Remote Credential Management with Mutual Attestation for Trusted Execution Environments
可信执行环境（TEE）正在迅速成为使用硬件支持的隔离执行世界保护敏感应用程序和数据的信任根。TEE使用远程证明提供关于关键算法执行、防篡改凭证存储和平台完整性的可靠保证。然而，在现有文献中，远程管理TEE之间的凭证的挑战在很大程度上仍未解决。在这项工作中，我们提出了新的协议，使用相互证明支持四个方面的安全远程凭证管理与TEE：备份，更新，迁移和撤销。所提出的协议是不可知的底层TEE实现和形式化验证使用Scyther，发现没有攻击。
2018-11-26 cs.CR
RADIS: Remote Attestation of Distributed IoT Services
远程证明是一种安全技术，远程可信方（即，验证器）检查潜在不可信设备的可信度（即，Prover）。在物联网（IoT）系统中，现有的远程证明协议提出了各种方法来检测修改的软件和物理篡改攻击。然而，在可互操作的物联网系统中，物联网设备之间自主交互，会出现额外的问题：受损的物联网服务可以影响其他调用服务的真正操作，而无需更改后者的软件。在本文中，我们提出了一个分布式物联网服务（RADIS）的远程证明协议，它验证分布式物联网服务的可信性。RADIS不是证明整个可互操作物联网设备的完整内存内容，而是只证明执行特定功能所涉及的服务。RADIS依赖于控制流证明技术来检测由于与恶意远程服务交互而执行意外操作的物联网服务。我们的实验表明，我们的协议在验证分布式物联网服务的完整性状态的有效性。
2020-11-18 cs.CR
Strategic Remote Attestation: Testbed for Internet-of-Things Devices and Stackelberg Security Game for Optimal Strategies
物联网（IoT）设备和应用程序可能存在重大漏洞，这些漏洞可能会被对手利用，造成相当大的伤害。减轻这种威胁的一种重要方法是远程证明，它使防御者能够远程验证设备及其软件的完整性。远程认证有多种方法，每种方法在检测精度和计算成本方面都有其独特的优点和缺点。此外，证明方法可以以多种方式应用，诸如各种级别的软件覆盖。因此，为了最大限度地减少安全风险和计算开销，防御者需要根据设备的特性和潜在的损失，从战略上决定应用哪些证明方法以及如何应用它们。为了回答这些问题，我们首先开发了一个用于物联网设备远程认证的测试平台，这使我们能够测量各种认证方法的检测准确性和性能开销。我们的测试平台集成了两个示例物联网应用程序、基于内存校验和的证明以及各种软件漏洞，这些漏洞允许攻击者将任意代码注入到正在运行的应用程序中。其次，我们模型的问题，找到一个最佳的策略，应用远程认证作为一个Stackelberg安全游戏之间的防御者和对手。我们刻画了防御者在各种特殊情况下的最优证明策略。最后，建立在我们的测试平台的实验结果，我们评估我们的模型，并表明，最佳的战略认证可以导致显着低于天真的基线策略的损失。
2021-09-26 cs.CR cs.GT
Flexible remote attestation of pre-SNP SEV VMs using SGX enclaves
该研究提出一种利用SGX飞地作为可信所有者，为SEV虚拟机提供灵活远程证明的协议，结合两者优势，并经形式化验证和实例评估，支持可问责机器学习模型。
2023-05-16 cs.CR
BLINDTRUST: Oblivious Remote Attestation for Secure Service Function Chains
随着下一代系统的快速发展，我们面临着新的安全性、弹性和运营保障挑战。面对日益增长的攻击环境，有必要迎合有效的机制来验证软件和设备的完整性，以检测运行时的修改。朝着这个方向，远程证明是一个有前途的防御机制，允许第三方，验证者，以确保远程设备（证明者）的完整性。然而，许多现有的证明解决方案家族对验证实体的可信度有很强的假设，因此不允许隐私保护完整性正确性。此外，它们还存在可扩展性和效率问题。本文提出了一种轻量级的动态配置完整性验证，使设备间和设备内认证，而不透露任何配置信息，并可以应用于资源受限的边缘设备和云服务。我们的目标是通过一个可扩展的解决方案来增强运行时软件的完整性和可信度，从而消除对联合基础设施信任的需求。
2021-07-11 cs.CR
An Infrastructure for Faithful Execution of Remote Attestation Protocols
