Formally Verified Hardware/Software Co-Design for Remote Attestation
在这项工作中，我们采取了形式化验证的远程证明（RA）的第一步，通过设计和验证的架构称为VRASED：可验证的远程证明简单的嵌入式设备。VRASED实例化了针对低端嵌入式系统的混合（硬件/软件）RA协同设计，例如，简单的物联网设备。VRASED提供了与基于硬件的方法相当的安全级别，同时依赖于软件来最大限度地减少额外的硬件成本。由于安全属性必须由硬件和软件共同保证，因此验证是一项具有挑战性的任务，在RA的背景下从未尝试过。我们认为，VRASED是第一个正式验证的RA计划。据我们所知，这也是任何安全服务的硬件/软件实现的第一次形式化验证。为了证明VRASED的实用性和低开销，我们实例化和评估它的商品平台（TI MSP430）。VRASED的公开实现部署在Basys 3 FPGA上。
2019-05-24 cs.CR
WISE: Lightweight Intelligent Swarm Attestation Scheme for IoT (The Verifier's Perspective)
物联网（IoT）的日益普及通过将越来越多有吸引力的攻击目标（即嵌入式设备）连接到互联网来扩大攻击面。保护这些设备的一个关键组件是软件完整性检查，通常通过远程证明（RA）实现。RA被实现为交互式协议，由此可信方（验证器）验证潜在受损的远程设备（证明器）的软件完整性。在绝大多数物联网应用中，智能设备以集群方式运行，因此需要高效的集群认证方案。在本文中，我们提出了WISE，第一个智能群认证协议，旨在尽量减少通信开销，同时保持足够的安全性。WISE依赖于一种资源高效的智能广播身份验证方案，其中设备被组织在细粒度的多集群中，并且在需要时，最有可能受到攻击的设备会被证明。考虑到群中每个设备的证明历史和不同特征（和约束），智能地选择候选设备。我们表明，WISE非常适合资源受限的嵌入式设备，在异构物联网网络中具有高效率和可扩展性，并提供可调节的安全级别。
2018-11-18 cs.CR
SAFE^d: Self-Attestation For Networks of Heterogeneous Embedded Devices
物联网（IoT）是一种新兴的范例，允许设置小型和独立设备的大型网络。为了确保其完整性，从业人员采用所谓的远程证明（RA）计划。经典的RA方案需要一个中心的强大实体，称为验证者，它主要有两个职责：（i）管理整个证明过程，以及（ii）包含验证设备完整性的所有证据。然而，拥有一个中央验证器会使网络依赖于外部实体，并为安全性引入单点故障。在这项工作中，我们提出了SAFE^d：第一个允许一对物联网设备在不依赖外部验证器的情况下验证其完整性的RA模式。我们的方法通过在多个物联网设备之间传播证明并使用新的加密机制来确保安全通信，从而克服了以前的局限性。此外，整个物联网网络可以协同隔离被篡改的设备，并在异常情况下恢复丢失的证据。我们通过Raspberry Pi平台和网络模拟的实现来评估我们的方案。结果表明，SAFE^d可以检测到受感染的设备，并在故障或攻击的情况下恢复高达99.9%的证据。此外，我们设法保护了多达10K的设备，网络和设备内存上的开销为对数。
2019-12-12 cs.CR
FAARM: Firmware Attestation and Authentication Framework for Mali GPUs
Mawlana Bhashani Science and Technology University（莫拉纳·巴沙尼科技大学）
针对MOLE攻击利用Mali GPU固件验证缺失的问题，提出FAARM框架，在EL3安全监视器集成数字签名验证，实现固件认证与鉴权，平均验证延迟仅1.34毫秒，有效防御固件注入攻击。
2025-10-26 cs.CR
Tiny-CFA: A Minimalistic Approach for Control-Flow Attestation Using Verified Proofs of Execution
在过去的十年中，微型信任锚的设计受到了极大的关注，以保护无法负担昂贵安全机制的低端MCU。特别是，硬件/软件（混合）协同设计提供低硬件成本，同时保留类似的安全保证（更昂贵的）基于硬件的技术。混合信任锚在资源受限的MCU中支持安全服务，诸如远程证明、软件更新/擦除/重置的证明、远程软件执行的证明，MSP430和AVR AtMega 32。尽管取得了这些进展，但在低端MCU中检测控制流攻击仍然是一个挑战，因为最便宜的相关架构的硬件要求往往比MCU本身更昂贵。在这项工作中，我们通过设计Tiny-CFA来应对这一挑战-这是一种具有单一硬件要求的控制流证明（CFA）技术-能够生成远程软件执行（PoX）的证明。反过来，PoX可以在低端MCU中非常有效和安全地实现。因此，我们的设计实现了任何CFA架构的最低硬件开销（即，便宜两个数量级），同时依赖于正式验证的PoX架构作为其唯一的硬件要求。在运行时开销方面，Tiny-CFA还实现了比基于代码插装的先前CFA技术更好的性能。我们实现和评估Tiny-CFA，分析其安全性，并证明其实用性，使用现实世界中公开可用的应用程序。
