们采用了一个较小的TCB，主要由经过认证的特权软件组成，可以根据需要进行更换或修补。Sanctorum在满足基线安全要求的有序多处理器系统上实现了一个经过正式验证的通用飞地规范，例如，MIT Sanctum处理器和Keystone飞地框架。Sanctorum需要可靠的硬件，包括随机数生成器、通过安全自举协议导出的私有加密密钥对以及用于保护敏感信息的鲁棒隔离原语。Sanctorum的威胁模型由隔离原语的威胁模型提供信息，适用于向各种处理器系统添加安全区。
2018-12-27 cs.CR
A practical approach for updating an integrity-enforced operating system
可信计算定义了如何安全地测量、存储和验证控制计算机的软件的完整性。使它们难以在实践中应用的主要挑战之一是软件更新问题。具体地，操作系统更新导致完整性违反，因为它改变了远程验证器（例如完整性监视系统）所信任的公知初始状态。因此，远程计算机的完整性监控由于大量的误报而变得不可靠。我们通过在操作系统和软件存储库之间添加额外的间接层来解决这个问题。我们提出了一个可信的软件存储库（TSR），一个安全的代理，克服了以前的方法的缺点，通过消毒软件包。清理包括修改不安全的安装脚本和添加数字签名，以使软件包可以安装在操作系统中，而不会破坏其完整性。TSR利用屏蔽执行，即，英特尔SGX，实现净化过程的机密性和完整性保证。TSR对包管理器是透明的，并且不需要在软件包构建和分发过程中进行任何更改。我们的评估表明，在SGX内部运行TSR是可行的，因为与没有SGX的本机执行相比，它在包清理期间仅引起约1.18倍的性能开销。TSR支持Alpine Linux的主要和社区存储库中99.76%的可用软件包，同时将总存储库大小增加了3.6%。
2021-01-05 cs.CR
Privado: Practical and Secure DNN Inference with Enclaves
Microsoft Research（微软研究院）；UC Berkeley（加州大学伯克利分校）
云提供商正在扩展对英特尔SGX等可信硬件原语的支持。与此同时，深度学习领域也出现了巨大的创新，采用率也在增加。在本文中，我们适时地提出了一个问题：“第三方云服务能否使用英特尔SGX安全区来提供实用且安全的DNN推理即服务？“我们首先证明了在飞地内执行的DNN模型容易受到基于访问模式的攻击。我们表明，通过简单地观察访问模式，攻击者可以对MNIST和CIFAR 10数据集的加密输入进行分类，其攻击准确率分别为97%和71%，训练模型的原始准确率分别为99%和79%。这激发了对PRIVADO的需求，PRIVADO是我们为安全、易于使用和性能高效的推理即服务而设计的系统。PRIVADO是不注意输入的：它将用C/C++编写的任何深度学习框架转换为不受依赖于输入的访问模式的影响，从而消除了泄漏。PRIVADO是完全自动化的，TCB很低：开发人员无需付出任何努力，给定模型的ONNX描述，它可以生成紧凑和安全区兼容的代码，可以部署在SGX云平台上。PRIVADO带来的性能开销低：我们使用PRIVADO与火炬框架，并显示其开销平均为17.18%的11个不同的当代神经网络。
2019-09-05 cs.AI cs.CR cs.CV
TruSDN: Bootstrapping Trust in Cloud Network Infrastructure
软件定义网络（Software-Defined Networking，SDN）是一种新型的云网络基础设施架构模型，可提高资源利用率、可扩展性和管理能力。SDN部署越来越依赖于在具有大代码库的商品操作系统上执行的虚拟交换机，这是攻击网络基础设施的对手的主要目标。我们描述并实现了TruSDN，这是一种使用英特尔Software Guard Extensions（SGX）在SDN基础设施中引导信任的框架，允许安全地部署SDN组件并保护网络端点之间的通信。我们引入了短暂的流特定的预共享密钥，并提出了一种新的防御布谷鸟攻击的SGX飞地。TruSDN在强大的对手模型下是安全的，性能开销很小。
2017-02-14 cs.CR cs.NI
Blockchain-based Federated Learning with Secure Aggregation in Trusted Execution Environment for Internet-of-Things
针对工业物联网联邦学习中本地模型易被篡改的问题，提出结合区块链与 Intel SGX TEE 的安全聚合框架，通过可信执行、共识验证和分布式账本保障全局模型完整性，并以多组 CNN 与数据集实验评估性能。