远程证明是在远程计算系统中建立信任的新兴技术。Copland是一种特定于领域的语言，用于指定分层证明协议，描述与证明相关的系统事件，并描述证据捆绑。在这项工作中，我们正式定义和验证的Copland的虚拟机执行Copland协议。编译器将Copland转换为在虚拟机上执行的指令。编译器和虚拟机实现为一元，功能程序的Coq证明助手和验证相对于科普兰事件和证据语义。此外，我们介绍了证明经理Monad作为一个环境，用于管理Copland长期执行提供支持管理nonce，约束结果的Copland协议的变量，并评估证据结果。
2020-12-18 cs.CR cs.LO cs.PL
TrustMee: Self-Verifying Remote Attestation Evidence
Aalto University（阿尔托大学）；Ericsson Research（爱立信研究）；Ghent University（根特大学）；imec（imec研究院）
TrustMee通过自验证远程证明证据机制，实现跨平台的证明验证，无需特定平台代码，利用WebAssembly组件实现验证逻辑的通用性。
2026-08-21 cs.CR
Formally Verified Hardware/Software Co-Design for Remote Attestation
在这项工作中，我们采取了形式化验证的远程证明（RA）的第一步，通过设计和验证的架构称为VRASED：可验证的远程证明简单的嵌入式设备。VRASED实例化了针对低端嵌入式系统的混合（硬件/软件）RA协同设计，例如，简单的物联网设备。VRASED提供了与基于硬件的方法相当的安全级别，同时依赖于软件来最大限度地减少额外的硬件成本。由于安全属性必须由硬件和软件共同保证，因此验证是一项具有挑战性的任务，在RA的背景下从未尝试过。我们认为，VRASED是第一个正式验证的RA计划。据我们所知，这也是任何安全服务的硬件/软件实现的第一次形式化验证。为了证明VRASED的实用性和低开销，我们实例化和评估它的商品平台（TI MSP430）。VRASED的公开实现部署在Basys 3 FPGA上。
2019-05-24 cs.CR
Towards Remote Attestation of Microarchitectural Attacks: The Case of Rowhammer
paluno – The Ruhr Institute for Software Technology, University of Duisburg-Essen（杜伊斯堡-埃森大学）；Technical University of Darmstadt（达姆施塔特工业大学）
本文提出基于微架构的远程验证方法，通过HammerWatch协议检测行锤攻击，利用MCE和PRAC指标，结合TPM哈希链防护，验证系统行为可靠性。
2026-03-26 cs.CR
On the TOCTOU Problem in Remote Attestation
我们提出了远程证明与TOCTALIAN避免（RATA）：一个可证明安全的方法来解决RA TOCTALIAN问题。使用RATA，即使是在执行下一个RA之前擦除自己的恶意软件，也无法隐藏其短暂的存在。RATA的目标是混合RA架构（实现为硬件/软件协同设计），其目标是低端嵌入式设备。我们提出了两种替代技术- RATAa和RATAb -适用于设备和没有实时时钟，分别。每个都被证明是安全的，并伴随着一个公开的和正式验证的实现。我们的评估表明这两种技术的硬件开销低。与当前的RA架构（不提供TOCT保护）相比，RATA不会产生额外的运行时开销。事实上，RATA大大降低了RA执行的计算成本。
2021-04-15 cs.CR
Resource-constrained Remote Attestation of Smart Meters Using Merkle Trees in a Trusted Execution Environment
Faculty of Electrical and Computer Engineering, Tarbiat Modares University（塔比巴特莫达雷斯大学电气与计算机工程学院）；Fouman Faculty of Engineering, College of Engineering, University of Tehran（德黑兰大学工程学院福曼工程学院）
针对智能电表的安全问题，提出在TEE中用OP-TEE执行默克尔树相关操作的远程认证方法，提升了资源效率与安全性，适用于资源受限设备。
2026-10-14 cs.AR cs.CR
SRAS: Self-governed Remote Attestation Scheme for Multi-party Collaboration
本文提出SRAS自治理远程证明方案，通过依赖方飞地构建虚拟可验证网络，在多方云协作中实现去中心化TEE可信验证且不泄露敏感数据。
2024-07-04 cs.CR
ScaRR: Scalable Runtime Remote Attestation for Complex Systems
