[论文解读] SvTPM: A Secure and Efficient vTPM in the Cloud

Juan Wang, Chengyang Fan+6 more|arXiv (Cornell University)|May 21, 2019

Security and Verification in Computing参考文献 33被引用 8

一句话总结

SvTPM 提出了一种基于软件的虚拟可信平台模块（vTPM），通过 Intel SGX 实现安全防护，消除了对物理 TPM 的依赖，从而实现强大的运行时隔离和高性能。它解决了非易失性内存（NVRAM）替换、回滚攻击、信任建立以及可信时钟等挑战，相较于硬件保护的 vTPM，启动速度提升了 2600 倍，命令延迟低于 1 毫秒。

ABSTRACT

Virtual Trusted Platform Modules (vTPMs) have been widely used in commercial cloud platforms (e.g. Google Cloud, VMware Cloud, and Microsoft Azure) to provide virtual root-of-trust for virtual machines. Unfortunately, current state-of-the-art vTPM implementations are suffering from confidential data leakage and high performance overhead. In this paper, we present SvTPM, a secure and efficient software-based vTPM implementation based on hardware-rooted Trusted Execution Environment (TEE), providing a whole life cycle protection of vTPMs in the cloud. SvTPM offers strong isolation protection, so that cloud tenants or even cloud administrators cannot get vTPM's private keys or any other sensitive data. In SvTPM, we identify and solve a couple of critical security challenges for vTPM protection with SGX, such as NVRAM replacement attack, rollback attacks, trust establishment, and a fine-grained trusted clock. We implement a prototype of SvTPM on both QEMU and KVM. Performance evaluation results show that SvTPM achieves orders of magnitude of performance gains comparing to the vTPMs protected with physical TPM. The launch time of SvTPM is 2600$ imes$ faster than vTPMs built upon hardware TPM. In the micro-benchmarks evaluation, we find that the command execution latency of SvTPM is smaller than or equal to the existing schemes.

研究动机与目标

• 解决现有 vTPM 解决方案缺乏运行时安全保护的问题，这些方案依赖物理 TPM 或弱隔离机制。
• 克服虚拟化云环境中物理 TPM 因 I/O 吞吐量低和资源有限而导致的性能瓶颈。
• 利用硬件根植的可信执行环境（SGX）实现 vTPM 组件与云租户及管理员之间的强隔离。
• 解决在 SGX 飞地中运行的软件 vTPM 所面临的独特安全挑战，包括 NVRAM 替换、回滚攻击和信任建立问题。
• 设计细粒度的可信时钟机制，以支持纯软件 vTPM 中 TPM 的完整性与授权策略。

提出的方法

• 将基于软件的 vTPM 部署在 Intel SGX 飞地中，提供硬件根植的隔离，确保私钥和敏感数据免受虚拟机监控器和云管理员的访问。
• 实现一种安全的 NVRAM 文件抽象，通过密码学方式与 SGX 飞地绑定，防止恶意虚拟机监控器或云管理员未经授权替换。
• 提出一种新颖的信任建立协议，利用远程认证机制将 vTPM 的身份与 SGX 平台绑定，替代传统物理 TPM 芯片的背书密钥（EK）需求。
• 设计基于单调计数器和密封状态的回滚保护机制，防止对 vTPM 状态和加密值的重放与降级攻击。
• 利用 SGX 的时间戳计数器和安全时间同步机制，实现细粒度的可信时钟，以支持 TPM 的锁定与授权策略。
• 将 vTPM 集成至 KVM 和 QEMU 虚拟化平台，支持完整的 TPM 2.0 规范及多种加密算法。

实验结果

研究问题

• RQ1 如何仅通过硬件根植的可信执行环境，实现基于软件的 vTPM 在云环境和虚拟机监控器中的安全隔离？
• RQ2 当 vTPM 的持久化存储位于不受信的客户机内存中时，应采用何种机制防止 NVRAM 替换攻击？
• RQ3 在不依赖物理 TPM 的背书密钥的情况下，如何为软件生成的 vTPM 身份建立信任？
• RQ4 应采用何种安全机制防止对 vTPM 状态和加密值的回滚攻击？
• RQ5 如何在纯软件 vTPM 中实现细粒度的可信时钟，以支持 TPM 的完整性与授权策略？

主要发现

• SvTPM 相较于受物理 TPM 保护的 vTPM，启动时间提升了 2600 倍，展现出显著的性能优势。
• SvTPM 的命令执行延迟小于或等于现有方案，表明其对加密操作的开销极低。
• 原型实现支持 KVM 和 QEMU 虚拟化平台，证实其与主流云虚拟化架构的兼容性。
• SvTPM 通过密码学密封与认证机制将 NVRAM 文件与 SGX 飞地绑定，成功抵御了 NVRAM 替换攻击。
• 系统通过单调计数器与状态密封机制防止回滚攻击，确保 vTPM 状态无法被回退至先前被攻破的版本。
• SvTPM 通过 SGX 飞地的远程认证机制建立 vTPM 身份信任，消除了对物理 TPM 硬件的依赖。