2023-04-25 cs.AI cs.CR
Secure and Efficient Trajectory-Based Contact Tracing using Trusted Hardware
COVID-19大流行促使采取技术措施控制疾病传播。私人接触追踪（PCT）是实现这一目的的有前途的技术之一。然而，最近提出的基于蓝牙的PCT在功能和灵活性方面有几个限制。现有的系统仅能够检测直接接触（即，人-人接触），但不能检测间接接触（即，人-物体，例如通过表面传播的疾病）。此外，风险接触的规则不能随环境情况和病毒性质而灵活改变。在本文中，我们提出了一个安全和有效的基于密码的PCT系统使用可信的硬件。我们正式的基于密码学的PCT作为一个推广的研究私有集相交（PSI），这主要是基于加密原语，因此不足。我们通过利用英特尔SGX等可信硬件并设计新颖的算法来实现安全、高效和灵活的PCT系统，从而解决了这一问题。实验结果表明，该系统具有较高的性能和可扩展性。具体来说，我们的系统（一台配备英特尔SGX的机器）可以在几秒钟内处理数千条关于1亿条轨迹数据记录的查询。
2020-11-04 cs.CR cs.DB
Twine: An Embedded Trusted Runtime for WebAssembly
WebAssembly是一种越来越流行的轻量级二进制指令格式，可以有效地嵌入和沙箱。像C、C++、Rust、Go和许多其他语言都可以编译成WebAssembly。本文介绍了Twine，一个WebAssembly可信运行时，旨在执行未经修改的，语言无关的应用程序。我们利用英特尔SGX构建运行时环境，无需处理特定于语言的复杂API。虽然SGX硬件在处理器内提供安全执行，但Twine提供嵌套在SGX安全区内的安全沙箱软件运行时，具有WebAssembly系统接口（WASI），可与未经修改的WebAssembly应用程序兼容。我们使用大量的通用基准测试和实际应用程序来评估Twine。特别是，我们使用Twine实现了一个安全、可信的SQLite版本，SQLite是一个众所周知的成熟的嵌入式数据库。我们相信，这样一个可信的数据库将是构建许多大型应用程序服务的合理组件。我们的评估表明，SQLite可以通过WebAssembly和现有系统接口在SGX飞地内完全执行，具有类似的平均性能开销。我们估计，所测量的性能损失在很大程度上被额外的安全保证及其与标准WebAssembly的完全兼容性所补偿。对我们的结果进行深入分析表明，通过修改一些底层库可以大大提高性能。我们描述并实现了这样的修改的文件，显示了$4.1\times$加速。Twine是开源的，可在GitHub上获得，并附有重现我们实验的说明。
2021-09-01 cs.CR cs.DC cs.PF
CYCLOSA: Decentralizing Private Web Search Through SGX-Based Browser Extensions
通过定期查询Web搜索引擎，用户（无意识地）在搜索查询中披露了大量个人数据，其中一些可能会披露敏感信息（例如健康问题、性、政治或宗教偏好）。存在允许用户查询搜索引擎同时改进隐私保护的若干解决方案。然而，这些解决方案受到许多限制：一些受到用户重新识别攻击，而另一些则缺乏可扩展性或无法提供准确的结果。本文介绍了CYCLOSA，一个安全的，可扩展的和准确的私人Web搜索解决方案。CYCLOSA依靠英特尔SGX提供的可信执行环境（TEE）提高安全性。此外，CYCLOSA提出了一种新颖的自适应隐私保护解决方案，降低了用户重新识别的风险。CYCLOSA向搜索引擎发送虚假查询，并根据用户查询的敏感性动态调整其计数。此外，CYCLOSA满足可扩展性，因为它是完全分散的，分散了在其他节点之间分发假查询的负载。最后，CYCLOSA实现了Web搜索的准确性，因为它分别处理真实查询和虚假查询，与其他现有的解决方案相比，混合虚假和真实的查询结果。
2018-07-27 cs.CR cs.DC
SecScale: A Scalable and Secure Trusted Execution Environment for Servers
针对现有TEE难以兼顾可扩展性与重放保护的问题，提出SecScale，利用推测执行、MAC森林和全内存加密，在通用硬件上实现可扩展且安全，性能比竞品快10%。
2024-07-18 cs.AR cs.CR
SecureCloud: Secure Big Data Processing in Untrusted Clouds
