2025-11-18T12:28:13.304767

Proof of Cloud: Data Center Execution Assurance for Confidential VMs

Rezabek, Mahhouk, Miller et al.

Confidential Virtual Machines (CVMs) protect data in use by running workloads inside hardware-isolated environments. In doing so, they also inherit the limitations of the underlying hardware. Trusted Execution Environments (TEEs), which enforce this isolation, explicitly exclude adversaries with physical access from their threat model. Commercial TEEs, e.g., Intel TDX, thus assume infrastructure providers do not physically exploit hardware and serve as safeguards instead. This creates a tension: tenants must trust provider integrity at the hardware layer, yet existing remote attestation offers no way to verify that CVMs actually run on physically trusted platforms, leaving today's CVM deployments unable to demonstrate that their guarantees align with the TEE vendor's threat model. We bridge this confidence gap with Data Center Execution Assurance (DCEA), a design generating "Proofs of Cloud". DCEA binds a CVM to its underlying platform using vTPM-anchored measurements, ensuring CVM launch evidence and TPM quotes refer to the same physical chassis. This takes advantage of the fact that data centers are often identifiable via TPMs. Our approach applies to CVMs accessing vTPMs and running on top of software stacks fully controlled by the cloud provider, as well as single-tenant bare-metal deployments with discrete TPMs. We trust providers for integrity (certificate issuance), but not for the confidentiality of CVM-visible state. DCEA enables remote verification of a CVM's platform origin and integrity, mitigating attacks like replay and attestation proxying. We include a candidate implementation on Google Cloud and Intel TDX that leverages Intel TXT for trusted launch. Our design refines CVMs' threat model and provides a practical path for deploying high-assurance, confidential workloads in minimally trusted environments.

academic

क्लाउड का प्रमाण: गोपनीय VMs के लिए डेटा सेंटर निष्पादन आश्वासन

मूल जानकारी

पेपर ID: 2510.12469
शीर्षक: Proof of Cloud: Data Center Execution Assurance for Confidential VMs
लेखक: Filip Rezabek, Moe Mahhouk, Andrew Miller, Stefan Genchev, Quintus Kilbourn, Georg Carle, Jonathan Passerat-Palmbach
वर्गीकरण: cs.CR (क्रिप्टोग्राफी और सुरक्षा), cs.DC (वितरित, समानांतर और क्लस्टर कंप्यूटिंग)
प्रकाशन तिथि: 14 अक्टूबर 2024 (arXiv प्रीप्रिंट)
पेपर लिंक: https://arxiv.org/abs/2510.12469

सारांश

गोपनीय वर्चुअल मशीनें (CVMs) हार्डवेयर-अलग वातावरण में कार्यभार चलाकर उपयोग में डेटा की सुरक्षा करती हैं। हालांकि, वे अंतर्निहित हार्डवेयर की सीमाओं को भी विरासत में लेती हैं। विश्वसनीय निष्पादन वातावरण (TEEs) इस अलगाव को लागू करते हैं, लेकिन उनका खतरा मॉडल स्पष्ट रूप से भौतिक पहुंच वाले हमलावरों को बाहर करता है। व्यावसायिक TEE (जैसे Intel TDX) मानते हैं कि बुनियादी ढांचा प्रदाता भौतिक स्तर पर हार्डवेयर का दुरुपयोग नहीं करेंगे। यह एक विरोधाभास पैदा करता है: किरायेदारों को हार्डवेयर स्तर पर प्रदाता की अखंडता पर विश्वास करना चाहिए, लेकिन मौजूदा दूरस्थ प्रमाण यह सत्यापित नहीं कर सकते कि CVM वास्तव में भौतिक रूप से विश्वसनीय प्लेटफॉर्म पर चल रहा है। यह पेपर डेटा सेंटर निष्पादन आश्वासन (DCEA) डिज़ाइन प्रस्तावित करता है, जो "क्लाउड प्रमाण" उत्पन्न करता है, vTPM-एंकरित माप के माध्यम से CVM को अंतर्निहित प्लेटफॉर्म से बांधता है, यह सुनिश्चित करता है कि CVM बूट साक्ष्य और TPM प्रमाण एक ही भौतिक चेसिस की ओर इशारा करते हैं।

अनुसंधान पृष्ठभूमि और प्रेरणा

समस्या परिभाषा

वर्तमान गोपनीय वर्चुअल मशीनें (CVMs) एक महत्वपूर्ण सुरक्षा खामी का सामना करती हैं: जबकि TEE यह साबित कर सकता है कि "कौन सा कोड चल रहा है", यह साबित नहीं कर सकता कि "कोड कहाँ चल रहा है"। यह "स्थान-अज्ञेय" अंधापन दुर्भावनापूर्ण ऑपरेटरों को अपने नियंत्रित हार्डवेयर पर कथित रूप से विश्वसनीय कार्यभार चलाने की अनुमति दे सकता है, साथ ही वैध प्रमाण भी उत्पन्न कर सकता है।

