[论文解读] SEDAT:Security Enhanced Device Attestation with TPM2.0

Avani Dave, Monty Wiseman+1 more|arXiv (Cornell University)|Jan 16, 2021

Security and Verification in Computing参考文献 20被引用 6

一句话总结

SEDAT 是一种新颖的远程证明框架，利用 TPM2.0 实现对硬件、固件和软件完整性的端到端验证，并通过单包认证（SPA）机制抵御重放攻击和拒绝服务（DoS）攻击。它是首个原生支持 IMA 和固件事件日志的规范事件日志（CEL）格式的实现，提供完全开源、安全的验证器，具备证明签名验证和安全通信通道功能。

ABSTRACT

Remote attestation is one of the ways to verify the state of an untrusted device. Earlier research has attempted remote verification of a devices' state using hardware, software, or hybrid approaches. Majority of them have used Attestation Key as a hardware root of trust, which does not detect hardware modification or counterfeit issues. In addition, they do not have a secure communication channel between verifier and prover, which makes them susceptible to modern security attacks. This paper presents SEDAT, a novel methodology for remote attestation of the device via a security enhanced communication channel. SEDAT performs hardware, firmware, and software attestation. SEDAT enhances the communication protocol security between verifier and prover by using the Single Packet Authorization (SPA) technique, which provides replay and Denial of Service (DoS) protection. SEDAT provides a way for verifier to get on-demand device integrity and authenticity status via a secure channel. It also enables the verifier to detect counterfeit hardware, change in firmware, and software code on the device. SEDAT validates the manufacturers` root CA certificate, platform certificate, endorsement certificate (EK), and attributes certificates to perform platform hardware attestation. SEDAT is the first known tool that represents firmware, and Integrity Measurement Authority (IMA) event logs in the Canonical Event Logs (CEL) format (recommended by Trusted Computing Group). SEDAT is the first implementation, to the best of our knowledge, that showcases end to end hardware, firmware, and software remote attestation using Trusted Platform Module (TPM2.0) which is resilient to DoS and replay attacks. SEDAT is the first remote verifier that is capable of retrieving a TPM2.0 quote from prover and validate it after regeneration, using a software TPM2.0 quote check.

研究动机与目标

• 解决缺乏能够同时验证硬件、固件和软件完整性的安全、端到端远程证明方案的问题。
• 缓解现有证明方案中的漏洞，例如依赖证明密钥但缺乏硬件真实性的检查机制，以及缺少安全通信通道。
• 提供一个安全的开源远程验证器，通过单包认证（SPA）抵御重放和 DoS 攻击。
• 按照可信计算组（TCG）的建议，对固件和 IMA 事件日志进行标准化并验证其是否符合规范事件日志（CEL）格式。
• 实现最小信任假设下、与 TPM2.0 标准最大兼容的按需实时设备完整性证明。

提出的方法

• 利用 TPM2.0 的证明机制，在硬件、固件和软件各层生成并验证平台完整性度量值。
• 采用单包认证（SPA）在验证器与证明者之间建立安全、经过认证的通信通道，防止重放和 DoS 攻击。
• 验证制造商提供的证书，包括根 CA、承诺（EK）、平台和属性证书，以确保硬件的真实性。
• 将固件和 IMA 事件日志转换并验证为标准化的 CEL（规范事件日志）格式，以实现互操作性并符合 TCG 推荐。
• 实现基于软件的证明签名检查模块，使远程验证器无需依赖硬件证明设备即可验证 TPM2.0 证明。
• 集成上游内核补丁，使固件事件日志符合密码学标准，并支持用户空间访问以实现远程证明。

实验结果

研究问题

• RQ1 如何设计一种远程证明系统，以在单一统一框架中安全地验证硬件、固件和软件组件的完整性和真实性？
• RQ2 哪些机制能够有效防止远程证明协议中的重放和 DoS 攻击，且不依赖复杂的密码学假设？
• RQ3 现有事件日志格式（如 IMA、固件日志）在多大程度上可以通过 TCG 推荐的 CEL 格式实现标准化和验证？
• RQ4 是否可以构建一个完全开源的远程验证器，支持最小信任假设下的端到端证明，并与 TPM2.0 标准最大兼容？
• RQ5 如何实现根证书和 EK 的安全、一次性传输至验证器，从而完成远程证明的闭环？

主要发现

• SEDAT 是首个原生将 IMA 和固件事件日志表示为 CEL 格式的已知实现，确保了标准化和互操作性。
• 该框架通过使用单包认证（SPA）成功抵御了重放和 DoS 攻击，从而保护了验证器与证明者之间的通信通道。
• SEDAT 通过在远程验证器上使用基于软件的证明签名检查模块，实现了按需、实时的设备完整性验证。
• 该系统支持完整的硬件、固件和软件证明，包括对平台根 CA、承诺（EK）和属性证书的验证。
• 所有源代码、工具和内核补丁均以 BSD 2-Clause 许可证发布，支持开放研究与实际部署。
• 原型系统展示了最小假设下的端到端证明，适用于工业控制系统和信息物理系统。