我们提出了SecureCloud EU Horizon 2020项目，其目标是启用新的大数据应用程序，这些应用程序使用云中的敏感数据，而不会影响数据安全和隐私。为此，SecureCloud设计和开发了一个分层架构，允许（i）安全创建和部署安全微服务;（ii）将单个微服务安全集成到成熟的大数据应用程序;以及（iii）在不受信任的云环境中安全执行这些应用程序。为了提供安全保证，SecureCloud利用了最近商品CPU中存在的新颖安全机制，特别是英特尔的Software Guard Extensions（SGX）。SecureCloud将此架构应用于智能电网环境中的大数据应用程序。我们描述了SecureCloud方法、初步结果和考虑的用例。
2018-05-04 cs.CR cs.DC
SERVAS! Secure Enclaves via RISC-V Authenticryption Shield
隔离是软件安全的一个长期挑战。传统的特权环和虚拟内存越来越多地被诸如能力、保护密钥和强大的飞地之类的概念所增强。与此同时，我们正在证明对物理保护的需求增加，转向全内存加密方案。这导致了各种安全机制的复杂相互作用，增加了系统架构师和安全分析师的负担。在这项工作中，我们解决了一个新的隔离原语称为authenticryption盾，统一了传统和先进的隔离策略，同时提供未来的可扩展性的挑战。在核心，我们建立在一个认证的内存加密方案，提供加密隔离保证，从而简化了安全推理。我们通过设计和原型制作SERVAS来展示我们方法的多功能性-这是一种针对RISC-V的创新飞地架构。与当前的飞地系统不同，SERVAS促进了高效和安全的飞地内存共享。虽然内存加密构成了主要的开销，但进入或退出SERVAS安全区仅需要3.5倍的简单系统调用，而不是英特尔SGX的71倍。
2021-05-07 cs.CR
Enjoy the Untrusted Cloud: A Secure, Scalable and Efficient SQL-like Query Framework for Outsourcing Data
虽然云的安全性仍然是一个问题，但一种常见的做法是在外包数据之前对其进行加密。一个关键的挑战性问题是如何有效地执行查询的密文。传统的基于密码的解决方案，例如部分/完全同态加密和可搜索加密，遭受低性能、差表达性和弱兼容性。一种利用硬件辅助的可信执行环境的替代方法，即，英特尔SGX最近出现了。一方面，这些工作缺乏对多个数据用户的可扩展访问控制的支持。另一方面，现有的解决方案受到密钥撤销问题和知识提取器的漏洞。在这项工作中，我们利用新的硬件辅助方法，并提出了一个安全，可扩展和高效的SQL类查询框架命名为QShield。QShield基于英特尔SGX构建，可以保证敏感数据在不受信任的云平台上处理时的机密性和完整性。此外，我们提出了一种新的轻量级秘密共享方法，使多用户访问控制在QShield，同时解决密钥撤销问题。此外，通过额外的信任证明机制，QShield保证了查询的正确性，并大大提高了构建知识提取器的可能性。我们实现了QShield的原型，并表明QShield的性能成本最低。
2019-12-18 cs.CR cs.DB cs.DC
Pushing the Limits of Encrypted Databases with Secure Hardware
加密数据库已经被研究了10多年，并迅速成为云计算的关键技术。现有技术的当前状态是使用属性保持加密技术（例如，确定性加密）以保护数据的机密性并同时支持查询处理。不幸的是，这些技术有许多局限性。最近，可信计算平台（例如，英特尔SGX）已经成为实现加密数据库的替代方案。本文展示了该技术的一些漏洞和局限性，但也展示了如何最好地利用它来提高机密性，功能性和性能。
2018-09-07 cs.CR cs.DB
Secure and Privacy-Aware Data Dissemination for Cloud-Based Applications
在本文中，我们提出了一个数据传播平台，支持数据的安全性和不同的隐私级别，即使平台和数据托管在不可信的基础设施。拟议的系统旨在启用使用现成可信平台（在这种情况下，英特尔SGX）的应用程序生态系统，以便用户可以允许或禁止第三方以特定的敏感度级别访问实时数据流。此外，这种方法不需要用户直接管理加密密钥。我们的实验表明，这种方法确实适用于中等规模的系统，其中参与者一次传播少量数据，例如在智能电网和物联网环境中。
2018-03-02 cs.CR cs.DC
DuetSGX: Differential Privacy with Secure Hardware
