机密计算与可信执行环境（TEE）深度解析：Intel TDX、AMD SEV-SNP、GPU TEE与远程认证协议

一、机密计算的定义与威胁模型

机密计算（Confidential Computing）是一种通过硬件级可信执行环境（TEE, Trusted Execution Environment）保护使用中数据（Data-in-Use）的安全技术。传统加密保护静态数据（Data-at-Rest）和传输数据（Data-in-Transit），但数据在处理时必须以明文存在于内存中，这使得拥有系统权限的攻击者（包括恶意管理员、Hypervisor、甚至物理接触服务器的人）可以直接读取内存内容。

TEE 的核心思想是在处理器内部创建一个隔离的加密内存区域，即使拥有最高权限的软件（OS、Hypervisor、BMC）也无法窥探其内容。机密计算的三大安全属性：

• 机密性（Confidentiality）：未经授权的实体无法读取 Enclave/TD 内的数据
• 完整性（Integrity）：未经授权的实体无法修改 Enclave/TD 内的代码或数据
• 可验证性（Verifiability）：通过远程认证（Remote Attestation）向第三方证明运行环境的真实性

二、Intel Trust Domain Extensions (TDX)

Intel TDX（2023年随第四代/至强Sapphire Rapids推出）是 Intel 最新的机密计算技术，相比 SGX 有根本性的架构差异：

TDX 的关键组件：

• SEAM (Secure Arbitration Mode)：Intel 新增的 CPU 特权模式（高于 VMX root），运行 TDX 模块，管理 TD 生命周期
• TDREPORT：CPU 指令生成的结构化引用，包含 TCB 版本、TD 度量值（MRTD）和 4 个运行时度量（RTMR），由硬件直接签名
• Quoting TD：特权 TD，将 TDREPORT 转换为 ECDSA 签名的 Quote，供远程方验证
• Multi-Key Total Memory Encryption (MKTME)：为每个 TD 分配独立加密密钥，硬件自动加解密内存总线

三、AMD Secure Encrypted Virtualization - SEV-SNP

AMD 的 TEE 技术演进路线：SEV → SEV-ES → SEV-SNP：

• SEV：虚拟机内存透明加密（SME + VM 级密钥），但 Hypervisor 仍可篡改页表映射和寄存器状态
• SEV-ES：加密保存（Encrypted Save Area）保证 VM 挂起时寄存器状态不被宿主机读取
• SEV-SNP（2021，Milan）：引入 RMP (Reverse Map Table) 防篡改页表、VMPL（虚拟机特权级）隔离、injective mapping 防止内存别名攻击

SEV-SNP 的远程认证流程：

1. Guest 请求 VMM 调用 GHCB 协议下发 SNP_ATTESTATION_REPORT
2. CPU 中的 ASP（AMD Secure Processor）生成包含 LD（Launch Digest）和 4 个 PCR 扩展的报告
3. 报告使用设备唯一密钥（VCEK = Versioned Chip Endorsement Key）由 AMD 根密钥（ARK/ASK）背书签名
4. 认证方验证证书链：VCEK → ASK → ARK，确认报告来自真实 AMD EPYC 芯片

四、GPU TEE：NVIDIA Confidential Computing

NVIDIA 在 Hopper 架构（H100, 2022）中引入 GPU 机密计算支持，这是 AI 训练/推理场景保护模型权重和推理数据的关键技术：

• GPU 直通模式 + 机密计算：Host 驱动仅作为消息代理，无法访问 GPU 显存中的明文数据
• 硬件认证：GPU 固件生成 attestation 报告，包含 GPU 状态、驱动版本、固件哈希，由 NVIDIA 证书链背书
• vGPU 机密计算（R570+ 驱动）：多个 GPU 实例独立隔离，各 VM 的模型权重和推理请求互不泄露
• 端到端TLS in GPU：GPU 内核内直接执行 TLS 加解密，明文绝不出 GPU 内存边界

GPU TEE 架构安全边界：Host CPU 上的 CUDA 驱动保留内存分配任务，但所有计算操作（GEMM、FFN、Softmax）和中间激活值全部在 GPU 显存中以加密形式存在（硬件 AES-256-GCM 透明加密），Host 侧仅能看到密文。

