Stockade: Hardware Hardening for Distributed Trusted Sandboxes
基于硬件的可信执行环境（TEE）的可用性不断扩大，加速了使用TEE的新应用程序的适应。最近的研究表明，云应用程序由相互不信任的各方提供的多个分布式软件模块组成。应用程序使用多个通过软件加密的内存通道进行通信的TEE（飞地）。这样的执行模型需要双向保护：通过沙箱化保护系统的其余部分不受飞地模块的影响，以及保护飞地模块不受第三方模块和操作系统的影响。然而，当前的TEE模型（如英特尔SGX）无法有效地表示此类分布式沙箱应用。为了克服沙箱TEE缺乏硬件支持的问题，提出了一种扩展的飞地模型Stockade，它支持硬件加固的分布式沙箱。Stockade提出了新的三个关键技术。首先，它扩展了SGX中基于硬件的内存隔离，将用户软件模块仅限制在其安全区内。其次，它提出了一个可信的监视器飞地，过滤和验证来自飞地的系统调用。最后，它允许在一对安全区之间共享硬件保护的内存，以实现高效的受保护通信，而无需基于软件的加密。使用模拟SGX平台与建议的扩展，本文表明，分布式沙箱应用程序可以有效地支持SGX硬件的小变化。
2022-12-22 cs.AR cs.CR
HermiCache: Enclave-Aware Cache Replacement for Trusted Execution Environments
ENSTA（法国国立高等先进技术学校）；Université Bretagne-Sud（南布列塔尼大学）
针对TEE缓存侧信道攻击，提出围栏感知缓存替换策略HermiCache，在RISC-V CVA6内核实现，面积开销仅6%，提供细粒度确定性保护。
2026-09-11 cs.AR cs.CR
Composite Enclaves: Towards Disaggregated Trusted Execution
不断增长的计算需求正在迫使从CPU转向异构专用硬件，这些硬件通过分散的基础设施在现代数据中心中随时可用。另一方面，可信执行环境（TEE），硬件安全领域最有前途的最新发展之一，只能保护限制在CPU中的代码，限制了TEE的潜力和适用性。我们观察到TEE的硬件可信计算基础（TCB）在设计时是固定的，这在实践中会导致使用不可信的软件来使用TEE中的外围设备。基于这一观察，我们提出了\emph{composite enclaves}与可配置的硬件和软件TCB，允许飞地访问多个计算和IO资源。最后，我们介绍了两个复合飞地的案例研究：i）基于RISC-V Keystone的FPGA平台连接到仿真外设和传感器，ii）大规模加速器。这些案例研究展示了一个灵活但小的TCB（IO外设和驱动程序为2.5 KLoC），具有低性能开销（上下文切换仅需约220个额外周期），从而证明了我们方法的可行性，并表明它可以与各种专用硬件一起工作。
2021-11-15 cs.AR cs.CR
BesFS: A POSIX Filesystem for Enclaves with a Mechanized Safety Proof
新的可信计算原语（如英特尔SGX）已经证明，在商用可信处理器上的安全区中运行用户级应用程序是可行的，无需信任大型操作系统。但是，操作系统仍然可以通过篡改系统调用返回值来损害安全区的完整性。事实上，已经表明，这些攻击的一个子类，称为Iago攻击，可以在飞地程序中执行任意逻辑。现有的飞地系统具有非常大的TCB，并且它们在系统调用接口处实现难以验证完整性的自组织检查。为此，我们提出了BesFS-第一个文件系统接口，可证明保护飞地完整性对一个完全恶意的OS。我们证明了167个引理和2个关键定理在4625行的Coq证明脚本，这直接证明了BesFS规范的安全属性。BesFS由15个具有组合安全性的API组成，并且具有足够的表达能力来支持我们测试的31个实际应用程序。BesFS集成到现有的SGX应用程序中，对TCB的影响最小。BesFS可以作为手工编码API检查的参考实现。
2019-09-20 cs.CR
EnclaveTree: Privacy-preserving Data Stream Training and Inference Using TEE
数据流上的分类服务正在成为云提供商的重要产品，但由于隐私问题，用户在提供敏感数据时可能会遇到障碍。虽然可信执行环境（TEE）是保护私有数据的有前途的解决方案，但它们仍然容易受到由数据相关访问模式引起的侧信道攻击的攻击。我们提出了一个隐私保护的数据流训练和推理方案，称为EnclaveTree，它为用户的数据和目标模型提供了保密性，以防止受到损害的云服务提供商。我们设计了一个基于矩阵的训练和推理过程来训练Hoeffding Tree（HT）模型，并在可信区域内对训练好的模型进行推理，从而有效地防止了基于访问模式的攻击。性能评估表明，EnclaveTree对于处理具有少量或中等特征的数据流是实用的。当二进制特征少于63个时，EnclaveTree在训练和推理上分别比naïve oblivious solution快${\thicksim}10{\times}$和${\thicksim}9{\times}$。
2022-03-02 cs.CR
On Securing the Software Development Lifecycle in IoT RISC-V Trusted Execution Environments
Ruhr University Bochum（鲁尔大学波鸿分校）；NEC Laboratories Europe（NEC欧洲实验室）；GMV Spain（GMV西班牙）
本文提出了一种新型工具包，使RISC-V TEE支持软件开发生命周期的关键功能，包括安全更新、迁移、状态连续性和可信时间，且性能开销极低。
2026-03-18 cs.CR
Building Your Own Trusted Execution Environments Using FPGA
本文提出 BYOTee，利用商用 FPGA 按需构建具有可定制硬件 TCB 的多个安全飞地，并支持软硬件栈远程证明，实验验证了其安全与性能。
2024-05-11 cs.CR
Migrating SGX Enclaves with Persistent State
英特尔Software Guard Extensions（SGX）等硬件支持的安全机制提供了强大的安全保障，这在云环境中尤为重要。然而，它们对物理硬件的依赖与云实践相冲突，例如在物理平台之间迁移VM。例如，SGX可信执行环境（飞地）被绑定到单个物理CPU。虽然先前的工作已经提出了一种有效的机制来迁移飞地的数据存储器，但它忽略了持久状态的迁移，包括密封数据和单调计数器;前者有数据丢失的风险，而后者破坏了SGX的安全保证。我们将展示如何利用这一点来发动攻击，然后提出一种改进的飞地迁移方法，保证持久状态的一致性。我们的纯软件方法支持可迁移的密封数据和单调计数器，维护所有SGX安全保证，最大限度地减少开发人员的工作量，并产生可忽略不计的性能开销。
