[논문 리뷰] Integrating Remote Attestation with Transport Layer Security

Thomas Knauth, Michael Steiner외 4명|arXiv (Cornell University)|2018. 01. 17.

Security and Verification in Computing참고 문헌 12인용 수 41

한 줄 요약

본 논문은 TLS 핸드쉐이크를 변경하지 않고 Intel SGX 원격 인증을 TLS와 통합하고, attested 엔드포인트를 SGX 인클레이브에 바인딩하기 위한 OpenSSL, wolfSSL, 그리고 mbedTLS의 프로토타입 구현을 제시한다.

ABSTRACT

Intel(R) Software Guard Extensions (Intel(R) SGX) is a promising technology to securely process information in otherwise untrusted environments. An important aspect of Intel SGX is the ability to perform remote attestation to assess the endpoint's trustworthiness. Ultimately, remote attestation will result in an attested secure channel to provision secrets to the enclave. We seamlessly combine Intel SGX remote attestation with the establishment of a standard Transport Layer Security (TLS) connection. Remote attestation is performed during the connection setup. To achieve this, we neither change the TLS protocol, nor do we modify existing protocol implementations. We have prototype implementations for three widely used open-source TLS libraries: OpenSSL, wolfSSL and mbedTLS. We describe the requirements, design and implementation details to seamlessly bind attested TLS endpoints to Intel SGX enclaves.

연구 동기 및 목표

• 신뢰할 수 없는 환경에서 SGX 원격 인증을 이용한 안전한 처리의 필요성을 제시한다.
• TLS 프로토콜을 수정하지 않고 인증 결과를 TLS 연결에 매끄럽게 바인딩하는 것을 시연한다.
• 실현 가능성을 보여주기 위해 일반적인 TLS 라이브러리 전반에 걸친 실용적인 프로토타입 구현을 제공한다.
• 인증된 TLS 엔드포인트를 위한 요구사항, 설계 및 구현 세부사항을 설명한다.

제안 방법

• TLS 연결 설정 중에 원격 인증을 수행한다.
• TLS 프로토콜을 수정하지 않고 attested TLS 엔드포인트를 Intel SGX 인클레이브에 바인딩한다.
• 실현 가능성을 시연하기 위한 OpenSSL, wolfSSL, mbedTLS의 프로토타입 구현.
• 매끄러운 통합을 위한 요구사항, 설계 고려사항 및 구현 세부사항을 설명한다.

실험 결과

연구 질문

• RQ1 TLS 프로토콜이나 기존 구현을 변경하지 않고 원격 인증을 TLS와 결합할 수 있는 방법은 무엇인가?
• RQ2 Intel SGX 인클레이브에 인증된 TLS 엔드포인트를 바인딩하기 위한 설계 요구사항은 무엇인가?
• RQ3 OpenSSL, wolfSSL, mbedTLS 등 여러 오픈 소스 TLS 라이브러리에서 실용적인 프로토타입 구현이 구현될 수 있는가?
• RQ4 인증된 TLS 엔드포인트가 엔클레이브에 시크리트를 제공하도록 하기 위한 핵심 설계 및 구현 고려사항은 무엇인가?

주요 결과

• TLS 자체를 수정하지 않고 TLS 연결 설정 중에 원격 인증을 수행할 수 있다.
• OpenSSL, wolfSSL, mbedTLS에 대한 프로토타입 구현이 존재한다.
• 본 연구는 인증된 TLS 엔드포인트를 SGX 인클레이브에 바인딩하기 위한 요구사항, 설계 및 구현을 상세히 다룬다.
• 이 접근법은 인증된 보안 채널이 엔클레이브에 시크리트를 제공하도록 하는 것을 가능하게 한다.