差分隐私为个人提供了正式的隐私保证，但许多差异隐私系统的部署需要可信的第三方（数据管理者）。我们提出DuetSGX，这是一个使用安全硬件（英特尔的SGX）的系统，可以消除对可信数据管理员的需求。数据所有者提交的加密数据只能在运行DuetSGX系统的安全区域内解密，确保敏感数据永远不会提供给数据管理者。分析师提交用Duet语言编写的查询，该语言专门用于验证程序是否满足差分隐私; DuetSGX使用Duet类型检查器在运行前验证每个查询是否满足差分隐私。因此，DuetSGX同时提供了本地差分隐私和中央差分隐私的好处：噪音只会添加到最终结果中，不存在可信的第三方。我们已经实现了DuetSGX的概念验证实现，并将其作为开源发布。
2020-10-20 cs.CR cs.DB
Confidential Computing for Cloud Security: Exploring Hardware based Encryption Using Trusted Execution Environments
本文研究基于可信执行环境（如Intel SGX和ARM TrustZone）的机密计算，分析其架构、安全特性、部署策略及性能，论证其在保护使用中数据和强化云安全基础设施中的核心作用。
2025-11-06 cs.CR cs.LG
Type-Directed, Secure-by-Construction Enclave Partitioning for LLVM
University of Massachusetts Lowell（马萨诸塞大学洛厄尔分校）
针对LLVM手动分区TEE应用的缺陷，提出类型驱动的SIR到SIREN编译工具SPLITR，可自动生成安全飞地程序，在Intel SGX上评估OpenSSL等 workload时能减少转换次数并接近原生性能。
2026-09-03 cs.CR cs.PL
Phoenix: Towards Persistently Secure, Recoverable, and NVM Friendly Tree of Counters
新兴的非易失性存储器（NVM）给安全社区带来了独特的挑战，即持久安全。由于基于NVM的存储器预计在恢复后恢复其数据，因此也必须恢复安全元数据。但是，在每次内存写入时持久化所有受影响的安全元数据将显著降低性能并加剧写入耐久性问题。此外，当不严格更新安全元数据时，恢复时间可能会显著增加（对于实际内存大小，可达数小时）。计数器树用于现有技术的商业安全处理器中，例如，英特尔安全防护扩展（SGX）。计数器树有一个独特的挑战，由于无法恢复整个树的叶子。因此，为了确保可恢复性，对树的所有更新都必须持久化，这可能是每次写入时的数十次额外写入。最先进的方案Anubis实现了可恢复性，但每次缓存回收都会导致额外的写入，即，寿命缩短了一半左右。此外，Anubis在许多情况下会显着降低性能。在本文中，我们提出凤凰，一个实用的新计划，它依赖于优雅地再现崩溃前的缓存内容，但以最小的开销。我们的评估结果表明，与没有恢复的加密系统相比，Phoenix将持久性安全元数据开销写入从87%的额外写入（对于Anubis）减少到少于回写，从而将NVM生命周期提高了2倍。Phoenix的总体性能优于基准，不像Anubis增加了7.9\%（最大35\%）的性能开销。
2019-11-05 cs.CR
SoK: Opportunities for Software-Hardware-Security Codesign for Next Generation Secure Computing
用户要求提高数据安全性。因此，安全性正迅速成为下一代计算系统中的一阶设计约束。研究人员和实践者正在探索各种安全技术以满足用户需求，诸如可信执行环境（例如，Intel SGX、ARM TrustZone）、同态加密和差分隐私。每种技术都提供了一定程度的安全性，但在威胁覆盖范围、性能开销以及实施和部署挑战方面有所不同。在本文中，我们提出了一个系统化的知识（SoK），这些设计考虑和权衡使用几个突出的安全技术。我们的研究揭示了\textit{software-hardware-security}协同设计的需要，以实现高效和有效的解决方案，保护用户数据。特别是，我们探讨如何跨应用程序，硬件和安全机制的设计考虑必须结合起来，以克服当前技术的根本限制，使我们可以最大限度地减少性能开销，同时实现足够的威胁模型覆盖。最后，我们提出了一套指导方针，以促进这些安全计算技术付诸实践。
2021-05-02 cs.AR cs.CR
Distributed systems and trusted execution environments: Trade-offs and challenges