2018-03-29 cs.CR
Elasticlave: An Efficient Memory Model for Enclaves
可信执行环境（TEE）（如英特尔SGX）将用户空间应用程序隔离到安全区域，而不信任操作系统。因此，TEE减少了可信计算基础，但会使速度降低一到两个数量级。性能成本源于严格的内存模型，我们称之为空间隔离模型，其中安全区不能彼此共享内存区域。在这项工作中，我们提出了Elasticlave--一种新的TEE内存模型，允许飞地选择性地和临时地与其他飞地和OS共享内存。Elasticlave消除了对昂贵的数据复制操作的需要，同时提供与空间模型相同的应用程序所需的安全性。我们在RTL设计的周期级RISC-V内核上对Elasticlave设计进行了原型设计，并观察到比使用相同处理器配置实现的空间模型性能提高了1到2个数量级。Elasticlave有一个小的TCB。我们发现，它的性能特点和硬件面积的足迹规模以及与共享内存区域的数量，它被配置为支持。
2020-10-16 cs.AR cs.CR
Bao-Enclave: Virtualization-based Enclaves for Arm
通用操作系统（GPOS），如Linux，包含数百万行代码。从统计学上讲，更大的代码库不可避免地会导致更多的潜在漏洞，从而使系统更容易受到攻击。为了最小化GPOS中的漏洞的影响，在GPOS的域之外实现安全敏感程序已经变得很常见，即，可信执行环境（TEE）Arm TrustZone是在Arm设备中实现TEE的事实上的技术。然而，在过去的十年中，TEE已被成功攻击数百次。不幸的是，这些攻击是可能的，因为基于TrustZone的TEE存在一些架构和实现缺陷。在本文中，我们提出了Bao-Enclave，一种基于虚拟化的解决方案，使OEM能够从TEE中删除安全功能，并将其移动到正常的隔离环境中，以轻量级虚拟机（VM）的形式免受潜在恶意操作系统的影响。我们在真实硬件平台上评估了Bao-Enclave，发现Bao-Enclave可以将安全敏感工作负载的性能提高高达4.8倍，同时显著简化TEE软件TCB。
2022-09-12 cs.CR
An Enclave-based TEE for SE-in-SoC in RISC-V Industry
SoC中的安全元件（SE）在工业中的采用越来越多。物联网设备中的许多应用程序都绑定到SE，因为它提供了强大的加密功能和物理保护。虽然SE-in-SoC为软件程序提供了强大的隔离，但它也给PCB板制造带来了更高的设计复杂性和成本。此外，SE-in-SoC可能仍然存在安全问题，例如恶意软件安装和用户冒充。在这项工作中，我们采用TEE，一种硬件支持的安全技术，用于保护SE in SoC和RISCV。特别是，我们构建了各种隔离应用程序和操纵SE的飞地，使用RISC-V提供的固有安全原语。使用硬件和软件协同设计，该解决方案确保了应用程序之间的可信执行和安全通信。通过强制SE由受信任的飞地控制并使RISC-V核心对侧信道攻击具有弹性，进一步保护了SE的安全性。
2022-08-07 cs.AR cs.CR
EncDBDB: Searchable Encrypted, Fast, Compressed, In-Memory Database using Enclaves
数据机密性是将数据库外包到云时客户的重要要求。可信执行环境（如英特尔SGX）为这种加密问题提供了高效的基于硬件的解决方案。现有的解决方案没有针对面向列的内存数据库进行优化，并且对安全区提出了不切实际的内存要求。我们提出了EncDBDB，一种新的方法，用于客户端控制的面向列的加密，内存中的数据库，允许使用飞地范围搜索。EncDBDB提供了九个加密字典，为数据提供不同的安全性，性能和存储效率权衡。它特别适合于复杂的、面向读取的分析查询，例如，如存在于数据仓库中。与纯文本处理相比，即使对于具有数百万条目的数据库，计算开销也在毫秒内，并且泄漏是有限的。压缩的加密数据比相应的明文列需要更少的空间。此外，安全区中产生的代码和数据非常小，减少了安全相关实现错误和侧通道泄漏的可能性。
2020-02-12 cs.CR
KingsGuard: Enclave Data Protection Under Real-World TEE Vulnerabilities
Indian Institute of Technology Madras（印度马德拉斯理工学院）；Indian Institute of Technology Bombay（印度孟买理工学院）
KingsGuard通过硬件监控和控制敏感数据在enclave内的传播，填补了TEE理想化威胁模型与实际实现之间的差距，同时通过受控脱密平衡安全与实用性。
2026-05-01 cs.CR
SmashEx: Smashing SGX Enclaves Using Exceptions
固件是一种商品硬件功能，它是多任务操作系统以及事件驱动的用户应用程序的核心。通常，OS通过将从硬件接收到的异常的语义提升到程序友好的用户信号和异常处理接口来辅助用户应用。但是，异常处理程序能否在用户安全区（例如英特尔SGX启用的安全区，安全区代码不信任操作系统）中安全运行？在本文中，我们介绍了一种名为SmashEx的新攻击，它利用SGX中的异步异常的OS飞地接口。它演示了该接口上所需的安全原子执行的基本属性的重要性。在原子性的情况下，我们表明，在SGX飞地异步异常处理是复杂的，容易重入漏洞。我们的攻击不假设安全区代码中的任何内存错误，侧通道或特定于应用程序的逻辑缺陷。我们具体展示了导致飞地私有内存任意泄露和飞地中代码重用（ROP）攻击的漏洞。我们在两个广泛使用的SGX运行时上显示了可靠的漏洞，即英特尔SGX SDK和Microsoft Open Enclave，分别运行OpenSSL和cURL库。我们总共测试了14个框架，包括英特尔SGX SDK和微软Open Enclave，其中10个框架存在漏洞。我们讨论了漏洞如何在基于SGX1和SGX2的平台上表现出来。我们为SmashEx提供了潜在的缓解和长期防御。
2021-10-13 cs.CR
QuanShield: Protecting against Side-Channels Attacks using Self-Destructing Enclaves
针对可信执行环境易受中断类侧信道攻击的问题，提出QuanShield系统，通过专用CPU核心无中断环境、飞地保存区作第二栈及编译器修改实现中断即自毁，有效提升攻击门槛且开销实用。
2023-12-19 cs.CR
Confidential Attestation: Efficient in-Enclave Verification of Privacy Policy Compliance