2020-12-14 cs.AR cs.CR
WarpGuard: Towards Control-Flow Attestation for Heterogeneous CPU-GPU Execution
NVIDIA（英伟达）；University of Oxford（牛津大学）；University of Southampton（南安普顿大学）
针对异构CPU-GPU工作负载缺乏联合认证的问题，提出WarpGuard框架，通过扩展现有CFA技术，实现GPU内核运行时CFA及边界违规检测，经软件实现，评估表明能检测攻击且开销适中，适用于嵌入式安全关键场景。
2026-07-16 cs.CR
Laminator: Verifiable ML Property Cards using Hardware-assisted Attestations
本文提出Laminator框架，利用硬件辅助可信执行环境（TEEs）为ML属性卡（涵盖模型卡、数据表和推理卡）提供首个高效、可扩展且通用的可验证机制，以防止模型提供商伪造训练与推理属性信息。
2025-03-05 cs.CR
HYDRA: HYbrid Design for Remote Attestation (Using a Formally Verified Microkernel)
远程证明（RA）允许可信实体（验证者）安全地测量远程不可信硬件平台（证明者）的内部状态。RA可用于在嵌入式和网络物理系统中建立静态或动态信任根。它还可以用作其他安全服务和原语的构建块，例如软件更新和补丁，可验证删除和内存重置。RA设计主要分为三类：基于硬件的、基于软件的和混合的，每一类都有自己的优点和缺点。本文介绍了第一个混合RA设计，称为HYDRONIC，建立在正式验证的软件组件，确保内存隔离和保护，以及执行访问控制的内存和其他资源。HYDRONIC通过使用正式验证的seL4微内核获得这些属性。（到目前为止，这只能通过纯粹基于硬件的设计实现。使用seL4需要对底层微处理器进行更少的硬件修改。在经过正式验证的软件组件基础上进行构建，可以增加对HYDRONIC总体设计及其实现的安全性的信心。我们实例化HYDRONIC在两个商品硬件平台和评估的性能和开销，通过实验在这样的平台上执行RA，我们表明，HYDRONIC可以证明10MB的内存在不到500毫秒时，使用基于斑点的消息认证码（MAC）计算加密校验和的内存被证明。
2017-03-14 cs.CR
LightFAt: Mitigating Control-flow Explosion via Lightweight PMU-based Control-flow Attestation
本文提出 LightFAt，利用 PMU 读数与轻量级无监督 ML 分类器替代高开销密码哈希序列进行控制流证明，检测准确率超过 95%。
2024-04-04 cs.CR
DIALED: Data Integrity Attestation for Low-end Embedded Devices
在低端微控制器单元（MCU）中的软件执行的可重构完整性是众所周知的公开问题。核心挑战是如何以最小的开销安全地检测软件漏洞，因为这些MCU是为低成本、低能耗和小尺寸而设计的。最近的一些工作产生了廉价的硬件/软件协同设计，用于远程验证代码和执行完整性。特别是，提出了一种检测未经授权的代码修改和控制流攻击的方法，分别称为远程证明（RA）和控制流证明（CFA）。尽管取得了这一进展，但对仅数据攻击的检测仍然难以捉摸。这种攻击利用软件漏洞来破坏存储在数据存储器中的中间计算结果，既不改变程序代码也不改变其控制流。由于缺乏任何检测这些攻击的当前技术（用于低端MCU），在本文中，我们提出，实现和评估DIALED，这是第一个适用于资源受限的嵌入式设备（例如，TI MSP430）。DIALED与同伴CFA方案协同工作，以相当低的成本检测所有（目前已知）类型的运行时软件漏洞。
2021-03-24 cs.AR cs.CR
SRACARE: Secure Remote Attestation with Code Authentication and Resilience Engine
最近的技术进步使得小型嵌入式和物联网设备的使用激增，用于收集、处理和传输安全关键信息和用户数据。这种指数级的使用在最近复杂攻击的增长中起到了催化剂的作用，例如重放、中间人和恶意代码修改，以在恶意活动中隐藏、泄漏、调整或利用安全关键信息。因此，设备的安全通信和软件状态保证（在运行时和引导时）已经成为开放的安全问题。此外，这些设备需要具有适当的恢复机制，以使其恢复到已知良好的工作状态。以前的研究人员已经证明了独立的攻击检测和保护方法。然而，他们中的大多数缺乏提供车载系统恢复和安全通信技术。为了弥合这一差距，本文提出了SRACARE-一个框架，该框架利用自定义的轻量级安全通信协议执行远程/本地认证，并通过板载弹性恢复机制进行安全启动，以保护设备免受上述攻击。该原型采用了一个高效的轻量级，低功耗的32位RISC-V处理器，安全通信协议，代码认证和弹性引擎上运行的Artix 7现场可编程门阵列（FPGA）板。这项工作提出了性能评估和国家的最先进的比较结果，这表明有前途的弹性攻击，并展示了新的保护机制与板载恢复。该框架仅用8%的性能开销和非常小的硬件-软件占用空间增加来实现这些。
