机密计算实战：Intel TDX / AMD SEV-SNP / GPU TEE 的硬件级隐私保护生产部署

一、为什么需要硬件级可信执行环境

传统云计算的安全模型基于信任云服务商，但侧信道攻击（如 Spectre/Meltdown）、恶意管理员、Hypervisor 漏洞等威胁模型打破了这一假设。可信执行环境（Trusted Execution Environment, TEE）通过硬件加密将可信计算基缩小到 CPU 芯片本身。

二、Intel TDX：Trust Domain Extensions 架构深度解析

Intel TDX 是 Intel 在第四代至强可扩展处理器（Sapphire Rapids）及之后引入的机密计算硬件扩展。其核心思想是将 Hypervisor/KVM 排除在 TCB 之外，通过 CPU 硬件为信任域提供内存加密和远程证明。

2.1 架构组件

TDX 引入了三个核心角色：TD（Trust Domain，被保护的虚拟机）、SEAM（Secure Arbitration Mode，Intel 硬件引入的更高权限模式）、TD Module（运行在 SEAM 模式中的微软/Intel 联合实现的固件）。

2.2 远程证明协议

TDX 远程证明流程：1) TD 生成 REPORT 结构 2) TDX 模块将 REPORT 封装为 TD Quote 3) Quote 发往 Intel PCS 验证 TCB 版本 4) 验证方校验 Quote 中的 MRSERVER、TCB SVN、QE 证书链。

三、AMD SEV-SNP：安全嵌套分页与完整性保护

AMD 的 SEV 经历了三代演进：SEV（仅内存加密）、SEV-ES（寄存器状态加密）、SEV-SNP（Secure Nested Paging，抗重放和完整性保护）。

3.1 反向映射表（RMP）

SEV-SNP 引入的关键创新是 RMP（Reverse Mapping Table），一个由 PSP 维护的全局表，记录每个物理页的归属和访问权限。这阻止了重放攻击、别名攻击和完整性破坏。

四、GPU TEE：NVIDIA 的机密计算扩展

大模型训练和推理的隐私保护需求催生了 GPU TEE。NVIDIA 在 Hopper 架构（H100）及后续产品中引入了 GPU 机密计算能力，支持 GPU 内部的 TEE。GPU 侧 TEE 通过硬件隔离的 GPU Context 实现 GPU 内存加密和远程证明。

五、生产部署与性能考量

机密计算的性能开销因场景而异：内存加密开销约 2-5%，远程证明延迟首次 200ms-2s，I/O 路径延迟增加 10-20%。对于生产部署，推荐使用 CoCo（Confidential Containers）标准化方案。

六、总结与展望

机密计算正在从安全象牙塔走向生产级落地。Intel TDX 提供了最强的 VM 级隔离，AMD SEV-SNP 以反向映射表解决了完整性问题，NVIDIA GPU TEE 填补了 AI 推断的隐私空白。预计 2026-2027 年，机密计算将成为金融、医疗、政务云等场景的标配安全能力。