可信执行环境（TEE）（如英特尔软件防护扩展（SGX））运行远程证明，以向数据所有者证明安全区初始状态的完整性，包括对其数据进行操作的程序。为此，数据处理程序应该对所有者开放，因此在建立信任之前可以评估其功能。然而，越来越多的应用场景需要保护程序本身。因此，应该在不暴露其代码的情况下验证它是否符合数据所有者所期望的隐私策略。为此，本文提出了CAT，一个新的模型，基于TEE的机密证明。我们的模型受到Proof-Carrying Code的启发，其中代码生成器与代码一起生成证明，代码消费者验证代码是否符合安全策略。鉴于传统的解决方案在资源有限和TCB节俭的TEE下不能很好地工作，我们提出了一种新的设计，该设计允许不可信的外部飞地生成器在将程序编译成二进制文件时分析程序的源代码，并且可信的内部飞地消费者在运行二进制文件之前有效地验证仪器的正确性和其他保护的存在。我们的设计策略性地将大部分工作量转移到了代码生成器，它负责生成格式良好且易于检查的代码，同时保持用户的简单性。此外，整个消费者可以公开，并通过传统的证明进行验证。我们在英特尔SGX上实现了该模型，并证明它引入了TCB的一小部分。我们还彻底评估了它在微观和宏观基准测试以及实际应用中的性能，表明新设计在执行几类安全策略时只会产生很小的开销。
2020-07-20 cs.CR
HyperEnclave: An Open and Cross-platform Trusted Execution Environment
学术界和工业界已经提出了许多可信执行环境（TEE）。但是，其中大多数都需要特定的硬件或固件更改，并绑定到特定的硬件供应商（如Intel，AMD，ARM和IBM）。在本文中，我们提出了HyperEnclave，一个开放的和跨平台的基于进程的TEE，依赖于广泛可用的虚拟化扩展来创建隔离的执行环境。特别是，HyperEnclave旨在支持灵活的飞地操作模式，以满足各种飞地工作负载下的安全性和性能需求。我们提供enclave SDK，以便在HyperEnclave上运行现有的SGX程序，只需很少或根本不更改源代码。我们已经在AMD商用服务器上实施了HyperEnclave，并在一家世界领先的金融科技公司部署了该系统，以支持真实世界的隐私保护计算。对微基准测试和应用基准测试的评估表明，HyperEnclave的设计只引入了很小的开销。
2022-12-08 cs.AR cs.CR cs.OS
CURE: A Security Architecture with CUstomizable and Resilient Enclaves
提供可信执行环境（TEE）的安全体系结构对于从低端嵌入式设备到强大的云服务器的广泛范围的计算机系统来说已经是有吸引力的研究主题。这些体系结构的目标是在隔离的执行上下文中保护敏感服务，称为安全区。不幸的是，现有的TEE解决方案存在显著的设计缺陷。首先，它们遵循一种通用的方法，只提供单一的安全区类型，但是，不同的服务需要灵活的安全区，可以根据其需求进行调整。其次，它们不能有效地支持新兴应用程序（例如，机器学习即服务），这需要到外围设备的安全信道（例如，加速器）或多核的计算能力。第三，它们对高速缓存侧信道攻击的保护要么是事后的想法，要么是不切实际的，即，没有提供高速缓存资源和各个飞地之间的细粒度映射。在这项工作中，我们提出了CURE，第一个安全架构，它通过提供不同类型的飞地来解决这些设计挑战：（i）子空间飞地在所有执行特权级别提供垂直隔离，（ii）用户空间飞地为无特权应用程序提供隔离执行，（iii）自包含的飞地允许跨越多个特权级别的隔离执行环境。此外，CURE允许系统资源的独占分配，例如，外围设备、CPU核心或高速缓存资源到单个飞地。CURE需要最小的硬件更改，同时显著提高硬件辅助安全架构的最新技术水平。我们在基于RISC-V的SoC上实现了CURE，并在硬件和性能开销方面对我们的原型进行了全面评估。CURE对标准基准测试的几何平均性能开销为15.33%。
2020-10-29 cs.CR
A Hybrid Approach to Secure Function Evaluation Using SGX
一种用于两方安全函数评估（2 P-SFE）的协议旨在允许各方学习其私有输入的函数$f$的输出，而不泄漏更多。在某种意义上，这样的协议实现了一个可信的oracle，它计算$f$并将结果返回给双方。在过去的十年中，效率有了巨大的进步，但2 P-SFE协议对于大多数实时在线计算仍然不切实际，特别是在适度配置的设备上。英特尔的Software Guard Extensions（SGX）提供硬件保护的执行环境，称为安全区，可视为可信计算预言机。虽然SGX为安全计算提供了本机CPU速度，但以前的侧通道和微架构攻击已经证明了飞地的安全保证如何受到损害。在本文中，我们探讨了一种平衡的方法，以2 P-SFE的SGX使能的处理器，通过构建一个协议，用于评估$f$相对于分区的$f$。这种方法通过允许协议设计者选择应该在飞地内评估哪些组件，以及哪些组件通过标准加密技术来评估，从而减轻了飞地上的信任负担。我们描述了支持SGX的SFE协议（将飞地建模为Oracle），并为我们的设置形式化了最强可能的2 P-SFE概念。我们证明我们的协议符合这一概念时，正确实现。我们实现的协议，并将其应用到两个实际问题：隐私保护查询的数据库，和隐私保护导航的Dijkstra的算法的一个版本。我们的评估表明，我们的SGX使能的SFE方案的性能比基于混淆电路的SFE提高了38倍。最后，我们证明建模的飞地作为一个甲骨文实施保护已知的…
2019-05-06 cs.CR
Towards Memory Safe Python Enclave for Security Sensitive Computation
英特尔SGX Guard eXtensions（SGX）是一种硬件支持的可信执行环境（TEE），旨在保护安全敏感型应用程序。然而，由于安全区应用程序是用内存不安全的语言（如C/C++）开发的，因此SGX中没有消除传统的内存损坏。Rust-SGX是第一个为飞地开发人员提供内存语言的工具包。然而，Rust被认为是一种系统语言，并已成为并发应用程序和Web浏览器的正确选择。许多应用领域，如大数据，机器学习，机器人，计算机视觉，更常用Python程序设计语言开发。因此，Python应用程序开发人员无法从Intel SGX和rust-SGX等安全飞地中受益。为了填补这一空白，我们提出了Python-SGX，这是一个内存安全的SGX SDK，为飞地开发人员提供了一个内存安全的Python开发环境。其核心思想是通过解决以下关键挑战来在SGX中启用内存安全的Python语言：（1）定义内存安全的Python解释器（2）用安全的Python解释器替换Python解释器的不安全元素，（3）实现与非飞地Python应用程序相当的性能，以及（4）不向SGX中引入任何不安全的新代码或库。我们建议使用RPython编写的Python解释器PyPy构建Python-SGX，PyPy是Python的一个子集，并通过形式化验证，安全加固和内存安全语言来驯服PyPy中的不安全部分。我们已经实现了python-SGX，…