2021-01-15 cs.CR
ISC-FLAT: On the Conflict Between Control Flow Attestation and Real-Time Operations
物联网设备和网络物理系统（CPS）的广泛采用使得嵌入式设备变得越来越重要。虽然这些设备中的一些执行关键任务，但它们通常使用微控制器单元（MCU）实现，这些MCU缺乏与通用计算机相同的安全机制，使它们更容易受到远程攻击，从而破坏其软件完整性。受这个问题的启发，先前的工作已经提出了远程评估嵌入式MCU软件的可信度的技术。其中，控制流证明（CFA）能够远程检测在执行期间非法修改程序控制流的运行时滥用。尽管有这些进步，目前的CFA方法有一个基本的限制：它们排除了在执行被证明的软件操作期间的中断。简单地说，现有的CFA技术是不安全的，除非在MCU上禁用中断。另一方面，我们认为，缺乏可中断性可以掩盖CFA的有用性，因为大多数嵌入式应用程序依赖于中断处理异步事件的实时的【形】。为了解决这一限制，我们提出了中断安全控制流证明（ISC-FLAT）：一种CFA技术，与现有MCU兼容，并在不影响CFA报告真实性的情况下实现中断处理。与其他不需要自定义硬件修改的CFA技术类似，ISC-FLAT利用可信执行环境（TEE）（特别是，我们的原型构建在ARM TrustZone-M上）安全地生成不可伪造的CFA报告，而不会阻止应用程序处理中断。我们在ARM Cortex-M33 MCU上实现了一个功能齐全的ISC-FLAT原型，并证明与现有的基于TEE的CFA方法相比，它的运行时开销最小，不支持中断。
2023-03-07 cs.CR
D-MUTRA: DLT-based MUTual Remote Attestation for Multi-Agent Systems
sarl TAGES SOLIDSHIELD（TAGES SOLIDSHIELD有限责任公司）；IE School of Science and Technology（IE科学与技术学院）
针对多智能体系统传统远程证明的局限，本文提出基于区块链的D-MUTRA框架，实现智能体间的持续相互证明，可检测恶意软件修改，且扩展时开销可忽略。
2026-08-04 cs.CR
ACFA: Secure Runtime Auditing & Guaranteed Device Healing via Active Control Flow Attestation
针对现有控制流审计无法保证报告送达、缺乏漏洞定位与主动修复能力的问题，提出ACFA混合架构，实现连续监控、安全审计与保证修复，并在TI MSP430上验证其安全与低成本。
2023-10-19 cs.CR
KS-CFA: Control-Flow Attestation via Symbolic Replay Against Control-Flow Bending Attacks
Royal Holloway, University of London（伦敦大学皇家霍洛威学院）；Durham University（杜伦大学）
研究针对控制流弯曲攻击难检测问题，提出KS-CFA方案，结合符号执行与输入源控制流相关变量识别，在可信执行环境记录控制流跟踪和输入，验证器重放路径检测攻击，实现时证明端开销有倍数提升，验证无需枚举。
2026-07-10 cs.CR
SinClave: Hardware-assisted Singletons for TEEs
针对TEE远程证明中仅启动时度量易引发飞地复用攻击的问题，提出SinClave硬件辅助单例飞地机制，纳入密钥与文件系统度量以保障完整性，仅带来可忽略的运行开销。
2023-11-05 cs.CR
A TEE-Based Architecture for Confidential and Dependable Process Attestation in Authorship Verification
Writerslogic, Inc.（Writerslogic公司）
提出首个在可信执行环境(TEE)内进行连续过程证明证据收集的架构，通过硬件支持的防篡改和分级输入保证，解决信任反转对手下的可用性和安全性挑战。
2026-05-23 cs.AR cs.CR cs.OS
Teaching an Old Dog New Tricks: Verifiable FHE Using Commodity Hardware
本研究提出Argos方案，利用商用可信硬件为FHE添加可验证性，通过仅保障完整性、将证明密钥存于独立TPM规避侧信道风险，仅产生3%-8%的低开销，推动FHE协议在半诚实场景外的实际部署。
2025-03-24 cs.CR
Enabling Trustworthy Federated Learning via Remote Attestation for Mitigating Byzantine Threats
