The Software Supply Chain as a Market for Lemons: A Multivocal Review of Trust Signal Collapse
North Carolina State University（北卡罗来纳州立大学）；Carnegie Mellon University（卡内基梅隆大学）
本研究通过多视角综述252个谷歌搜索来源和870个Reddit线程，揭示开源依赖项的廉价信任信号因三种力量崩溃，提出需强制实施加密证明等成本更高的信号。
2026-08-24 cs.CR cs.SE
Trustworthy and Confidential SBOM Exchange
Purdue University（普渡大学）；Intel Corporation（英特尔公司）
Petra 提出了一种通过选择性加密实现 SBOM 透明与保密平衡的交换系统，允许软件供应商安全共享遮蔽 SBOM 数据，同时保障信息安全。
2026-03-12 cs.CR
Do AI Coding Assistants Check Before They Install? A Pre-Registered Demand-Side Audit of Trust Signals in the Research Software Supply Chain
National Center for Supercomputing Applications（国家超级计算应用中心）；University of Illinois Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）
本研究通过预注册审计，发现AI编程助手在安装研究软件时极少检查信任信号，验证率仅0.5%，且价格与验证能力无关，提出应将验证内置于助手程序中。
2026-09-09 cs.AI cs.CR cs.SE
Trust, but Verify: Evaluating Developer Behavior in Mitigating Security Vulnerabilities in Open-Source Software Projects
本研究调查了开源软件项目依赖项中的漏洞及其与整体安全的关系，发现开发者常将验证器报告误判为误报，并指出减少直接依赖和选用成熟安全库是有效的缓解策略，最终修复了4个漏洞。
2024-08-26 cs.CR
Towards Zero-Trust 6GC: A Software Defined Perimeter Approach with Dynamic Moving Target Defense Mechanism
本文提出一种基于软件定义边界并融合动态移动目标防御的零信任6G核心网络架构，以替代VPN，增强对DoS和端口扫描等攻击的防御能力。
2023-12-27 cs.CR
Micro-Segmentation Anomaly Detection in Zero-Trust Software-Defined Network Fabrics
该研究针对零信任SDN的异常检测问题，提出ViT和1D-CNN模型，结合微分段技术提升检测性能，实验显示分段输入的模型F1达0.95，ViT略优于1D-CNN。
2026-08-05 cs.CR cs.CV cs.LG
Dirty-Waters: Detecting Software Supply Chain Smells
针对使用开源依赖的项目难以及时察觉软件供应链风险的问题，本文提出软件供应链坏味道概念与检测工具Dirty-Waters，经多版本JavaScript项目验证其能有效识别大量风险点，为供应链安全防护提供明确指引。
2024-10-21 cs.CR cs.SE
Software Security Rules, SDLC Perspective
软件已经成为日常生活中不可或缺的一部分。每天，数以百万计的人通过互联网，自动取款机，移动电话进行交易，他们发送电子邮件和电子问候，并使用字处理和电子表格为各种目的。人们在使用软件时要记住，软件是可靠的，可以信任的，他们执行的操作是安全的。现在，如果这些软件有可利用的安全漏洞，那么他们如何能够安全使用。安全性为软件带来了人们信任的价值。安全软件提供的价值至关重要，因为许多关键功能完全依赖于软件。这就是为什么安全是一个严肃的话题，应该在整个SDLC期间从一开始就给予适当的关注。为了在软件中正确实现安全性，本文提出了21条安全规则以及验证结果。研究发现，通过按照给定的实现机制应用这些规则，可以消除软件中的大多数漏洞，并可以构建更安全的软件。
2009-11-03 cs.CR cs.SE
Trust Nothing: RTOS Security without Run-Time Software TCB (Extended Version)
CISPA Helmholtz Center for Information Security（CISPA赫尔姆霍兹信息安全中心）
本文提出一种无需运行时软件TCB的RTOS安全机制，通过能力架构和拆分子系统实现嵌入式设备的安全设计。
2026-03-09 cs.AR cs.CR cs.OS
Stockade: Hardware Hardening for Distributed Trusted Sandboxes
基于硬件的可信执行环境（TEE）的可用性不断扩大，加速了使用TEE的新应用程序的适应。最近的研究表明，云应用程序由相互不信任的各方提供的多个分布式软件模块组成。应用程序使用多个通过软件加密的内存通道进行通信的TEE（飞地）。这样的执行模型需要双向保护：通过沙箱化保护系统的其余部分不受飞地模块的影响，以及保护飞地模块不受第三方模块和操作系统的影响。然而，当前的TEE模型（如英特尔SGX）无法有效地表示此类分布式沙箱应用。为了克服沙箱TEE缺乏硬件支持的问题，提出了一种扩展的飞地模型Stockade，它支持硬件加固的分布式沙箱。Stockade提出了新的三个关键技术。首先，它扩展了SGX中基于硬件的内存隔离，将用户软件模块仅限制在其安全区内。其次，它提出了一个可信的监视器飞地，过滤和验证来自飞地的系统调用。最后，它允许在一对安全区之间共享硬件保护的内存，以实现高效的受保护通信，而无需基于软件的加密。使用模拟SGX平台与建议的扩展，本文表明，分布式沙箱应用程序可以有效地支持SGX硬件的小变化。
2022-12-22 cs.AR cs.CR
Trust Management Model for Cloud Computing Environment