2020-05-12 cs.CR
Autonomous Membership Service for Enclave Applications
可信执行环境（Trusted Execution Environment）或飞地（Enclave）承诺保护不可信主机上外包计算的数据机密性和执行完整性。然而，将保护扩展到在物理上分离的主机上运行的分布式应用程序仍然是不平凡的。例如，当前的飞地供应模型阻碍了云应用的弹性。此外，仍然不清楚飞地进程如何验证是否存在使用相同代码库实例化的另一个并发运行的飞地进程，或者对这样的进程的数量进行计数。在本文中，我们寻求一个自治的会员服务飞地应用程序。应用程序所有者只需要参与实例化应用程序的第一个进程，而所有后续进程的委托和停用将由该应用程序的现有和活动进程管理。为了实现安全性和活性，我们的协议设计允许不公正的逐出成员组的非故障进程。我们在一个名为AMES的系统中实现了所提出的会员服务。我们的实验研究表明，AMES招致的开销为5% - 16%相比，香草飞地执行。
2019-05-15 cs.CR cs.DC
Towards a Trusted Execution Environment via Reconfigurable FPGA
可信执行环境（TEE）通过提供与系统其余部分隔离的环境，用于保护敏感数据并为安全关键型应用程序运行安全执行。然而，在过去的几年中，TEE已经被证明是薄弱的，因为无论是基于面向安全的硬件扩展（例如，Arm TrustZone）或求助于专用安全元素的漏洞被多次利用。在这个项目中，我们介绍了可信执行环境的需求（TEEOD），一种新的TEE设计，利用可编程逻辑（PL）的异构系统芯片（SoC）作为安全的执行环境。与其他TEE设计不同，TEEOD可以提供高带宽连接和物理片上隔离。我们针对Ultra 96-V2平台实施了一个概念验证（proof-of-concept，缩写为OOP）实施。所进行的评估表明，TEEOD可以同时托管多达6个飞地，每个飞地的资源使用率分别为总LUT、FF和BRAMS的7.0%、3.8%和15.3%。为了证明TEEOD在实际应用中的实用性，我们成功地运行了一个传统的开源比特币钱包。
2021-07-08 cs.AR cs.CR
SGX-LKL: Securing the Host OS Interface for Trusted Execution
现代CPU中对可信执行的硬件支持使租户能够在不受信任的云环境中保护其数据处理工作负载。用于可信执行的嵌入式系统必须依赖于到不可信主机OS的接口来使用外部资源，诸如存储、网络和其他功能。攻击者可能利用此接口泄漏数据或破坏计算。我们描述了SGX-LKL，一种用于在英特尔SGX飞地内运行Linux二进制文件的系统，该系统仅暴露最小的、受保护的和不经意的主机接口：该接口是（i）最小的，因为SGX-LKL在飞地内使用完整的库OS，包括文件系统和网络堆栈，这需要仅具有7个调用的主机接口;（ii）受保护，因为SGX-LKL透明地加密和完整性保护经由低级I/O操作传递的所有数据;以及（iii）不经意，因为SGX-LKL独立于应用工作负载执行主机操作。对于不经意的磁盘I/O，SGX-LKL使用加密的ext4文件系统和混洗的磁盘块。我们发现SGX-LKL以21%的开销保护了TensorFlow训练。
2020-01-20 cs.CR cs.OS
SoK: How Not to Architect Your Next-Generation TEE Malware?
除了英特尔的SGX技术，还有关于如何使用可信计算技术来掩盖恶意软件的长期讨论。过去的研究显示了利用Flicker，可信平台模块以及最近与飞地集成的恶意活动的示例方法。我们观察到两种模糊的恶意软件开发方法与SGX相关，将其详细信息系统化至关重要。一种方法是使用核心SGX生态系统来隐藏恶意软件;可能会影响大量系统。第二种方法是创建一个不遵守SGX基本假设的自定义飞地，使用这些不正确的假设创建恶意软件行为的演示代码;保持本地而不受任何影响。我们研究了恶意软件在现实世界中的目标和恶意软件规避的最新技术。我们提出了维护SGX辅助恶意软件和从反恶意软件机制中规避它的多种限制。这些限制使SGX飞地成为成功开展恶意软件活动的不佳选择。我们系统化了12个误解（神话），概述了使用SGX的过度恶意软件如何削弱恶意软件的现有能力。我们通过比较SGX对恶意软件的帮助与非SGX恶意软件（即，恶意软件在我们的文件中的野生）。我们的结论是，使用硬件飞地不会增加预先存在的攻击面，不会产生新的感染媒介，也不会为恶意软件的隐蔽性提供任何新的方法。
2022-10-31 cs.CR
End-to-End Security for Distributed Event-Driven Enclave Applications on Heterogeneous TEEs
本文提出一个集成开源框架，基于异构TEE扩展安全原语，在较小可信计算基上保障分布式事件驱动应用端到端的真实性、完整性、机密性与可用性。
2023-06-29 cs.CR
PRA-TLS: Attestation of a Client Application for TEE
Ochanomizu University（御茶水女子大学）；Otsuma Women’s University（大妻女子大学）；National Institute of Informatics（国立情报学研究所）
针对TEE中enclave与不可信应用间边界的安全风险，提出PRA-TLS协议，通过可信守护进程测量主机与应用状态，实现客户端应用认证，并形式化验证及原型实现。
2026-10-06 cs.CR cs.OS
Leveraging Intel SGX to Create a Nondisclosure Cryptographic library
确保用户应用程序代码和数据的完整性和机密性是任何从事在线生产级服务的软件开发人员都面临的一项具有挑战性的任务。由于密码学不是一个广泛理解的主题，研究和行业前沿的人们总是在寻找新技术来自然地扩展他们的程序和系统的安全性。英特尔Software Guard Extension（英特尔SGX）是一项英特尔技术，面向希望保护其软件二进制文件免受使用硬件指令的合理攻击的开发人员。英特尔SGX将敏感代码和数据放入CPU强化的受保护区域（称为安全区）。在此项目中，我们利用英特尔SGX生成安全加密库，将生成的密钥保存在安全区域内，限制机密加密密钥的使用和传播。使用安全区来存储密钥，我们维护了一个小的可信计算基础（TCB），在那里我们还在临时缓冲区上执行计算，并从不可信的应用程序代码。作为概念证明，我们在安全区中实现了哈希和对称加密算法，在安全区中存储了哈希、哈希向量（IV）和随机密钥，并开源了代码（https：//github.com/hmofrad/CryptoEnclave）。
2018-04-02 cs.CR