Virginia Tech（弗吉尼亚理工大学）
针对联邦学习易受拜占庭攻击、现有数据驱动防御误报率高的问题，提出基于远程证明的Sentinel方案，通过代码插桩和TEE可信记录器验证客户端训练完整性，在低开销下保障训练可信。
2025-08-30 cs.AI cs.CR
EnclaveScale: Hardware-Assisted Edge-DP for Secure Data Centre Power Telemetry
Van Lang University（万言大学）；Appota Group（Appota集团）；FPT Corporation（FPT公司）
提出EnclaveScale分布式硬件辅助遥测架构，通过后提取认证、差分隐私噪声注入和拜占庭拒绝机制，在32个GCP机密虚拟机上实现0%后提取攻击成功率，并利用边缘差分隐私将GPU瞬态转换为马尔可夫链转移矩阵，保护宏工作负载机密性。
2026-06-08 cs.CR
Proof of Cloud: Data Center Execution Assurance for Confidential VMs
Flashbots；Technical University of Munich（慕尼黑工业大学）；Imperial College London（伦敦帝国学院）
DCEA通过绑定CVM认证与TPM证据，提供数据中心可信执行的证明，防止代理攻击并确保隐私敏感工作负载的执行位置可验证。
2026-03-03 cs.CR cs.DC
One for All and All for One: GNN-based Control-Flow Attestation for Embedded Devices
Technical University of Darmstadt（达姆施塔特工业大学）；NVIDIA（英伟达公司）；University of Southampton（南安普顿大学）
针对现有控制流证明方案假设不切实际、嵌入式场景开销过高的问题，提出轻量方案RAGE，基于无监督GNN从单执行轨迹提取特征检测代码复用攻击，在多个基准上实现高检测准确率与低误报率。
2024-03-12 cs.CR cs.LG
RARES: Runtime Attack Resilient Embedded System Design Using Verified Proof-of-Execution
针对低端嵌入式设备资源受限、易遭恶意代码修改攻击且现有安全原语缺乏执行证明与恢复能力的问题，本研究提出轻量级RARES设计，通过自定义硬件控制寄存器实现攻击分类检测，搭配攻击防御与板载恢复机制，在Artix 7 FPGA上验证仅2.3%资源开销且有效。
2023-05-05 cs.AR cs.CR
OAT: Attesting Operation Integrity of Embedded Devices
由于IoT/CPS系统的广泛采用，嵌入式设备（IoT前端）变得越来越连接和关键任务，这反过来又吸引了高级攻击（例如，控制流劫持和仅数据攻击）。不幸的是，物联网后端无法检测到在从物联网设备接收数据、服务请求或操作状态时是否发生了此类攻击。因此，目前物联网后端被迫盲目信任与之交互的物联网设备。为了填补这一空白，我们首先制定了一个新的嵌入式设备的安全属性，称为“操作执行完整性”或OEI。然后，我们设计并构建了一个系统，OAT，使远程OEI认证基于ARM的裸金属嵌入式设备。我们的OEI公式捕获了操作执行中涉及的控制流和关键数据的完整性。因此，满足OEI需要操作执行不受现有证明方法无法检查的意外控制和数据操纵。我们的设计OAT罢工之间的证明者的约束（嵌入式设备的有限的计算能力和存储）和验证者的要求（完全可验证性和取证援助）的平衡。OAT使用了一种新的控制流测量方案，可以实现轻量级和空间高效的测量收集（与基于跟踪的方法相比，空间减少了97%）。OAT通过抽象执行完成远程控制流验证，具有快速、确定性强的特点。OAT还具有针对关键数据的轻量级完整性检查功能（比以前的工作减少了74%）。我们的安全分析表明，OAT允许远程验证器或物联网后端检测影响物联网设备上操作执行的控制流劫持和仅数据攻击。在我们使用真实嵌入式程序的评估中，OAT的运行时开销为2.7%。
2019-10-01 cs.CR
Poster: Control-Flow Integrity in Low-end Embedded Devices
本文针对低端嵌入式设备缺乏运行时安全的问题，在低成本主动信任根CASU基础上扩展影子栈和控制流完整性监视器，以抵御ROP等运行时攻击，证明以极小硬件开销即可在低端设备上实现CFI。
2023-09-20 cs.CR
Aegon: Auditable AI Content Access with Ledger-Bound Tokens and Hardware-Attested Mobile Receipts
Aegon通过扩展JWT令牌并维护证书透明度风格的Merkle树，实现可审计的AI内容许可，提供独立验证的交易记录，支持第三方审计和硬件认证的合规收据。
2026-04-08 cs.CR cs.CY