远程认证（RA）方案的引入使学术界和工业界能够提高其系统的安全性。目前可用的商业产品仅支持静态属性（如应用程序指纹）的验证，而不处理运行时属性（如控制流正确性）。这种限制促使研究人员识别新的方法，称为运行时RA。然而，这些主要工作在嵌入式设备上，这些设备与复杂系统（如云中的虚拟机）共享很少的共同特征。一个天真的部署运行时RA计划的嵌入式设备上的复杂系统面临的可扩展性问题，如复杂的控制流的表示或缓慢的验证阶段。在这项工作中，我们提出了ScaRR：第一个可扩展的远程认证架构的复杂系统。由于其新颖的控制流模型，ScaRR能够在任何应用程序上部署运行时RA，而不管其复杂性如何，同时也实现了良好的性能。我们实现了ScaRR，并在基准测试套件SPEC CPU 2017上进行了测试。我们表明，ScaRR可以验证平均每秒2M的控制流事件，绝对优于现有的解决方案。
2019-04-03 cs.CR
C-FLAT: Control-FLow ATtestation for Embedded Systems Software
远程认证是一项至关重要的安全服务，尤其与日益流行的物联网（和其他嵌入式）设备相关。它允许受信任方（验证者）了解远程和可能感染恶意软件的设备（证明者）的状态。大多数现有的方法本质上是静态的，并且仅检查良性软件是否最初加载在证明器上。然而，它们容易受到运行时攻击，这些攻击会劫持应用程序的控制或数据流，例如，通过面向返回的编程或面向数据的漏洞利用。作为更全面的运行时远程认证的一个具体步骤，我们提出了控制流认证（C-FLAT）的设计和实现，使远程认证的应用程序的控制流路径，而不需要源代码。我们描述了Raspberry Pi上使用其ARM TrustZone硬件安全扩展的C-FLAT的完整原型实现。我们评估C-FLAT的性能使用现实世界的嵌入式（网络物理）应用程序，并证明其有效性对控制流劫持攻击。
2016-08-17 cs.CR
ERASMUS: Efficient Remote Attestation via Self- Measurement for Unattended Settings
远程认证（RA）是检测嵌入式和物联网设备中恶意软件的常用方法。RA通常被实现为一个交互式协议，其中一个可信的一方-验证-措施的完整性，一个潜在的妥协的远程设备-证明。早期的工作集中在纯软件和完全基于硬件的技术上，这两种技术都不适合低端设备。最近的研究结果已经产生了混合（SW/HW）安全架构，包括一组最小的功能，以支持低端设备上的高效和安全的RA。所有现有的RA技术都需要按需操作，即，RA是实时的执行的。我们确定了一些缺点，这种一般的方法在无人值守的设备的上下文中：首先，它无法检测到移动恶意软件，进入和离开连续的RA实例之间的证明。其次，它要求证明者进行可能昂贵的（在时间和能量方面）计算，这对于关键或实时设备可能是有害的。为了解决这些缺点，我们引入了自我测量的概念，其中证明设备定期（和安全地）测量和记录自己的软件状态，根据预先建立的时间表。一个可能不可信的验证者偶尔会收集和验证这些度量。我们提出了一个具体的技术称为ERASMUS的设计：有效的远程认证通过自我测量无人值守设置，证明其功能和评估其性能。在这个过程中，我们还定义了一个新的度量标准--证明质量（QoA）。我们认为，伊拉斯谟是非常适合的时间敏感和/或安全关键型应用程序，按需RA服务不好。最后，我们证明了ERASMUS是处理多个设备认证的一个有前途的垫脚石（即，一群人或一群人），具有很高的机动性。
2017-07-27 cs.CR
Insecure Until Proven Updated: Analyzing AMD SEV's Remote Attestation
云服务的客户必须信任云提供商，因为他们控制着形成云的构建块。这包括允许在多个租户之间共享单个硬件平台的管理程序。AMD安全加密虚拟化（SEV）声称在云场景中提供了新级别的保护。AMD SEV使用特定于虚拟机的密钥对虚拟机的主内存进行加密，从而拒绝特权更高的虚拟机管理程序访问客户机的内存。为了使云客户能够验证其虚拟机的正确部署，SEV还引入了远程证明协议。本文分析了在当前AMD Epyc Naples CPU系列上实现SEV远程证明协议的固件组件。我们证明，它是可以提取关键的CPU特定的密钥，是远程证明protocol.Building的安全性的基础上提取的密钥，我们提出的攻击，允许恶意的云提供商的SEV保护机制的完全规避。虽然AMD已经修复了底层固件问题，但我们表明，当前系列的AMD Epyc CPU，即，Naples系列不会阻止安装以前的固件版本。我们表明，我们提出的攻击的严重性是非常高的，因为没有纯粹的基于软件的缓解是可能的。这有效地使当前AMD Epyc CPU上的SEV技术在面对不受信任的云提供商时变得无用。为了克服这些问题，我们还提出了对SEV设计的强大更改，允许未来几代SEV技术减轻所提出的攻击。
2019-09-02 cs.CR
Attestation with Constrained Relying Party
