[論文レビュー] MAGE: Mutual Attestation for a Group of Enclaves without Trusted Third Parties

Guoxing Chen, Yinqian Zhang|arXiv (Cornell University)|Aug 21, 2020

Security and Verification in Computing参考文献 56被引用数 9

ひとこと要約

Mageは、信頼できる第三者に依存せずに、Intel SGXのエナclave群間での相互認証を可能にするフレームワークを提案する。各エナclaveは自らの初期データのみを用いて、他のエナclaveの測定値を導出可能であり、新たな測定値導出技術により、信頼確立における相互依存性の問題を克服する。プロトタイプは実世界のシナリオにおける実現可能性と性能を示している。

ABSTRACT

Intel Software Guard Extensions (SGX) local and remote attestation mechanisms enable an enclave to attest its identity (i.e., the enclave measurement, which is the cryptographic hash of its initial code and data) to an enclave. To verify that the attested identity is trusted, one enclave usually includes the measurement of the enclave it trusts into its initial data in advance assuming no trusted third parties are available during runtime to provide this piece of information. However, when mutual trust between these two enclaves is required, it is infeasible to simultaneously include into their own initial data the other's measurements respectively as any change to the initial data will change their measurements, making the previously included measurements invalid. In this paper, we propose MAGE, a framework enabling a group of enclaves to mutually attest each other without trusted third parties. Particularly, we introduce a technique to instrument these enclaves so that each of them could derive the others' measurements using information solely from its own initial data. We also provide a prototype implementation based on Intel SGX SDK, to facilitate enclave developers to adopt this technique.

研究の動機と目的

• 機密計算におけるエナclave間の相互信頼の課題に取り組む。ここでは、各エナclaveが外部機関に依存せずに相手のアイデンティティを検証できるようにする必要がある。
• リモートアテステーションにおける相互依存性問題を解決する。両方のエナclaveが相手の測定値を自らの初期データに含めることで、自身の測定値が無効化されてしまうためである。
• 各エナclaveが自らの初期データと実行時情報のみを用いて、相手エナclaveの測定値を暗号的に導出可能であることで、分散型で信頼できない相互認証を実現する。
• 分散型マイクロサービスやプライバシー保護型データ共有など、相互信頼を要する安全な共同アプリケーションを、信頼できる中間者を導入せずに実現する。
• Intel SGX SDKに基づくプロトタイプ実装を通じて、実用的で拡張可能なソリューションを提供し、エナclave開発者による実世界への採用を促進する。

提案手法

• 各エナclaveが自らの初期データと実行時において生成された共有秘密のみを用いて、他のエナclaveのMRENCLAVEを計算できる測定値導出メカニズムを導入する。
• 鍵導出関数（KDF）と安全チャネルを介して確立された共有秘密に基づく暗号的構成を用い、導出プロセスをエナclaveのアイデンティティと実行時コンテキストに束縛する。
• 独自のランタイムコンponentを統合し、アイデンティティから導出パrameterへの事前共有マッピングを用いて、相手エナclaveの測定値を正しくかつ整合性を保って計算する。
• Intel SGXのハードウェア支援型アテステーションおよびシーリングメカニズムを活用し、導出された測定値を実際のエナclaveコードおよびデータに束縛することで、正しく動作するエナclaveのみが有効な測定値を生成できることを保証する。
• 各エナclaveが相手の導出測定値をクォートと照合することで、相手の測定値を独立に検証するプロトコルを設計し、ペアの測定値をハードコードすることなく双方向の信頼確立を可能にする。
• Intel SGX SDKを用いてフレームワークを実装し、既存のアテステーションおよびシーリングプリミティブと統合することで、互換性とパフォーマンスを確保する。

実験結果

リサーチクエスチョン

• RQ1 信頼できる第三者に依存せずに、2つ以上のエナclaveが互いにアイデンティティを相互に認証する方法は何か？
• RQ2 エナclaveが自らの初期データと実行時情報のみを用いて、他のエナclaveの測定値を導出できるメカニズムは何か？
• RQ3 相手エナclaveの測定値をハードコードすることで生じる相互依存性の問題を回避できるか、相互認証を実現できるか？
• RQ4 実際のSGXベースシステムにおいて、実行時測定値導出を用いた相互認証のパフォーマンスオーバーヘッドはどの程度か？
• RQ5 このアプローチは、分散型信頼モデルにおける複数エナclave間のグループ相互認証をサポートできるか？

主な発見

• Mageは、信頼できる第三者を必要とせず、各エナclaveが自らの初期データと共有秘密のみを用いて相手エナclaveの測定値を導出可能であることで、エナclave間の相互認証を成功裏に実現した。
• プロトタイプ実装により、測定値導出メカニズムが実現可能であり、測定可能な遅延範囲内に収まり、暗号演算および安全チャネルのセットアップに起因するオーバーヘッドが確認された。
• フレームワークは、移動端末とクラウドエナclaveが相互信頼のもとでデータを交換するプライバシー保護型パンデミック追跡などのユースケースにおいて、安全な協働を可能にした。
• Mageは、相手エナclaveの測定値を自らの初期データに格納するのを分離することで、相互依存性の問題を回避し、エナclaveのMRENCLAVEの整合性を保った。
• このソリューションは、既存のIntel SGXセキュリティプリミティブ（クォートおよびシーリング）と互換性があり、既存のエナclave開発ワークフローに統合可能である。
• このフレームワークはエナclaveのアップデートをサポートしない。エナclaveコードの変更は導出測定値を無効化し、信頼の再評価を必要とするため、変更不能かつ監査可能なエナclaveのセキュリティモデルと整合する。