计算机系统中的安全和隐私问题随着连接设备的普遍存在而变得越来越重要。TEE基于硬件内置的的密码构造提供安全保证。特别是英特尔软件防护扩展（SGX），它实现了强大的机制，可以保护敏感数据，即使是对系统软件具有完全控制权的特权用户也可以保护。在这项工作中，我们主要探讨了使用英特尔SGX作为基石设计安全分布式系统所面临的一些挑战。我们这样做的设计和实验评估几个基本的系统，从通信和处理中间件的对等隐私保护的解决方案。我们从自然适合云部署场景的支持系统开始，即基于内容的路由，路由和流处理框架。我们实现了原型，并使用它们来分析SGX固有的内存使用问题。接下来，我们的目标是保护非常敏感的数据：加密密钥。通过利用TEE，我们设计的组数据共享协议，具有较低的计算复杂性比传统的方法。作为奖励，我们的建议允许大量节省元数据量和加密操作的处理时间，所有这些都具有同等的安全保证。最后，我们提出了隐私保护系统对既定的服务，如网络搜索引擎。我们的评估表明，我们提出了最强大的系统相比，现有的解决方案，用户重新识别率和结果的准确性在一个可扩展的方式。总的来说，本论文提出了新的机制，利用分布式系统架构的TEE。我们通过基于英特尔SGX的实证方法展示了应用于分布式通信和处理、加密协议和私有Web搜索的不同设计的利弊。
2020-03-11 cs.CR cs.DC cs.PF
undeSErVed trust: Exploiting Permutation-Agnostic Remote Attestation
将数据和计算转移到云端的持续趋势遇到了有关隐私和知识产权保护的问题。云服务提供商（CSP）必须得到充分信任，不会篡改或泄露处理过的数据，从而阻碍了许多敏感或关键应用程序采用云服务。因此，CSP和CPU制造商正急于寻找云中安全外包计算的解决方案。虽然像英特尔SGX这样的安全区在吞吐量和大小方面受到很大限制，但AMD的安全加密虚拟化（SEV）提供了硬件支持，可以透明地保护整个虚拟机的代码和数据，从而消除安全区的性能、内存和软件适配障碍。通过引导代码完整性的证明和用于将秘密安全地传输到加密的VM中的手段，CSP被有效地从可信实体的列表中移除。已经存在对SEV的安全性的几种攻击，通过滥用I/O通道来加密和解密数据，或者通过在运行时移动加密的代码块。然而，这些攻击都没有针对证明协议，这是SEV创建的安全计算环境的核心。我们发现，Zen 1和Zen 2架构的当前认证机制存在一个重大缺陷，允许我们在不影响认证结果的情况下操作加载的代码。攻击者可能会滥用这个弱点在启动时注入任意代码，从而控制整个VM的执行，而不向VM的所有者发出任何指示。我们的攻击原语允许攻击者对引导加载程序和操作系统进行广泛的修改，例如注入间谍代码或提取秘密数据。我们提出了一个完整的端到端攻击，从最初的利用到在引导过程中泄露加密磁盘映像的密钥，使攻击者可以不受限制地访问VM的所有持久性数据。
2021-06-29 cs.CR
SPX: Preserving End-to-End Security for Edge Computing
除了点解决方案之外，边缘计算的愿景是使Web服务能够在移动网络边缘的多租户基础设施中部署其边缘功能。然而，由于一个关键问题，边缘函数可能变得无用：Web服务是通过端到端加密连接交付的，因此边缘函数无法在不影响安全性或降低性能的情况下对加密流量进行操作。解决这个问题的任何解决方案都必须与TLS等现有协议以及客户端和物联网设备的新兴安全协议进行互操作。边缘功能必须对客户端端点保持不可见，但可能需要来自其服务端Web服务的显式控制。最后，解决方案必须在不影响边缘优势的开销利润范围内运行。为了解决这个问题，本文提出了SPX -边缘就绪和端到端安全协议扩展的解决方案，它可以有效地维护端到端的边缘到端（$E^3$）的安全语义。使用我们的SPX原型，我们允许边缘函数对加密流量进行操作，同时确保安全协议的安全语义仍然有效。SPX使用英特尔SGX将通信通道与远程认证绑定，并提供一种解决方案，不仅可以防御潜在的攻击，还可以降低性能开销，既不要求最终用户进行任何更改，也不破坏与现有协议的互操作性。
2018-09-24 cs.CR
Domain Page-Table Isolation
现代应用程序通常由不同的安全域组成，这些安全域需要相互隔离。虽然存在几种解决方案，但它们中的大多数依赖于专用硬件、硬件扩展或需要应用程序的效率较低的软件工具。在本文中，我们提出了域页表隔离（DPTI），一种新的机制，硬件强制执行的安全域，可以很容易地用于商品现成的CPU。DPTI使用两种新颖的技术，在安全关键点对内存隔离进行动态的、有时间限制的更改，称为内存冻结和存储。我们在两种情况下展示了DPTI的多功能性和有效性：首先，DPTI冻结或隐藏内存，以支持比最先进的seccomp-bpf更快，更细粒度的系统调用过滤。通过提供内存安全保证，DPTI甚至可以安全地支持深度参数过滤，例如字符串比较。其次，DPTI冻结或隐藏内存，以有效地限制潜在的不受信任的SGX飞地，在提供相同安全保证的同时，性能比现有解决方案高出14.6%-22%。我们的研究结果表明，DPTI是一种可行的机制，可以使用现代CPU上现有的机制来隔离应用程序中的域，而不依赖于特殊的硬件指令或扩展