针对依赖方为资源受限设备、无法支撑公钥密码学的远程证明痛点，提出仅需对称密钥与单通信信道的远程平台证明协议，6KB代码即可实现且经ProVerif验证安全。
2023-12-14 cs.CR
Attestation Waves: Platform Trust via Remote Power Analysis
证明是一个强大的工具来验证一个不可信的系统的完整性。然而，近年来，出现了不同的攻击，这些攻击能够通过内存复制、代理和rootkit攻击等危险做法误导证明过程。成功的攻击会导致系统被验证者系统认为是可信的，而证明者已经绕过了挑战。为了减轻这些针对证明方法和协议的攻击，一些提议已经考虑使用可以在外部测量的侧信道信息，如电磁（EM）发射的情况。然而，这些方法需要外部设置的物理接近度来捕获EM辐射。在本文中，我们提出了通过使用由传感器或外围设备捕获的侧信道信息来执行证明的可能性，该传感器或外围设备与执行我们旨在证明的操作的处理器系统（PS）相比位于同一片上系统（SoC）中，仅共享配电网络（PDN）。在我们的例子中，一个模数转换器（ADC），捕捉在其输入端的电压波动，而某个操作正在发生，是适合的，以表征自己，并从其他二进制文件区分。由此产生的功率迹线足以清楚地识别给定的操作，而不需要物理接近。
2021-10-04 cs.CR
SEDAT:Security Enhanced Device Attestation with TPM2.0
远程证明是验证不可信设备状态的方法之一。早期的研究已经尝试使用硬件、软件或混合方法来远程验证设备的状态。他们中的大多数人使用证明密钥作为硬件信任根，这不会检测硬件修改或伪造问题。此外，它们在验证者和证明者之间没有安全的通信信道，这使得它们容易受到现代安全攻击。本文介绍了SEDAT，一种新的方法，通过一个安全增强的通信信道的设备的远程认证。SEDAT执行硬件、固件和软件认证。SEDAT通过使用单包授权（SPA）技术，提供重放和拒绝服务（DoS）保护，增强了验证者和证明者之间通信协议的安全性。SEDAT为验证者提供了一种通过安全信道获取按需设备完整性和真实性状态的方法。它还使验证器能够检测设备上的伪造硬件、固件更改和软件代码。SEDAT验证制造商的根CA证书、平台证书、背书证书（EK）和属性证书以执行平台硬件认证。SEDAT是第一个以规范事件日志（CEL）格式（由可信计算组织推荐）表示固件和完整性度量机构（IMA）事件日志的已知工具。据我们所知，SEDAT是第一个使用可信平台模块（TPM 2.0）展示端到端硬件、固件和软件远程证明的实现，该模块可抵御DoS和重放攻击。SEDAT是第一个远程验证器，它能够从校准器中检索TPM 2.0报价，并在再生后使用软件TPM 2.0报价检查进行验证。
2021-01-16 cs.CR cs.CY
ReCFA: Resilient Control-Flow Attestation
最近的物联网应用程序逐渐使用商品软件来适应更复杂的终端系统。确保这些软件的运行时完整性对于远程控制器或云服务来说是一项具有挑战性的任务。流行的实施是运行时远程证明，它需要终端系统（证明者）为其运行时行为生成证据，并需要远程可信验证者来证明证据。控制流证明是一种运行时证明，在证明器上对远程控制流劫持进行诊断。这些认证方法大多集中在小型或嵌入式软件上。证明复杂软件的最新进展依赖于源代码和CFG遍历来测量检查点分离的子路径，这可能不适用于商品软件，并且可能导致测量中连续子路径之间的上下文丢失。在这项工作中，我们提出了一个弹性的控制流证明（ReCFA），它不需要离线测量的所有合法的控制流路径，从而可扩展到复杂的商品软件上使用。我们的主要贡献是一个多阶段的方法来压缩运行时控制流事件，因此，大量的控制流事件被抽象成一个可交付的大小。压缩方法包括过滤可跳过的调用点、折叠程序结构相关的控制流事件和贪婪压缩。我们的方法是实现二进制级别的静态分析和仪器。我们采用了影子堆栈机制，在验证，以执行上下文敏感的控制流的完整性和诊断违反安全策略的妥协控制流事件。在真实基准测试上的实验结果表明了控制流压缩的有效性和安全实施的有效性。
2021-12-11 cs.CR
HYDRA: HYbrid Design for Remote Attestation (Using a Formally Verified Microkernel)
远程证明（RA）允许可信实体（验证者）安全地测量远程不可信硬件平台（证明者）的内部状态。RA可用于在嵌入式和网络物理系统中建立静态或动态信任根。它还可以用作其他安全服务和原语的构建块，例如软件更新和补丁，可验证删除和内存重置。RA设计主要分为三类：基于硬件的、基于软件的和混合的，每一类都有自己的优点和缺点。本文介绍了第一个混合RA设计，称为HYDRONIC，建立在正式验证的软件组件，确保内存隔离和保护，以及执行访问控制的内存和其他资源。HYDRONIC通过使用正式验证的seL4微内核获得这些属性。（到目前为止，这只能通过纯粹基于硬件的设计实现。使用seL4需要对底层微处理器进行更少的硬件修改。在经过正式验证的软件组件基础上进行构建，可以增加对HYDRONIC总体设计及其实现的安全性的信心。我们实例化HYDRONIC在两个商品硬件平台和评估的性能和开销，通过实验在这样的平台上执行RA，我们表明，HYDRONIC可以证明10MB的内存在不到500毫秒时，使用基于斑点的消息认证码（MAC）计算加密校验和的内存被证明。
