diff --git a/src/anolisos-remote-attestation.md b/src/anolisos-remote-attestation.md index 49b2137b6fcde6c23e71a695a028758885533d8a..f7852dbdbd6950c5705db30e5f42e7d34978cae4 100644 --- a/src/anolisos-remote-attestation.md +++ b/src/anolisos-remote-attestation.md @@ -8,7 +8,7 @@ TPM远程证明是一种验证计算机系统软硬件配置正确性的方法 1. 服务器验证客户端 TPM 设备。 -![截屏2023-08-22 11.45.13.png](https://intranetproxy.alipay.com/skylark/lark/0/2023/png/69457071/1692687616799-56ad0201-b13d-4888-bd6f-688947bfe9e5.png) +![remote_attestation1](images/remote_attestation1.png) 每个TPM设备都有一个唯一的非对称密钥，称为背书密钥（Endorsement Key，EK）。其中公钥被称为EKPub，私钥被称为EKPriv。 EK由TPM制造商在生产过程中烧录到TPM芯片中，并可能由制造商颁发EKCert作为公钥的数字签名。 @@ -23,7 +23,9 @@ EK由TPM制造商在生产过程中烧录到TPM芯片中，并可能由制造商 2. 服务器验证来自客户端的 TCG 事件日志。 TPM事件日志完整性验证是指确保存储在TPM（可信平台模块）中的事件日志未被篡改且保持可信的过程。 -![截屏2023-08-22 15.01.19.png](https://intranetproxy.alipay.com/skylark/lark/0/2023/png/69457071/1692687704148-cf696e5b-b2b7-4c51-a80e-2738316d1a0b.png) + + +![remote_attestation2](images/remote_attestation2.png) 在引导过程中，TPM会记录一系列的事件，例如启动固件的验证、启动操作系统的过程等。这些事件会被存储在TPM的事件日志中，以提供关于系统引导过程的可信证据。TPM会使用称为“测量”的过程来记录引导过程中的各个阶段的测量值。这些测量值是通过对引导代码和配置进行哈希计算得到的。这些测量值会被存储在事件日志中，并且使用TPM的密钥进行签名，以确保其完整性和真实性。 * 服务器向客户端平台请求quote。 diff --git a/src/images/Confidential_vTPM.png b/src/images/Confidential_vTPM.png new file mode 100644 index 0000000000000000000000000000000000000000..718d92b3fe13eab1405a9ce07060b2df68613ea4 Binary files /dev/null and b/src/images/Confidential_vTPM.png differ diff --git a/src/images/remote_attestation1.png b/src/images/remote_attestation1.png new file mode 100644 index 0000000000000000000000000000000000000000..0cbefc0c71829e052039f5aadd652bfd30302037 Binary files /dev/null and b/src/images/remote_attestation1.png differ diff --git a/src/images/remote_attestation2.png b/src/images/remote_attestation2.png new file mode 100644 index 0000000000000000000000000000000000000000..47e368e6490ea1992b8fdea78f43fbf92872c65e Binary files /dev/null and b/src/images/remote_attestation2.png differ diff --git a/src/practices-Confidential_vtpm.md b/src/practices-Confidential_vtpm.md index ad04b540293cb39db754b630567196298a0123a1..9799f5005ff4344637beb5c7a3515067b6b4c11c 100644 --- a/src/practices-Confidential_vtpm.md +++ b/src/practices-Confidential_vtpm.md @@ -40,7 +40,7 @@ Confidential vTPM的解决方案由四个部分组成：前端、后端、认证 TPM attestation服务和可信CA是可以由运营商或用户部署的第三方可信服务（若用户不相信运营商可由自己部署）。这些服务可以提供数字身份验证和认证，以确保设备或用户身份的真实性和数据的机密性，并提供可信计算的证明。 -![cvtpm.excalidraw.png](https://intranetproxy.alipay.com/skylark/lark/0/2023/png/69457071/1692948401615-764bbb92-585a-48a6-ad28-f704893f3fbe.png) +![cvtpm.png](images/Confidential_vTPM.png) * 在前端处理过程中，采用了虚拟I/O (virtio) 技术，对涉及到可信平台模块 (TPM) 消息传递的 qemu/edk2/kernel 组件进行了增强。这种改进确保了来自Guest OS的消息在传递到 qemu 之前已经被加密，从而提升了消息的机密性。 * 在后端处理过程中，将软件TPM (swtpm) 部署在具有安全保护的可信执行环境 (TEE) 中。这种部署方式确保了敏感信息在后端设备实例中的机密性。通过引入了第三方证书颁发机构 (CA) 来管理虚拟 TPM EK 证书，提高了证书的合法性和可信度。