2021-11-21 cs.CR
End-to-End Security for Distributed Event-Driven Enclave Applications on Heterogeneous TEEs
本文提出一个集成开源框架，基于异构TEE扩展安全原语，在较小可信计算基上保障分布式事件驱动应用端到端的真实性、完整性、机密性与可用性。
2023-06-29 cs.CR
Red-Teaming Claude Opus and ChatGPT-based Security Advisors for Trusted Execution Environments
Virginia Tech（弗吉尼亚理工大学）；The University of Texas at Dallas（德克萨斯大学达拉斯分校）
针对TEE安全顾问角色下的LLM助手（ChatGPT-5.2和Claude Opus-4.6），提出TEE-RedBench评估方法，发现提示诱导的失败可跨模型迁移（最高12.02%），并通过LLM-in-the-loop流水线减少80.62%的失败。
2026-05-26 cs.AI cs.CR
Do Not Trust Power Management: A Survey on Internal Energy-based Attacks Circumventing Trusted Execution Environments Security Properties
本文首次系统综述了自2015年以来利用能量管理机制绕过TEE安全保证的内部能量攻击，分析故障、侧信道和隐蔽信道攻击及现有防护措施的不足，以推动社区进一步研究。
2024-10-04 cs.AR cs.CR cs.ET
Building Your Own Trusted Execution Environments Using FPGA
本文提出 BYOTee，利用商用 FPGA 按需构建具有可定制硬件 TCB 的多个安全飞地，并支持软硬件栈远程证明，实验验证了其安全与性能。
2024-05-11 cs.CR
TEEMon: A continuous performance monitoring framework for TEEs
可信执行环境（TEE），如英特尔Software Guard eXtensions（SGX），被认为是解决云安全挑战的一种有前途的方法。TEE通过提供一个隔离的安全存储区，即，飞地安全性保证由CPU提供，因此即使系统软件受到危害，攻击者也永远无法访问安全区的内容。虽然这种方法确保了应用程序的强大安全性保证，但它也引入了相当大的运行时开销，部分原因是受保护内存（飞地页面缓存）的可用性有限。目前，只有数量有限的基于TEE的应用程序的性能测量工具存在，没有提供在运行时的性能监控和分析。本文介绍了TEEMon，第一个连续的性能监测和分析工具，基于TEE的应用程序。TEEMon不仅在运行时提供细粒度的性能指标，而且还帮助分析识别性能瓶颈的原因，例如，过多的系统调用。我们的方法与现有的开源工具（例如，Prometheus或Grafana）提供了一个整体监控解决方案，特别针对通过Docker容器或Kubernetes部署的系统进行了优化，并提供了几个专用的指标和可视化。我们的评估表明，TEEMon的开销范围从5%到17%。
2020-12-11 cs.CR cs.DC cs.PF
Verifiable, Efficient and Confidentiality-Preserving Graph Search with Transparency
本文针对加密图搜索方案 PeGraph 缺乏透明性、计算开销大且不支持动态数据库和验证的问题，提出 SecGraph 和 VSecGraph，利用 SGX、LDCF 编码 XSet 与 Twin-TSet 实现高效、透明且可验证的动态加密图搜索。
2025-03-13 cs.CR cs.DB
Remote attestation of SEV-SNP confidential VMs using e-vTPMs
本文提出基于 SEV-SNP 隔离机制的无状态临时 e-vTPM，使机密虚拟机在不信任云提供商的前提下获得私有、隔离的硬件 RoT 虚拟化与远程证明能力。
2023-06-25 cs.CR cs.OS