HySec-Flow: Privacy-Preserving Genomic Computing with SGX-based Big-Data Analytics Framework
可信执行环境（TEE）（如英特尔的软件防护扩展（SGX））已被广泛研究，以提高敏感数据（如人类基因组学）计算的安全性和隐私保护。然而，SGX通常会产生性能障碍，特别是来自小型安全区内存的性能障碍。在本文中，我们提出了一种新的混合安全流框架（称为“HySec-Flow”），用于使用SGX平台进行大规模基因组数据分析。在这里，数据密集型计算任务可以被划分为独立的子任务，以部署到不同的安全和非安全容器中，因此允许并行执行，同时减轻每个飞地中页面缓存（EPC）内存的有限大小。我们使用支持索引、对齐、分派和合并启用SGX的容器的执行的工作流来说明我们的贡献。我们提供了有关可信和不可信组件的架构以及底层Scorn和Graphene支持的详细信息，作为通用屏蔽执行框架来移植遗留代码。我们彻底评估我们的隐私保护读取映射算法使用真实的人类基因组测序数据的性能。结果表明，通过将耗时的基因组计算划分为子任务，与传统的在飞地中执行数据密集型读取映射算法相比，性能得到了增强。所提出的HySec-Flow框架作为开源提供，并适用于需要安全性和可扩展计算资源的其他大规模基因组任务的数据并行计算。
2021-07-26 cs.CR
Privacy-Preserving Inference in Machine Learning Services Using Trusted Execution Environments
University Of Southern California（南加州大学）
这项工作介绍了Origami，它通过飞地执行，加密盲化，穿插基于加速器的计算的组合，为大型深度神经网络（DNN）模型提供隐私保护推理。Origami将ML模型划分为多个分区。第一分区在SGX飞地内接收加密的用户输入。飞地解密输入，然后对输入数据和模型参数应用密码盲化。加密致盲是一种添加噪声以混淆数据的技术。Origami将用于计算的混淆数据发送到不受信任的GPU/CPU。盲化和去盲化因子由SGX飞地保持私有，从而防止任何对手在计算被卸载到GPU/CPU时对数据进行去噪。计算的输出返回到飞地，飞地使用SGX中私下存储的揭盲因子对噪声数据的计算进行解码。可以对每个DNN层重复该过程，如在先前的工作Slalom中所做的那样。然而，数据设盲和揭盲的开销是可扩展性的限制因素。Origami依赖于经验观察，即前几层之后的特征图无法使用，即使是强大的条件GAN对手也无法重建输入。因此，Origami动态地切换到直接在加速器上执行其余的DNN层，而不需要任何进一步的加密盲干预来保护隐私。我们的经验表明，使用折纸，一个有条件的GAN对手，即使有无限的推理预算，不能重建输入。我们使用VGG-16和VGG-19模型实现并演示了Origami的性能增益。与在SGX中运行整个VGG-19模型相比，Origami推理将私有推理的性能从使用Slalom时的11倍提高到15.1倍。
2019-12-07 cs.CR cs.CV cs.LG
Fidelius: Protecting User Secrets from Compromised Browsers
用户经常在浏览器窗口中输入敏感数据，如密码、信用卡号或税务信息。虽然现代浏览器提供了强大的客户端隐私保护措施来保护这些数据，但这些防御措施都无法阻止被恶意软件入侵的浏览器窃取这些数据。在这项工作中，我们提出了Fidelius，一种新的架构，该架构使用集成到浏览器中的可信硬件飞地来保护用户在Web浏览会话期间的秘密，即使整个底层浏览器和操作系统完全由恶意攻击者控制。Fidelius解决了在完全恶意的环境中为浏览器提供保护所涉及的许多挑战，为表单数据、JavaScript执行、XMLHttpRequests和受保护的Web存储提供完整性和隐私支持，同时最大限度地减少了TCB。此外，安全区与浏览器、键盘和显示器之间的交互都需要新的协议，每个协议都有自己的安全考虑。最后，Fidelius考虑到UI因素，以确保为开发人员和用户提供一致和简单的界面。作为该项目的一部分，我们开发了第一个开源系统，该系统提供了从输入和输出外围设备到硬件飞地的可信路径，而不依赖于额外的虚拟机管理程序安全假设。这些组成部分可能是独立的利益和有用的未来项目。我们实现和评估Fidelius来衡量其性能开销，发现Fidelius对安全页面的页面加载和用户交互施加了可接受的开销，并且对不使用其增强的安全功能的页面和页面组件没有影响。
2018-12-04 cs.CR
Guardian: symbolic validation of orderliness in SGX enclaves
现代处理器可以提供允许进程独立运行的硬件原语。这些原语实现了可信执行环境（TEE），程序可以在其中运行，从而保证其执行的完整性和机密性。英特尔的Software Guard eXtensions（SGX）就是此类原语的一个示例，其独立进程称为\emph{enclaves}。然而，如果飞地没有得到适当的设计，这些保证很容易受到阻挠。它与不受信任的软件栈的接口可以说是对手可以利用的最大攻击面;例如，与不受信任的代码的意外交互可能会使飞地暴露于内存损坏攻击。在本文中，我们提出了一个概念的\emph{orderly}飞地，它的行为分为几个执行阶段，每个阶段施加一组限制访问不可信的内存，相变和寄存器消毒。违反这些限制意味着可能被用来对飞地进行攻击的不良行为。我们还介绍了\Analyser{}：一个工具，使用符号执行来执行安全区的验证，以对抗我们对有序安全区的概念;在这个过程中，它还寻找一些典型的内存损坏漏洞。我们讨论了我们的方法如何可以防止和标记飞地的漏洞，已在文献中确定。此外，我们还评估了我们的方法在分析一些实际飞地时的效果。\Analyser{}能够识别这些安全区上的真正漏洞，这些漏洞已被其维护人员确认并修复。
2021-05-12 cs.AR cs.CR cs.SE
Empowering Data Centers for Next Generation Trusted Computing
现代数据中心已经超越了CPU节点，为客户提供特定领域的加速器，如GPU和FPGA。从安全的角度来看，云客户希望保护他们的数据。他们愿意为可信的执行环境支付额外的费用，例如英特尔SGX和AMD SEV提供的飞地。不幸的是，客户必须做出一个关键的选择--要么使用特定领域的加速器来提高速度，要么使用基于CPU的机密计算解决方案。为了弥合这一差距，我们的目标是实现跨CPU和加速器扩展的数据中心规模机密计算。我们认为，对加速器的大规模TEE支持提供了一个技术上更容易的解决方案，但还远未成为现实。相反，我们的混合设计为分布在多个CPU节点和具有/不具有TEE支持的设备上的计算提供了飞地执行保证。我们的解决方案在两个维度上都可以很好地扩展--它可以处理大量的异构节点，并且可以在将来启用TEE的设备可用时容纳它们。我们观察到$0.42$ -- $8\%$在现实世界的AI数据中心工作负载上的边际开销，这些工作负载与数据中心中的节点数量无关。我们为两个加速器（AI和存储）添加了自定义TEE支持，并将其集成到我们的解决方案中，从而证明它可以满足未来的TEE设备。