2017-03-14 cs.CR
On the Design and Security of Collective Remote Attestation Protocols
针对现有集体远程证明（CRA）协议设计多样、安全保障难以统一评估的问题，本文提出统一框架Catt，基于40项协议的研究定义设备角色与新安全属性，分类协议安全目标，并通过tamarin prover验证SIMPLE+协议证明其适用性。
2024-07-12 cs.CR
Teamwork Makes TEE Work: Open and Resilient Remote Attestation on Decentralized Trust
本文提出JANUS方案，通过引入PUF作为TEE内在信任根并在智能合约上实现去中心化验证与自动切换机制，构建开放且具韧性的远程证明系统，解决了传统集中式RA模型脆弱且难以适应新情况的问题。
2024-08-09 cs.CR
Formally-verified Security against Forgery of Remote Attestation using SSProve
本文基于 Rocq Prover 中的 SSProve 框架，首次对远程证明（RA）的安全属性进行了机械化形式化，通过将 RA 及其原语的安全性归约到数字签名抵御伪造的安全性，提供了 RA 协议安全的验证证据。
2025-07-14 cs.CR
SMARM+: Analyzing and Enhancing Shuffled Measurements for Remote Attestation in Real-Time IoT Settings
College of Computing, Prince of Songkla University, Phuket Campus（诗纳卡琳大学普吉校区计算机学院）
研究实时物联网环境中远程认证的SMARM，在运行FreeRTOS和Zephyr的硬件上实现并引入FAR量化其实时兼容性。发现其对块大小敏感，进而提出SMARM+，包含SMARM+PRNG和SMARM+FPE，权衡安全存储减少、认证运行时和能量开销，为不同部署提供选择指导。
2026-08-03 cs.CR
WaTZ: A Trusted WebAssembly Runtime Environment with Remote Attestation for TrustZone
本文提出 WaTZ，一个面向 Arm TrustZone 的高效安全的 WebAssembly 运行时环境及轻量级远程证明系统，通过形式化验证的协议保障代码可信执行，性能接近原生一半，为物联网设备提供安全与互操作性。
2023-05-17 cs.CR cs.DC cs.PF
D-MUTRA: DLT-based MUTual Remote Attestation for Multi-Agent Systems
sarl TAGES SOLIDSHIELD（TAGES SOLIDSHIELD有限责任公司）；IE School of Science and Technology（IE科学与技术学院）
针对多智能体系统传统远程证明的局限，本文提出基于区块链的D-MUTRA框架，实现智能体间的持续相互证明，可检测恶意软件修改，且扩展时开销可忽略。
2026-08-04 cs.CR
ESAU: Expeditious Swarm Remote Attestation for Pub-Sub IoT Networks with Untrusted Cloud-based Proxy Verifier
National Sun Yat-sen University（国立中山大学）
针对不可信云代理验证器的发布-订阅物联网网络，提出云辅助快速集群远程验证方案，解决资源受限设备轻量级验证、云侧未授权访问及RA与认证密钥交换扩展问题，经分析与仿真验证可行性。
2026-10-14 cs.CR
Evidence Tampering and Chain of Custody in Layered Attestations
该研究率先探索远程证明的证据监管链问题，基于Copland语言形式化定义运行时对手的证据篡改条件，提出识别篡改机会与策略的算法，并给出将证明转换为最大抗篡改版本的流程，以助力协议设计者压缩篡改空间。
2024-01-31 cs.CR
