Secure Hardware Enclaves (SHE)

Mitä ovat suojatut laitteistoenklaveet (SHE)?

Ne ovat sirun sisällä oleva lukittu huone, jossa koodi suoritetaan ja dataa säilytetään niin, ettei kukaan pääse kurkkimaan — ei edes käyttöjärjestelmä. Kryptossa tämä tarkoittaa, että arkaluonteiset asiat, kuten allekirjoittaminen ja avainten käsittely, tapahtuvat suojatulla alueella. Kuvittele VIP-koppi, jonka ovella on portsarit eikä puhelimia sallita.

Miten suojatut laitteistoenklaveet (SHE) toimivat

Kuvittele sovellus pyytämässä sirua tekemään jotain arkaluonteista, kuten allekirjoittamaan viestin, samalla kun kaikki ulkopuolinen pysyy tietämättömänä yksityiskohdista.

• Vaihe 1: Sovelluksesi pyytää enklaavisessiota ja lataa pienen, auditoidun ohjelman.
• Vaihe 2: Enklaavi luo yksityiset avaimesi ja tallentaa ne suojattuun tallennustilaan paljastamatta niitä koskaan isäntälaitteelle.
• Vaihe 3: Hyväksyt toiminnon, enklaavi allekirjoittaa sirun sisällä, ja vain allekirjoitus poistuu sieltä.
• Vaihe 4: Etäosapuolet voivat pyytää enklaavia todistamaan aitoutensa ja sen, että se suorittaa odotettua koodia. Tätä kutsutaan attestaatioksi.
• Vaihe 5: Lokit tai kuitit toimitetaan auditointeja varten, mutta salaisuudet pysyvät sisällä. Siistiä ja rajattua.

Melko näppärää, vai mitä?

Miksi suojatut laitteistoenklaveet (SHE) ovat tärkeitä

Tällä on merkitystä, koska raha liikkuu siellä, missä on luottamusta. SHE tarjoaa tiukemman luottamusrajan tekemättä sinusta kokopäiväistä tietoturva-asiantuntijaa.

• Hyöty: Avainten käsittely on turvallisempaa, haittaohjelmilla on vähemmän mahdollisuuksia urkkia tietoja ja allekirjoitusprosessit sujuvat jouhevammin.
• Näkökulma: Enklaavit voivat liittää tuloksiin kryptografisia todisteita, joiden avulla muut voivat varmistaa sääntöjen noudattamisen.
• Merkitys: Niitä käytetään lompakoissa, validaattorilaitteissa, pörssien säilytyspalveluissa, oraakkeleissa ja rollup-infrastruktuurissa.

Suojattujen laitteistoenklavien (SHE) keskeiset ominaisuudet

Niiden erottaa muista helposti muistettavien ominaisuuksien joukko:

• Eristys: Koodi ja data suoritetaan suojatulla alueella, jota isäntäkone ei voi lukea.
• Sinetöinti: Levossa olevat salaisuudet sidotaan kyseiseen laitteeseen ja enklaavin identiteettiin.
• Attestaatio: Etänä annettava todiste siitä, että aito laitteisto suorittaa tiettyä ohjelmaa.
• Minimalistisuus: Pieni koodimäärä pienentää riskejä ja pitää tarkastukset realistisina.
• Rajoitukset: Sisäänrakennetut rajoittimet ja tarkistukset hidastavat raakaa voimaa hyödyntäviä hyökkäysyrityksiä.

Muunnelmat

Sirujen ja tuotteiden välillä on erilaisia toteutuksia. Sama idea, eri kuori:

1. CPU: Intel SGX, AMD SEV, ARM TrustZone ja Apple Secure Enclave yleiseen laskentaan ja allekirjoittamiseen.
2. HSM:t: Pörssien ja rahoituslaitosten säilytykseen ja kotiutusten hallintaan käyttämät laitteistopohjaiset tietoturvamoduulit.
3. Mobiili: Puhelimiin tarkoitetut enklaavit, jotka suojaavat lompakon avaimia ja biometrisiä tarkistuksia.
4. Pilvi: Luottamuksellisen laskennan palvelut palvelimille, joiden työkuormat tarvitsevat suojausta ja etäattestaatiota.

Joissakin toteutuksissa enklaavit yhdistetään jopa MPC:hen, jotta voidaan allekirjoittaa yhdessä transaktioita ja parantaa järjestelmän kestävyyttä.

Esimerkki

Validaattoripalvelu suorittaa allekirjoittajansa sirun enklaavissa, jolloin avain ei koskaan päädy isäntälaitteelle, ja solmu lähettää allekirjoitettuja viestejä tavalliseen tapaan.

Hauska fakta

Akateemiset tutkimusryhmät ovat löytäneet haavoittuvuuksia tunnetuista enklaaveista esimerkiksi Foreshadow- ja Plundervolt-hyökkäyksillä. Siksi ammattilaiset käyttävät edelleen useita suojauskeinoja, kuten nopeusrajoituksia, auditointeja ja verkon segmentointia.

Yhteenveto

Ajattele sitä yksityisenä huoneena koodille ja salaisuuksille. Se toimii parhaiten, kun tietoturvan perusasiat ovat kunnossa ja luotat mutta tarkistat.