2022-11-01 cs.CR cs.DC
Type-Directed, Secure-by-Construction Enclave Partitioning for LLVM
University of Massachusetts Lowell（马萨诸塞大学洛厄尔分校）
针对LLVM手动分区TEE应用的缺陷，提出类型驱动的SIR到SIREN编译工具SPLITR，可自动生成安全飞地程序，在Intel SGX上评估OpenSSL等 workload时能减少转换次数并接近原生性能。
2026-09-03 cs.CR cs.PL
ObliDB: Oblivious Query Processing for Secure Databases
像英特尔SGX这样的硬件飞地是一种很有前途的技术，可以提高外包给云的数据库的安全性。这些安全区提供了一个与管理程序/操作系统隔离的执行环境，并对RAM中的数据进行加密。然而，对于使用大量内存的应用程序（包括大多数数据库），安全区不能防止访问模式泄漏，这使得攻击者可以获得有关数据的大量信息。此外，使用安全文献中的不经意RAM（ORAM）原语来解决此问题的简单方法会增加大量开销。最近的一些工作探索可信硬件飞地作为一种安全的，访问模式无关的数据存储和分析外包的路径。虽然这些工作有效地解决了特定的子问题（例如，构建安全索引或运行始终扫描整个表的分析查询），但没有先前的工作支持具有多种访问方法的DBMS引擎上的一般查询工作负载的不经意查询处理。此外，单独应用这些技术并不能保证端到端的工作负载（如对多个表的复杂SQL查询）不会被察觉。在本文中，我们介绍ObliDB，一个不经意的数据库引擎设计，是第一个系统，提供遗忘一般数据库读取工作负载的多种访问方法。ObliDB支持广泛的查询，包括聚合、连接、插入、删除和点查询。我们实现了ObliDB，并表明，在分析工作负载上，ObliDB的速度比Opaque快1.1- 19倍，Opaque是一个以前的不经意的，基于飞地的系统，仅用于分析，并且在Spark SQL的2.6倍之内。ObliDB支持3- 10 ms延迟的点查询，其运行速度比HIRB快7倍以上，H…
2019-09-19 cs.CR
SecScale: A Scalable and Secure Trusted Execution Environment for Servers
针对现有TEE难以兼顾可扩展性与重放保护的问题，提出SecScale，利用推测执行、MAC森林和全内存加密，在通用硬件上实现可扩展且安全，性能比竞品快10%。
2024-07-18 cs.AR cs.CR
Computation on Encrypted Data using Data Flow Authentication
在将数据发送到云之前对其进行加密可以保护数据免受黑客和恶意内部人员的攻击，但需要云计算加密数据。可信（硬件）模块，例如，像英特尔的SGX这样的安全飞地，可以非常有效地在加密内存中运行整个程序。然而，已经证明，软件漏洞给攻击者提供了充分的机会将任意代码插入程序。然后，该代码可以修改程序的数据流，并通过SGX侧通道将程序中的任何秘密泄露给云中的观察者。由于任何大型程序都充斥着软件漏洞，因此将整个程序外包给SGX飞地并不是一个好主意。一种具有小型可信代码库的安全替代方案是全同态加密（FHE）--加密计算的圣杯。然而，由于其高计算复杂性，它不太可能在不久的将来被采用。因此，研究人员提出了几个建议，将程序转换为在功能较弱的加密方案上执行加密计算。然而，当前的方法在基于加密数据做出控制流决策的程序上失败。本文介绍了数据流认证的概念。DFAuth防止攻击者任意偏离程序的数据流。因此，攻击者无法在SGX上执行之前概述的攻击。这使得所有的程序，甚至包括对控制流决策变量的操作，都可以在加密数据上计算。我们实现DFAuth使用一种新的认证同态加密方案，Java字节码到字节码编译器产生完全可执行的程序，和SGX飞地。对敏感医疗数据执行机器学习的转换神经网络可以在0.86秒内对加密输入和加密权重进行评估。
2017-10-01 cs.CR
EnclaveX: End-to-End Confidential AI with CPU/GPU TEEs
TU Dresden（德累斯顿工业大学）；STACKIT Cloud（STACKIT云）；Scontain GmbH（Scontain有限公司）
本文提出结合CPU和GPU TEE的端到端工作流，通过Intel TDX和AMD SEV-SNP等机制保障AI/LLM应用的机密性和完整性，并评估了性能开销。
2026-07-01 cs.CR cs.OS
ShEF: Shielded Enclaves for Cloud FPGAs
FPGA现在用于公共云，以加速各种应用程序，包括许多处理敏感数据的应用程序，如财务和医疗记录。我们提出了ShEF，一个可信的执行环境（TEE）基于云的可重构加速器。ShEF独立于基于CPU的TEE，并允许在威胁模型下安全执行，其中对手可以控制连接到FPGA的CPU上运行的所有软件，可以物理访问FPGA，并可以危及云提供商的FPGA接口逻辑。ShEF提供了一个安全的引导和远程证明过程，仅依赖于现有的FPGA机制作为信任根。它还包括一个Shield组件，在使用加速器时提供对数据的安全访问。Shield具有高度可定制性和可扩展性，允许用户以最低的性能和面积开销定制适合其加速器内存访问模式、带宽和安全要求的安全解决方案。我们描述了现有云FPGA的ShEF原型实现，将ShEF映射到高性能和安全的存储应用程序，并使用五个额外的加速器测量可定制安全性的性能优势。
2022-01-28 cs.AR cs.CR
Accelerating Forward and Backward Private Searchable Encryption Using Trusted Execution
可搜索加密（SE）是构建加密数据库的关键推动因素之一。它允许云服务器在不解密的情况下搜索加密数据。动态SE还包括数据添加和删除操作，以丰富加密数据库的功能。最近利用动态操作中的泄漏的攻击推动了新的SE方案的快速发展，这些方案在执行更新的同时揭示更少的信息;它们也被称为前向和后向私有SE。新添加的数据不再被之前发出的查询所引用，并且删除的数据不再在之后发出的查询中搜索。然而，这些先进的SE方案降低了SE的效率，特别是在客户端和服务器之间的通信成本。在本文中，我们求助于硬件辅助解决方案，又名英特尔SGX，以缓解上述瓶颈。我们的核心理念是利用新交所接管客户的大部分任务，即，跟踪关键字状态以及数据添加和缓存删除的数据。然而，由于SGX飞地的I/O和存储器约束，处理大型数据集是不平凡的。我们进一步开发批处理数据和状态压缩技术，以减少SGX和不可信服务器之间的通信开销，并最大限度地减少飞地中的内存占用。我们对合成和真实世界的数据集进行了一系列全面的评估，这证实了我们的设计优于现有技术。
