[发明专利]用于可信执行环境的可缩放鉴证

说明书

本公开涉及用于可信执行环境的可缩放鉴证。在函数即服务(FaaS)环境中，客户端利用在FaaS服务器上的可信执行环境(TEE)内执行的函数。FaaS平台的多个租户可以提供将由FaaS平台经由网关执行的函数。每个租户可以为任何数目的函数提供代码和数据，以便在FaaS平台上的任何数目的TEE内执行，并且经由网关来访问。此外，每个租户可以为单个代理鉴证者TEE提供代码和数据。租户的客户端设备使用代理鉴证者TEE来鉴证该租户的每个其他TEE，并且与这些TEE中的函数建立信任。一旦这些函数已被鉴证，客户端设备就会相信租户的其他TEE是在与网关相同的平台上运行的。

技术领域

本文公开的主题概括而言涉及硬件可信执行环境(trusted executionenvironment，TEE)。具体而言，本公开针对的是用于TEE中的函数的可缩放鉴证(scalableattestation)和协调(orchestration)的系统和方法。

背景技术

硬件权限级别可被处理器用来限制在设备上运行的应用的存储器访问。操作系统以较高的权限级别运行，并且可以访问设备的所有存储器，并且为其他应用定义存储器范围。运行在较低权限级别的应用，被限制在操作系统定义的范围内访问存储器，而不能够访问其他应用或操作系统的存储器。然而，没有针对恶意的或被破坏的操作系统来对应用进行保护。

飞地(enclave)由处理器保护启用，这些处理器保护保证了在飞地内部加载的代码和数据受到保护，不会被在飞地之外执行的代码访问。从而，飞地提供了一个隔离的执行环境，该执行环境在硬件级防止了飞地中包含的数据和代码被恶意软件(包括操作系统)访问。

发明内容

根据本公开的一方面，提供了一种提供可信执行环境(TEE)的远程鉴证的系统，所述系统包括：至少一个处理器；与所述处理器操作性耦合的网络接口；以及与所述至少一个处理器耦合来存储指令的存储器，所述指令当被所述处理器执行时，使得所述至少一个处理器执行操作，所述操作包括：为第一函数创建第一TEE；为第二函数创建第二TEE；为对所述第一函数的远程访问提供网关；经由所述网络接口从客户端设备接收验证所述第二TEE的完好性的请求；并且响应于所述请求：执行所述第一函数以为所述第二TEE生成鉴证数据；并且经由所述网络接口向所述客户端设备提供所述鉴证数据。

根据本公开的一方面，提供了一种提供可信执行环境(TEE)的远程鉴证的方法，所述方法包括：由处理器为第一函数创建第一TEE；由所述处理器为第二函数创建第二TEE；由所述处理器为对所述第一函数的远程访问提供网关；经由网络接口从客户端设备接收验证所述第二TEE的完好性的请求；响应于所述请求：由所述处理器执行所述第一函数以为所述第二TEE生成鉴证数据；并且经由所述网络接口向所述客户端设备提供所述鉴证数据。

根据本公开的一方面，提供了一种具有指令的非暂态计算机可读介质，所述指令用于使得至少一个处理器通过执行操作来提供可信执行环境(TEE)的远程鉴证，所述操作包括：为第一函数创建第一TEE；为第二函数创建第二TEE；为对所述第一函数的远程访问提供网关；经由网络接口从客户端设备接收验证所述第二TEE的完好性的请求；响应于所述请求：执行所述第一函数以为所述第二TEE生成鉴证数据；并且经由所述网络接口向所述客户端设备提供所述鉴证数据。

附图说明

在附图中以示例而非限制方式图示了一些实施例。

图1是根据一些示例实施例图示出适合于使用TEE提供函数即服务的服务器的网络环境的网络图。

图2是根据一些示例实施例的适合用于TEE的可缩放鉴证的函数即服务服务器的框图。

图3是现有技术的基于环的存储器保护的框图。

图4是根据一些示例实施例的适合于减小TEE的时延的基于飞地的存储器保护的框图。

图5是根据一些示例实施例的适合用于TEE的可缩放鉴证的数据库模式的框图。