HPCCFA: Leveraging Hardware Performance Counters for Control Flow Attestation
University of Lübeck（吕贝克大学）；Azure Research Microsoft（微软 Azure 研究）
本文提出HPCCFA方法，通过硬件性能计数器扩展TEE，实现运行时控制流认证，防止软件漏洞被利用。
2026-03-31 cs.CR
RA-WEBs: Remote Attestation for WEB services
针对浏览器不原生支持可信执行环境远程证明导致的兼容性问题，研究提出利用现有Web机制实现即时部署的新型RA协议RA-WEBs，完成安全分析与概念验证并公开代码。
2024-11-02 cs.CR
SRACARE: Secure Remote Attestation with Code Authentication and Resilience Engine
最近的技术进步使得小型嵌入式和物联网设备的使用激增，用于收集、处理和传输安全关键信息和用户数据。这种指数级的使用在最近复杂攻击的增长中起到了催化剂的作用，例如重放、中间人和恶意代码修改，以在恶意活动中隐藏、泄漏、调整或利用安全关键信息。因此，设备的安全通信和软件状态保证（在运行时和引导时）已经成为开放的安全问题。此外，这些设备需要具有适当的恢复机制，以使其恢复到已知良好的工作状态。以前的研究人员已经证明了独立的攻击检测和保护方法。然而，他们中的大多数缺乏提供车载系统恢复和安全通信技术。为了弥合这一差距，本文提出了SRACARE-一个框架，该框架利用自定义的轻量级安全通信协议执行远程/本地认证，并通过板载弹性恢复机制进行安全启动，以保护设备免受上述攻击。该原型采用了一个高效的轻量级，低功耗的32位RISC-V处理器，安全通信协议，代码认证和弹性引擎上运行的Artix 7现场可编程门阵列（FPGA）板。这项工作提出了性能评估和国家的最先进的比较结果，这表明有前途的弹性攻击，并展示了新的保护机制与板载恢复。该框架仅用8%的性能开销和非常小的硬件-软件占用空间增加来实现这些。
2021-01-15 cs.CR
undeSErVed trust: Exploiting Permutation-Agnostic Remote Attestation
将数据和计算转移到云端的持续趋势遇到了有关隐私和知识产权保护的问题。云服务提供商（CSP）必须得到充分信任，不会篡改或泄露处理过的数据，从而阻碍了许多敏感或关键应用程序采用云服务。因此，CSP和CPU制造商正急于寻找云中安全外包计算的解决方案。虽然像英特尔SGX这样的安全区在吞吐量和大小方面受到很大限制，但AMD的安全加密虚拟化（SEV）提供了硬件支持，可以透明地保护整个虚拟机的代码和数据，从而消除安全区的性能、内存和软件适配障碍。通过引导代码完整性的证明和用于将秘密安全地传输到加密的VM中的手段，CSP被有效地从可信实体的列表中移除。已经存在对SEV的安全性的几种攻击，通过滥用I/O通道来加密和解密数据，或者通过在运行时移动加密的代码块。然而，这些攻击都没有针对证明协议，这是SEV创建的安全计算环境的核心。我们发现，Zen 1和Zen 2架构的当前认证机制存在一个重大缺陷，允许我们在不影响认证结果的情况下操作加载的代码。攻击者可能会滥用这个弱点在启动时注入任意代码，从而控制整个VM的执行，而不向VM的所有者发出任何指示。我们的攻击原语允许攻击者对引导加载程序和操作系统进行广泛的修改，例如注入间谍代码或提取秘密数据。我们提出了一个完整的端到端攻击，从最初的利用到在引导过程中泄露加密磁盘映像的密钥，使攻击者可以不受限制地访问VM的所有持久性数据。
2021-06-29 cs.CR
A TOCTOU Attack on DICE Attestation
现代物联网（IoT）部署的一个主要安全挑战是确保设备运行合法的固件而不受恶意软件的影响。这个挑战可以通过一个称为证明的安全原语来解决，它允许远程后端验证它管理的设备的固件完整性。为了加速物联网领域广泛采用证明，可信计算组织（TCG）推出了设备标识符组合引擎（DICE）系列规范。DICE是一种硬件-软件架构，用于约束，例如，基于微处理器的IoT设备，其中固件被划分为连续执行的层。在本文中，我们演示了一个远程的时间检查时间的使用（TOCTORM）攻击基于DICE的证明。我们证明，它是可能的安装持久性恶意软件的闪存的受约束的微控制器，不能通过基于DICE的认证检测。我们攻击的主要思想是在顶层固件层的应用程序逻辑运行时安装恶意软件。恶意软件读取有效的证明密钥并将其存储在设备的闪存中。重新启动后，恶意软件使用先前存储的密钥进行所有后续后端证明。我们通过面向返回的编程（ROP）进行恶意软件的安装和密钥的复制。作为演示平台，我们使用基于Cortex-M的nRF 52840微控制器。我们提供了几种可能的对策，可以减轻DICE规范的缺点的讨论。
2022-01-27 cs.CR