2020-04-10 cs.CR cs.DS
Privado: Practical and Secure DNN Inference with Enclaves
Microsoft Research（微软研究院）；UC Berkeley（加州大学伯克利分校）
云提供商正在扩展对英特尔SGX等可信硬件原语的支持。与此同时，深度学习领域也出现了巨大的创新，采用率也在增加。在本文中，我们适时地提出了一个问题：“第三方云服务能否使用英特尔SGX安全区来提供实用且安全的DNN推理即服务？“我们首先证明了在飞地内执行的DNN模型容易受到基于访问模式的攻击。我们表明，通过简单地观察访问模式，攻击者可以对MNIST和CIFAR 10数据集的加密输入进行分类，其攻击准确率分别为97%和71%，训练模型的原始准确率分别为99%和79%。这激发了对PRIVADO的需求，PRIVADO是我们为安全、易于使用和性能高效的推理即服务而设计的系统。PRIVADO是不注意输入的：它将用C/C++编写的任何深度学习框架转换为不受依赖于输入的访问模式的影响，从而消除了泄漏。PRIVADO是完全自动化的，TCB很低：开发人员无需付出任何努力，给定模型的ONNX描述，它可以生成紧凑和安全区兼容的代码，可以部署在SGX云平台上。PRIVADO带来的性能开销低：我们使用PRIVADO与火炬框架，并显示其开销平均为17.18%的11个不同的当代神经网络。
2019-09-05 cs.AI cs.CR cs.CV
Interface-Based Side Channel Attack Against Intel SGX
英特尔已经推出了一种可信计算技术，英特尔软件防护扩展（SGX），它为用户程序提供了一个被称为飞地的隔离和安全的执行环境，而不信任任何特权软件（例如，操作系统或管理程序）或固件。然而，SGX容易受到几种侧信道攻击（例如，基于页面错误的攻击和基于缓存的攻击）。在本文中，我们探讨了一种新的，但在SGX关键的侧信道攻击，基于接口的侧信道攻击，它可以推断的飞地输入数据的信息。基于接口的侧信道攻击的根本原因是依赖于输入的接口调用信息（例如，接口信息和调用模式）可以揭示飞地中的控制流。研究了基于接口的侧信道攻击的方法。为了说明基于接口的侧信道攻击的有效性，我们使用我们的方法来推断跟踪的网页是否已被SGX辅助的NFV平台处理，并实现了87.6%的准确率和76.6%的召回率。我们还识别出属于被跟踪网页的数据包，准确率为67.9%，召回率为71.1%。最后提出了SGX辅助应用中基于接口的侧信道攻击的防御对策。
2018-10-08 cs.CR
Dorami: Privilege Separating Security Monitor on RISC-V TEEs
本文提出 Dorami，一种在 RISC-V TEE 上将安全监视器与固件进行权限分离的方法，通过重新利用现有 ISA 特性实现隔离，从而减少攻击面且开销较低。
2024-10-04 cs.CR
Proof of Unlearning: Definitions and Instantiation
机器学习（ML）实践中的“被遗忘的权利”规则允许从训练模型中删除一些个体数据，正如最近开发的机器遗忘技术所追求的那样。为了真正遵守规则，一个自然和必要的步骤是验证个人数据是否在遗忘后确实被删除。然而，以前的参数空间验证度量可能很容易被不信任的模型训练器所规避。因此，Thudi等人最近在USENIX Security'22中提出了关于算法级验证的行动呼吁。我们响应这一号召，重新考虑了机器学习即服务（MLaaS）场景下的遗忘问题，并在算法层面上提出了一个新的遗忘证明（PoUL）定义框架。具体来说，我们的PoUL定义（i）在unlearning的前阶段和后阶段都强制执行正确性属性，以防止最先进的伪造攻击;（ii）突出证明者和验证者双方的适当实用性要求，对现成的服务管道和计算工作负载具有最小的侵入性。在定义框架下，我们随后提出了一个可信的硬件授权的实例化使用SGX飞地，通过逻辑上结合一个身份验证层，用于跟踪数据血统与证明层，用于支持审计的学习。我们定制了经过身份验证的数据结构，以支持具有简单操作逻辑的大型飞地外存储，同时，能够在飞地中以可承受的内存占用证明复杂的非学习逻辑。最后，我们通过概念验证和多维性能评估验证了所提出的实例化的可行性。
2022-10-21 cs.CR
Securing Application with Software Partitioning: A case study using SGX
应用程序的大小和复杂性是代码中存在大量安全漏洞的根本原因。为了减轻由这种漏洞引起的风险，已经提出了各种技术来将敏感代码的执行与应用程序的其余部分以及与平台上的其他软件（例如，操作系统）隔离。然而，即使有了这些分区技术，也不能立即清楚地知道如何以及应该如何使用它们来对应用程序进行分区。应该遵循什么样的总体分区方案;分区的粒度应该是多少。在某种程度上，这取决于所使用的分区技术的能力和性能。在这项工作中，我们将重点关注即将推出的英特尔Software Guard Extensions（SGX）技术，该技术是该领域的最新技术。SGX提供了一个可信的执行环境，称为安全区，它保护代码的完整性和内部数据的机密性，不受其他软件（包括操作系统）的影响。我们提出了一个新的框架，包括四种可能的计划下，应用程序可以分区。这些方案的范围从粗粒度分区（其中完整的应用程序被包括在单个飞地中）到超精细分区（其中每个应用程序秘密被保护在单独的飞地中）。我们解释了每个分区方案提供的特定安全优势，并讨论了应用程序的性能将如何受到影响。为了比较不同的分区方案，我们使用四种不同的方案对OpenSSL进行了分区。在本文中，我们讨论了SGX的属性以及我们的设计选择的影响。
2017-06-09 cs.CR
Ringmaster: How to juggle high-throughput host OS system calls from TrustZone TEEs
Yale University（耶鲁大学）；North Carolina State University（北卡罗来纳州立大学）
Ringmaster通过异步访问Linux io_uring实现安全时间敏感处理与丰富操作系统服务的平衡，降低开销并提升无人机数据处理效率。
2026-02-03 cs.CR cs.OS
SeSeMI: Secure Serverless Model Inference on Sensitive Data
SeSeMI利用可信硬件，通过密钥服务、飞地运行时和模型打包器三项非侵入式特性，在无服务器平台上实现安全、高效、低成本的模型推理，保护模型与用户数据免受云提供商侵害。
2024-12-16 cs.CR cs.DC
