Mettere i segreti in enclave

2

Come una macchina client potrebbe mettere segreti nel server abilitato a sgx proteggendolo dall'uomo in mezzo considerando che il server è malizioso e inoltre ho letto da qualche parte su Internet che non dovresti creare segreti in enclave, piuttosto dovresti mettere i segreti direttamente nell'enclave da il tuo cliente che considera il cliente non è malizioso.

Quando dico MIM intendo OS come uomo nel mezzo.

Conosco l'uso della connessione TLS.

Ho letto sull'attestazione remota, il client deve anche essere una macchina abilitata per sgx e come potrei mettere direttamente i segreti in enclave se il client è una macchina non sgx mentre protegge dall'attacco mim?

    
posta Roshan Mehta 09.12.2017 - 05:58
fonte

1 risposta

1

Il client non ha bisogno di supportare SGX per interfacciarsi con un servizio che utilizza SGX. Infatti, a meno che non si preveda di utilizzare l'attestazione remota, non è possibile che il server sappia se il client supporta o meno SGX.

SGX consente di eseguire codice specializzato all'interno di una "enclave sicura" nel processore: lo stato del processo non può essere esaminato da un debugger e la memoria utilizzata dall'enclave sicura è protetta contro l'accesso anche dal sistema operativo.

Un modo tipico per inserire dati nell'enclave è generare una coppia di chiavi pubblica / privata all'interno dell'enclave, esportare la chiave pubblica all'esterno dell'enclave, quindi fare in modo che il client crittografi i dati con la chiave pubblica. I dati (ora crittografati) vengono copiati nell'enclave (anche tramite la rete, se necessario) e quindi decifrati all'interno dell'enclave SGX. A questo punto, l'enclave può eseguire qualsiasi operazione sui dati.

Si noti che SGX può anche utilizzare la chiave di tenuta dell'hardware per mantenere i dati che possono essere ripristinati solo sullo stesso host.

C'è stata un'ottima presentazione su SGX a Black Hat USA 2016 che fornisce ulteriori dettagli di implementazione su alcuni di questi aspetti.

    
risposta data 08.01.2018 - 04:13
fonte

Leggi altre domande sui tag