Implement Kubernetes Pod-Level Remote Attestation for Confidential Workloads on dstack
OPPO；Phala
提出 dstack-capsule 平台，通过两层证明架构和权限熔断机制，在 Intel TDX 上实现多个 Pod 共享一个机密虚拟机且每个 Pod 保留独立硬件背书身份的 Pod 级远程证明，避免了每 Pod 独立虚拟机的资源开销。
2026-06-03 cs.AI cs.CR
On the Verification of Control Flow Attestation Evidence
本文从验证方视角研究运行时证明证据的有效利用，提出SABRE引擎，能够基于控制流证据自动检测攻击、定位损坏数据并生成二进制补丁。
2025-07-04 cs.CR
SNPGuard: Remote Attestation of SEV-SNP VMs Using Open Source Tools
本文提出SNPGuard，一种针对AMD SEV-SNP虚拟机的开源远程证明工具，填补了VM-based TEE启动链证明工具集成的空白，支持完整性与加密文件系统两种启动工作流，并适用于Intel TDX等其他TEE。
2024-06-03 cs.CR
TPM-Based Continuous Remote Attestation and Integrity Verification for 5G VNFs on Kubernetes
针对5G云化部署中VNF运行时完整性验证缺失的问题，提出基于TPM 2.0与IMA、结合Keylime框架的Kubernetes Pod级持续远程证明方案，经k3s集群实验验证可实时检测篡改并增强5G基础设施安全性。
2025-10-03 cs.CR
Enabling Trustworthy Federated Learning via Remote Attestation for Mitigating Byzantine Threats
Virginia Tech（弗吉尼亚理工大学）
针对联邦学习易受拜占庭攻击、现有数据驱动防御误报率高的问题，提出基于远程证明的Sentinel方案，通过代码插桩和TEE可信记录器验证客户端训练完整性，在低开销下保障训练可信。
2025-08-30 cs.AI cs.CR
SinClave: Hardware-assisted Singletons for TEEs
针对TEE远程证明中仅启动时度量易引发飞地复用攻击的问题，提出SinClave硬件辅助单例飞地机制，纳入密钥与文件系统度量以保障完整性，仅带来可忽略的运行开销。
2023-11-05 cs.CR
Towards a Blockchain based digital identity verification, record attestation and record sharing system
2019冠状病毒病大流行使个人和组织重新思考处理身份验证和凭证共享的方式，特别是在隔离情况下。在这项研究中，我们调查了传统身份系统的效率低下，并讨论了区块链技术的正确实施将如何产生更安全，更安全，更尊重隐私和远程友好的身份系统。因此，我们提出了一个基于区块链的数字身份验证、记录证明和记录共享框架，并通过某些用例详细解释了该框架。我们提出的框架促进个人完全控制他们的身份数据和管理的身份数据共享的水平。
2020-06-23 cs.CR cs.DC
Remote attestation of SEV-SNP confidential VMs using e-vTPMs
本文提出基于 SEV-SNP 隔离机制的无状态临时 e-vTPM，使机密虚拟机在不信任云提供商的前提下获得私有、隔离的硬件 RoT 虚拟化与远程证明能力。
2023-06-25 cs.CR cs.OS
SecFL: Confidential Federated Learning using TEEs
Huawei Munich Research Center（华为慕尼黑研究中心）；TU Dresden（德累斯顿工业大学）
联邦学习（FL）是一种新兴的机器学习范式，它使多个客户端能够联合训练模型，以从来自客户端的不同数据集中获益，而无需共享其本地训练数据集。FL有助于降低数据隐私风险。不幸的是，FL仍然存在一些关于隐私和安全的问题。首先，有可能从共享的训练参数中泄漏敏感信息。其次，恶意客户端可以相互勾结，从普通客户端窃取数据和模型，或者破坏全局训练模型。为了应对这些挑战，我们提出了SecFL -一个利用可信执行环境（TEE）的机密联邦学习框架。SecFL在TEE飞地内执行全局和本地训练，以确保计算的机密性和完整性，以对抗具有特权访问的强大对手。SecFL提供了一种透明的远程证明机制，依赖于TEE提供的远程证明，允许客户端证明全局训练计算以及彼此的本地训练计算。因此，可以使用远程证明机制检测所有恶意客户端。