五、远程认证协议（Remote Attestation）工程实践

远程认证是机密计算落地的关键协议，使依赖方（Relying Party）能够验证服务运行在真实的、最新的硬件 TEE 上。现代远程认证由 IETF RATS 框架定义：

• Evidence：由 Attester（如 TD 或 Enclave）生成的身份证明（Quote、TPM PCR、CWT token）
• Endorsement：硬件厂商提供的参考值和证书（如 Intel PCS、AMD KDS）
• Appraisal Policy：依赖方定义的验证逻辑（TCB 是否在最新版本、TCB 是否被撤销）

实际部署中常见的远程认证架构：

Client ──TLS──> Relying Party ──RA─TLS──> Attester (TD/Enclave)
              │                          │
              ├──Verification──> Intel PCS / AMD KDS
              └──Secret Injection──> 认证通过后下发 API Key / 加密密钥

Key 封装机制（Key Release / Sealing）：

• Sealing：将数据绑定到特定平台/Enclave 状态，只有相同状态才能解封
• Key Release：通过远程认证报告中的度量值协商密钥（如 vTPM 密封 + TDX Quote 释放）

六、机密计算平台：Constellation、Occlum、Mystikos、EGo

开源社区提供了多个降低 TEE 使用门槛的框架：

• Constellation（Edgeless Systems）：Kubernetes 上的机密计算全栈，Pod 运行在 TD 中，Overlay 网络使用 WireGuard + IPsec，统一远程认证 Node 身份
• Occlum（Ant Group）：LibOS TEE SDK，以 Library OS 方式加载 SGX 应用，系统调用在 Enclave 内转发，避免 SDK 重构
• EGo / Mystikos（Microsoft）：基于 Open Enclave SDK 的 Go/.NET TEE 开发框架，一行 ego run 替代传统编译链路
• Confidential Containers（CoCo, CNCF）：CRI-O + Kata Containers 的机密计算扩展，Pod 级 TEE 透明化，兼容 OCI 镜像链

七、场景落地与性能开销

机密计算的性能开销来源：

• 内存加密：MKTME/SME 增加 ~5-10% 内存延迟（加密引擎硬件开销极低）
• VM Exit 频率：TDX 中 TD 的 MMIO/IO 访问需经 SEAMCALL 切换，高频 I/O 场景（NVMe、网络）建议使用设备直通（PCI Passthrough）或 DDA（Discrete Device Assignment）
• 远程认证延迟：首次 Quote 生成 ~200ms（PCS 在线验证），缓存后每次 ~1ms
• GPU TEE：H100 机密模式下 CUDA 内核启动延迟增加约 10-30μs，吞吐量影响 CoRIM（Concise Reference Integrity Manifest）

典型应用：

• MPC / 联邦学习：多方在不泄露原始数据的前提下联合训练模型
• 密钥管理：HSM 替代，密钥在 TEE 内生成和使用，即使数据中心管理员也无法导出
• AI 模型保护：闭源模型在 TEE 内推理，用户数据和模型权重均对云服务商不可见
• 机密数据库：查询处理和索引操作全在 TD 内执行，DBA 无法查看数据内容

八、挑战与未来方向

机密计算仍面临多项挑战：

• TCB 复杂性：微代码漏洞（如 Downfall/GPZ、Indel-SPOILER）可能需撤销整个硬件批次
• 侧信道攻击：CPU 推测执行（Spectre 类）、缓存时序、功率分析等硬件级漏洞持续出现
• 认证可用性：厂商证书服务（PCS/KDS）的停机可能导致整个集群无法启动
• 互操作性：不同 TEE 架构（TDX/SEV-SNP/TrustedZone）的认证报告格式不统一

标准化方向：IETF 的 EAT（Entity Attestation Token）、CoRIM（Concise Reference Integrity Manifest） 正推动统一认证格式。硬件侧：CCA（ARM Confidential Compute Architecture）、RISC-V Keystone 等架构持续扩展 TEE 生态。