DuetSGX: Differential Privacy with Secure Hardware
差分隐私为个人提供了正式的隐私保证，但许多差异隐私系统的部署需要可信的第三方（数据管理者）。我们提出DuetSGX，这是一个使用安全硬件（英特尔的SGX）的系统，可以消除对可信数据管理员的需求。数据所有者提交的加密数据只能在运行DuetSGX系统的安全区域内解密，确保敏感数据永远不会提供给数据管理者。分析师提交用Duet语言编写的查询，该语言专门用于验证程序是否满足差分隐私; DuetSGX使用Duet类型检查器在运行前验证每个查询是否满足差分隐私。因此，DuetSGX同时提供了本地差分隐私和中央差分隐私的好处：噪音只会添加到最终结果中，不存在可信的第三方。我们已经实现了DuetSGX的概念验证实现，并将其作为开源发布。
2020-10-20 cs.CR cs.DB
Efficient Privacy-Preserving Machine Learning with Lightweight Trusted Hardware
本文提出由小型专用安全处理器辅助的安全机器学习推理平台，通过面向轻量级可信硬件设计协议，在诚实多数假设下显著提升分布式 PPML 的速度与通信效率，并支持大型神经网络。
2024-06-17 cs.CR
Byzantine-Robust and Privacy-Preserving Framework for FedML
USC（南加州大学）；Facebook AI Research（Facebook AI研究院）
联邦学习已经成为一种流行的范例，用于从分布在一组客户端中的数据协作地训练模型。这种学习环境提出了两个独特的挑战：如何在训练期间保护客户数据的隐私，以及如何确保训练模型的完整性。我们提出了一个双管齐下的解决方案，旨在在一个框架下应对这两个挑战。首先，我们建议在服务器内使用可信执行环境（TEE）创建安全飞地。然后，每个客户端可以加密它们的梯度并将其发送到可验证的飞地。梯度在飞地内被解密，而不用担心隐私泄露。然而，TEE中的鲁棒性校验计算在计算上是禁止的。因此，在第二步中，我们执行一种新的梯度编码，使TEE能够对梯度进行编码，然后将拜占庭校验计算卸载到GPU等加速器。我们提出的方法提供了理论上的信息泄漏的界限，并提供了一个显着的速度超过基线的经验评估。
2021-05-05 cs.AR cs.CR cs.LG
KEVLAR-TZ: A Secure Cache for ARM TrustZone
边缘设备越来越多地负责存储隐私敏感数据，特别是可植入设备，可穿戴设备和近距离设备可以24/7收集和处理高分辨率的生命体征。以隐私保护的方式存储和执行对这些数据的计算是至关重要的。我们提出了KEVLAR-TZ，一个应用程序级的可信缓存，旨在利用ARM TrustZone，一个流行的可信执行环境，可在消费级设备。为了促进与现有系统和物联网设备和协议的集成，KEVLAR-TZ公开了一个基于REST的接口，该接口具有TrustZone飞地内的连接端点。此外，它利用设备上的安全持久存储来保证数据在重新启动时的持久性。我们完全实现KEVLAR-TZ上的OP-TEE框架，并通过实验评估其性能。我们的结果展示了性能权衡，例如在吞吐量和延迟方面，对于各种工作负载，我们相信我们的结果对实践者和TrustZone系统的一般开发人员都很有用。KEVLAR-TZ可在https://github.com/mqttz/kevlar-tz/上以开源形式获得。
2021-04-27 cs.CR
Slalom: Fast, Verifiable and Private Execution of Neural Networks in Trusted Hardware
Stanford University（斯坦福大学）
随着机器学习（ML）应用于安全关键或敏感领域，外包ML计算的完整性和隐私性需求日益增长。一个实用的解决方案来自可信执行环境（TEE），它使用硬件和软件保护将敏感计算与不可信的软件堆栈隔离开来。然而，与不受信任的替代方案相比，这些隔离保证在性能上是有代价的。本文通过在可信设备和不可信设备之间有效地划分深度神经网络（DNN）计算，启动了TEE中DNN的高性能执行研究。基于矩阵乘法的有效外包方案，我们提出了Slalom，这是一个框架，可以安全地从TEE（例如，英特尔SGX或Sanctum）到更快但不受信任的协同定位处理器。我们通过在英特尔SGX安全区中运行DNN来评估Slalom，该安全区选择性地将工作委托给不受信任的GPU。对于规范DNN（VGG16，MobileNet和ResNet变体），我们获得了6倍至20倍的可验证推理吞吐量增加，以及4倍至11倍的可验证和私有推理吞吐量增加。
2019-02-27 cs.CR cs.LG stat.ML
Trusted Hart for Mobile RISC-V Security
本文针对移动设备转向 RISC-V 的安全需求，分析 Keystone 框架不足，提出兼容 GlobalPlatform TEE API、结合 Keystone enclave 与专用 Trusted Hart 的安全架构，并在 HiFive Unleashed 板上验证。
2023-04-27 cs.AR cs.CR
Opal: Private Memory for Personal AI
Google DeepMind（谷歌DeepMind）；UC Berkeley（加州大学伯克利分校）
Opal通过将数据依赖推理与个人数据分离，利用可信 enclave 提高检索准确率，并在基础设施成本上取得显著优势。
2026-04-02 cs.AI cs.CR
TEEMon: A continuous performance monitoring framework for TEEs
可信执行环境（TEE），如英特尔Software Guard eXtensions（SGX），被认为是解决云安全挑战的一种有前途的方法。TEE通过提供一个隔离的安全存储区，即，飞地安全性保证由CPU提供，因此即使系统软件受到危害，攻击者也永远无法访问安全区的内容。虽然这种方法确保了应用程序的强大安全性保证，但它也引入了相当大的运行时开销，部分原因是受保护内存（飞地页面缓存）的可用性有限。目前，只有数量有限的基于TEE的应用程序的性能测量工具存在，没有提供在运行时的性能监控和分析。本文介绍了TEEMon，第一个连续的性能监测和分析工具，基于TEE的应用程序。TEEMon不仅在运行时提供细粒度的性能指标，而且还帮助分析识别性能瓶颈的原因，例如，过多的系统调用。我们的方法与现有的开源工具（例如，Prometheus或Grafana）提供了一个整体监控解决方案，特别针对通过Docker容器或Kubernetes部署的系统进行了优化，并提供了几个专用的指标和可视化。我们的评估表明，TEEMon的开销范围从5%到17%。
2020-12-11 cs.CR cs.DC cs.PF
