security - 客户端如何与英特尔 SGX enclave 实例共享秘密，而不让托管 enclave 的服务器知道它？

Question

我知道有可用于 SGX 的 SSL 库。但是如何在不让主机知道的情况下在新交所和客户之间建立秘密呢？简单的方法失败了，比如：

在 SGX 中内置一个公私密钥对，然后客户端将会话密钥发送到 SGX。会话密钥由新交所的公钥加密。

这不起作用，因为主机可以直接从已编译的 SGX enclave 可执行文件中获取私钥。

在 SGX 中运行 https 服务器也不能解决问题，这也是因为 SGX 和客户端之间没有身份验证或预共享密钥。

Answer 1

您正在寻找的内容称为“（远程）证明”。此过程用于验证您的编译飞地没有被篡改，并且（远程）节点确实是您期望的节点。

作为证明步骤的一部分，您可以与 enclave 安全地交换信息（也许是会话密钥）。