2021-10-07 cs.CR cs.LG
ACFA: Secure Runtime Auditing & Guaranteed Device Healing via Active Control Flow Attestation
针对现有控制流审计无法保证报告送达、缺乏漏洞定位与主动修复能力的问题，提出ACFA混合架构，实现连续监控、安全审计与保证修复，并在TI MSP430上验证其安全与低成本。
2023-10-19 cs.CR
SoK: A cloudy view on trust relationships of CVMs -- How Confidential Virtual Machines are falling short in Public Cloud
本文系统评估主流公有云提供商的机密虚拟机产品，揭示云提供商仍控制可信软件栈关键部分并干预远程attestation流程，从而违背机密计算将云提供商排除在可信实体之外的核心原则。
2025-03-11 cs.CR cs.DC
Enabling Secure and Usable Mobile Application: Revealing the Nuts and Bolts of software TPM in todays Mobile Devices
执行敏感操作的移动应用程序的出现给企业和用户带来了无数的安全威胁。为了从智能手机的巨大潜力中受益，需要管理威胁带来的风险，同时为用户保持一个简单的界面。在本文中，我们研究使用可信平台模型（TPM）2.0开发一个安全的应用程序，智能手机使用Windows Phone 8.1。特别是，我们建议一个框架的基础上远程认证作为一个代理来验证远程服务，设备与用户相关联，并取代用户的凭据。此外，我们还使用TPM 2.0在设备内部实现安全的信息和数据存储。我们提出了一个实施和性能评估的建议架构，使用我们的新的证明和认证方案，并揭示了在当今的移动设备中使用软件TPM的警告。
2016-06-09 cs.CR
Formal Security Analysis of the AMD SEV-SNP Software Interface
本文构建首个覆盖远程证明、密钥派生、页面交换与实时迁移的 AMD SEV-SNP 软件接口符号模型，证明关键安全属性成立，同时发现消息平台无关性导致的证明完整性攻击并给出缓解思路。
2025-01-10 cs.CR
Cryptographically Assured Information Flow: Assured Remote Execution
本文提出了一种名为CAIF的简单硬件级机制，通过密码学协议分析证明其能在强对手攻击下实现保证远程执行，支持可信远程证明和安全的远程重新编程。
2024-09-20 cs.CR cs.DC
TPMSpy: Validation of Measured Boot Systems by Low-Level Tracing of TPM Usage
Masaryk University（马萨里克大学）
TPMSpy 是一种平台无关方法，通过分析虚拟化系统与 TPM 交互的低级别使用情况，验证 Measured Boot 系统，可应用于 Linux、Windows，发现 systemd 245-258 版本的 Measured Boot 存在测量不一致等问题。
2026-09-07 cs.CR
Building secure distributed applications the DECENT way
远程证明（RA）对在受信任的执行环境（TEE）中运行的代码进行身份验证，从而允许将受信任的代码部署在不受信任的主机上。然而，分布式应用程序中的一个组件建立的信任关系可能会影响其他组件的安全性，从而难以从整体上推断应用程序的安全性。此外，传统的RA方法与现代Web服务设计的交互性很差，后者倾向于采用小型交互微服务，会话生命周期短，状态很少或没有状态。本文介绍了Decent Application Platform，这是一个用于构建安全分散应用程序的框架。体面的应用程序使用基于自证明证书的协议对分布式飞地组件进行身份验证和授权，该协议是基于RA的可重用凭证，可由第三方验证。组件之间不仅根据它们的代码，而且还根据它们信任的其他组件相互进行身份验证，以确保任何可传递连接的组件都不会接收未经授权的信息。虽然其他一些TEE框架以某种形式支持相互认证，但Decent是唯一一个支持相互认证的系统，除了可信硬件的制造商之外，不需要额外的可信第三方。我们在ProVerif中验证了Decent应用程序数据的保密性和真实性，并实现了两个应用程序来评估Decent的表现力和性能：DecentRide，一个乘车共享服务，和DecentHT，一个分布式哈希表。在YCSB基准测试中，我们发现与非Decent实现相比，DecentHT实现了7.5倍的吞吐量和3.67倍的延迟。
2022-01-31 cs.CR cs.DC