软件即服务（SaaS）是一种新的云软件开发和部署模式，并在互联网上以“按需”的方式动态提供信息技术服务。信任是存储和交付此类服务的基本安全概念之一。通常，信任因素被集成到这样的现有安全框架中，以便通过信任关系向实体协作添加安全级别。然而，在安全云环境中部署信任因子是更复杂的工程任务，由于存在异构类型的服务提供者和消费者。针对云计算环境下的SaaS，提出了一种形式化的信任管理模型来管理信任及其属性。该模型能够形式化地表示直接信任、推荐信任、信誉等信任关系。针对云环境下的信任特性分析，该方法通过计算收集信息的衰减函数、正交互次数、信誉因子和满意度来估计每个节点的信任值和不确定性。
2013-04-19 cs.CR
Embedded Blockchain Infrastructure Management (eBIM): A RISC-V-Empowered Hardware--Software Co-Design Framework Towards Trustworthy Blockchain
Cyberspace Institute of Advanced Technology, Guangzhou University, Guangdong Key Laboratory of Industrial Control System Security, and Huangpu Research School of Guangzhou University（广州大学先进科技学院、广东省工业控制系统安全重点实验室、广州大学黄埔研究院）；Department of Computer and Electrical Engineering, University of Stavanger（斯塔万格大学计算机与电气工程系）
研究针对区块链系统转变及BaaS模型局限，受eSIM启发，基于RISC-V定义嵌入式区块链基础设施管理（eBIM），通过全面调查回答相关研究问题，为研究人员等建立参考，指出其前景与研究方向。
2026-07-09 cs.AR cs.CR
TrustBOM: A Scalable Architecture for Confidentiality-Preserving SBOMs Across Organizations
Technische Universität Berlin（柏林工业大学）；Information Systems Engineering, Technische Universität Berlin（柏林工业大学信息系统工程系）
针对SBOM跨组织采用中敏感依赖信息暴露的担忧，提出TrustBOM架构，利用零知识非成员证明实现保密性，证明生成时间随约束数线性扩展，平均每约束0.9秒，适用于企业CI/CD环境。
2026-09-21 cs.CR cs.DC
ZT-SDN: An ML-powered Zero-Trust Architecture for Software-Defined Networks
本文提出ZT-SDN框架，通过将网络事务建模为图并利用无监督学习自动提取通信模式、生成访问控制规则，在软件定义网络中实现零信任安全，有效检测异常访问并支持主动规则部署。
2024-11-22 cs.CR
TruSDN: Bootstrapping Trust in Cloud Network Infrastructure
软件定义网络（Software-Defined Networking，SDN）是一种新型的云网络基础设施架构模型，可提高资源利用率、可扩展性和管理能力。SDN部署越来越依赖于在具有大代码库的商品操作系统上执行的虚拟交换机，这是攻击网络基础设施的对手的主要目标。我们描述并实现了TruSDN，这是一种使用英特尔Software Guard Extensions（SGX）在SDN基础设施中引导信任的框架，允许安全地部署SDN组件并保护网络端点之间的通信。我们引入了短暂的流特定的预共享密钥，并提出了一种新的防御布谷鸟攻击的SGX飞地。TruSDN在强大的对手模型下是安全的，性能开销很小。
2017-02-14 cs.CR cs.NI
Security Verification of Low-Trust Architectures
本文对隔离加密（SE）低信任架构进行完整正式验证，定义ISA安全需求并生成RTL证明义务，用商业工具在七个实现上验证其防数据泄露与数字侧信道的能力。
2023-09-01 cs.AR cs.CR
HermiCache: Enclave-Aware Cache Replacement for Trusted Execution Environments
ENSTA（法国国立高等先进技术学校）；Université Bretagne-Sud（南布列塔尼大学）
针对TEE缓存侧信道攻击，提出围栏感知缓存替换策略HermiCache，在RISC-V CVA6内核实现，面积开销仅6%，提供细粒度确定性保护。
2026-09-11 cs.AR cs.CR
TRUFL: Distributed Trust Management framework in SDN
软件定义网络（SDN）已成为管理云基础设施的革命性范例。SDN缺乏数据平面-控制平面元件、控制平面元件和控制平面-应用平面之间的可扩展的信任建立和验证机制。目前SDN中使用的公钥基础设施（PKI）等信任管理方案在更大的云环境中建立信任的速度很慢。提出了一种分布式信任机制TRUFL来建立和验证SDN中的信任。分布式框架在信任管理中利用并行性，与集中式信任管理相比，实际上更快的传送率和减少的延迟。TRUFL框架与现有的研究工作相比，OpenFlow规则的数量扩展良好。
2019-03-15 cs.CR
Agora: Trust Less and Open More in Verification for Confidential Computing
本文提出一种新颖的二进制验证服务AGORA，通过将特定任务委托给不可信实体并将验证器置于可信计算基内，结合基于区块链的众包技术减轻TCB规模负担，实现了开放且可公开审计的机密计算验证。
2025-10-13 cs.CR
Blockchain-based Zero Trust on the Edge
本文提出一种将区块链与零信任架构（ZTA）结合的方法，通过不可篡改地存储用户请求并识别恶意活动来增强物联网边缘安全，并在智慧城市测试平台上验证其可行性、性能、可扩展性与复杂性。
2023-11-28 cs.CR cs.DC
