[论文解读] TrustMee: Self-Verifying Remote Attestation Evidence

Parsa Sadri Sinaki, Zainab Ahmad+4 more|arXiv (Cornell University)|Feb 13, 2026

Security and Verification in Computing被引用 0

一句话总结

tldr: TrustMee 通过将带有签名的 WebAssembly 验证组件与 attestation 数据捆绑在一起，提供自验证远程证明证据，使平台无关的验证器能够输出 EAR 格式结果，适用于 AMD SEV-SNP 和 Intel TDX。

ABSTRACT

Hardware-secured remote attestation is essential to establishing trust in the integrity of confidential virtual machines (cVMs), but is difficult to use in practice because verifying attestation evidence requires the use of hardware-specific cryptographic logic. This increases both maintenance costs and the verifiers' trusted computing base. We introduce the concept of self-verifying remote attestation evidence. Each attestation bundle includes verification logic as a WebAssembly component signed by a trusted party. This approach transforms evidence verification into a standard code-signing problem: the verifier checks the signature on the embedded logic and then executes it to validate the evidence. As a result, verifiers can validate attestation evidence without any platform-specific knowledge. We implement this concept as TrustMee, a platform-agnostic verification driver for the Trustee framework. We demonstrate its functionality with self-verifying evidence for AMD SEV-SNP and Intel TDX attestations, producing attestation claims in the standard EAT Attestation Result (EAR) format.

研究动机与目标

• 通过将验证逻辑移入达信方提供的带签名的 WebAssembly 组件来降低验证器的平台依赖。
• 为新型TEE 提供快速支持，而无需更新验证器主机或增加其TCB。
• 在沙箱内隔离解析和密码学检查，以提高安全性和可靠性。
• 产出 EAR 格式的 attestation 结果，使不同TEE 平台下的依赖方保持一致。

提出的方法

• 将 TrustMee 定义为一个加载平台特定验证逻辑为 WebAssembly 组件的 RATS Verifier。
• 要求 attesters 提供一个带签名的 WebAssembly Verification Component，并在验证器主机上进行组件认证。
• 在 WebAssembly 沙箱内执行 Verification Component，将平台特定证据映射到平台无关的声明映射。
• 在对照参考值进行策略评估后，由 Verifier Host 对最终 EAR attestation 结果签名。
• 通过将原生验证驱动移植到 WebAssembly，为 AMD SEV-SNP 与 Intel TDX 实现 Verification Components。
• 使用 Wasmtime 托管验证组件，WASI 接口用于 HTTP 与文件系统访问。

Figure 1 : TrustMee removes the need for platform-specific code in the verifier by bundling signed verification logic with the evidence. A generic verifier checks the signature and then uses the component to process the evidence, turning the problem of verification into a problem of code signing.

实验结果

研究问题

• RQ1 一个平台无关的验证器是否能在没有平台特定验证器代码的情况下正确验证来自多种 TEE 的证明？
• RQ2 在 WebAssembly 沙箱中执行平台特定验证逻辑的安全性含义是什么？
• RQ3 与原生验证器相比，基于 WebAssembly 的验证组件的性能影响如何？
• RQ4 TrustMee 如何在不增加验证器 TCB 的前提下处理新 TEE 的加入与验证规则的更新？

主要发现

• TrustMee 实现无需平台特定代码的验证，已在 AMD SEV-SNP 和 Intel TDX 的证明中得到演示。
• 在有网络开销的端到端证明延迟中，TrustMee 相对原生基线在某些设置下对 SEV-SNP 和 TDX 的开销约为 17.2%（由 collateral 获取驱动）。
• 在无网络开销的端到端证明延迟中，TrustMee 在 Intel TDX 上的开销约为约 8.6%，而在本地缓存 collateral 时 SEV-SNP 平台的延迟约是原生的4倍左右。
• WebAssembly 中的平台特定验证时间高于原生，SEV-SNP 约有 8x 的开销，TDX 为 6.3%，很大程度上是由于 WebAssembly 中的密码学运算限制所致。
• TrustMee 通过将验证逻辑沙箱化提供更强的隔离，降低平台特定解析和证书处理错误带来的风险。
• 验证组件在加载前经过签名与验证，以防止恶意组件污染验证器。

Figure 2 : The RATS architecture data flow (adapted from [ 12 ] ).