समस्या की महत्ता

खतरा मॉडल की खामी: व्यावसायिक TEE (Intel TDX, AMD SEV-SNP) का खतरा मॉडल मानता है कि हमलावर सर्वर तक भौतिक पहुंच नहीं रख सकते, लेकिन वास्तव में इस धारणा को सत्यापित नहीं किया जा सकता
व्यावहारिक हमले के उदाहरण: हाल के हमलों ने Intel SGX प्रमाण कुंजियों को निकालने के लिए भौतिक पहुंच का उपयोग किया है
उच्च जोखिम वाले अनुप्रयोग: विकेंद्रीकृत वित्त (DeFi) जैसे संवेदनशील क्षेत्र तेजी से TEE-संरक्षित मूल्यवान संपत्ति पर निर्भर हो रहे हैं, लेकिन प्रतिभागी एक-दूसरे पर विश्वास नहीं करते

मौजूदा विधियों की सीमाएं

मानक TEE प्रमाण केवल CPU मॉडल, माइक्रोकोड और बूट स्थिति को सत्यापित करते हैं, प्रोसेसर स्थापना स्थान के साक्ष्य को शामिल नहीं करते
दुर्भावनापूर्ण ऑपरेटर द्वारा कार्यभार को अनियंत्रित वातावरण में स्थानांतरित करने का पता नहीं लगा सकते
TEE स्थान को क्रिप्टोग्राफिक रूप से सत्यापित करने के लिए तंत्र की कमी

मुख्य योगदान

DCEA खतरा मॉडल को परिभाषित करना: CVM और बेयर-मेटल परिदृश्यों के लिए, विभिन्न हमलावर क्षमताओं को कवर करना
व्यावहारिक DCEA आर्किटेक्चर डिज़ाइन करना: vTPM के माध्यम से TD प्रमाण को प्लेटफॉर्म-स्तरीय माप से बांधना
विधि की व्यवहार्यता और सुरक्षा का मूल्यांकन करना: विस्तृत प्रोटोकॉल कार्यान्वयन और हमले शमन उपायों सहित
संदर्भ कार्यान्वयन प्रदान करना: Google Cloud और Intel TDX पर उम्मीदवार कार्यान्वयन, विश्वसनीय बूट के लिए Intel TXT का उपयोग करना

विधि विवरण

कार्य परिभाषा

DCEA का उद्देश्य दूरस्थ सत्यापनकर्ता को क्रिप्टोग्राफिक साक्ष्य प्रदान करना है, यह साबित करते हुए कि गोपनीय कार्यभार न केवल सत्यापित सॉफ्टवेयर-हार्डवेयर स्थिति पर चल रहा है, बल्कि ज्ञात बुनियादी ढांचे वातावरण में भी चल रहा है।

मुख्य आर्किटेक्चर डिज़ाइन

दोहरी विश्वास जड़

DCEA दो समानांतर विश्वास जड़ें स्थापित करता है:

TEE विश्वास जड़: Intel जैसे TEE निर्माताओं से
बुनियादी ढांचा विश्वास जड़: क्लाउड प्रदाता से, TPM/vTPM के माध्यम से कार्यान्वित

दो तैनाती परिदृश्य

परिदृश्य एक (S1): प्रबंधित CVM

CVM प्रदाता-प्रबंधित हाइपरवाइजर पर चलता है, vTPM से सुसज्जित
क्लाउड प्रदाता होस्ट OS और vTPM बुनियादी ढांचे का प्रबंधन करता है
vTPM प्रमाण और TD प्रमाण की सामंजस्य जांच के माध्यम से बंधन कार्यान्वित करना

परिदृश्य दो (S2): बेयर-मेटल तैनाती

एकल-किरायेदार बेयर-मेटल सर्वर, असतत TPM तक सीधी पहुंच
होस्ट सॉफ्टवेयर स्टैक अविश्वसनीय, केवल हार्डवेयर गारंटी पर निर्भर
TPM से CVM तक विश्वास श्रृंखला स्थापित करने के लिए Intel TXT का उपयोग करना

तकनीकी कार्यान्वयन विवरण

चार-चरणीय DCEA प्रोटोकॉल

विश्वसनीय बूट और प्लेटफॉर्म रूट स्थापित करना: सुरक्षित बूट के लिए Intel TXT का उपयोग करना, प्रारंभिक बूट तत्वों को PCR 17-18 में मापना
प्रमाण कुंजी कॉन्फ़िगरेशन और सीलिंग: TPM AK उत्पन्न करना और निजी कुंजी सामग्री को PCR 17-18 नीति के तहत सील करना
अतिथि-आंतरिक साक्ष्य बंधन: TD अपने प्रमाण रिपोर्ट में vTPM की AK सार्वजनिक कुंजी हैश को एम्बेड करना
सत्यापनकर्ता समग्र साक्ष्य कार्यप्रवाह: सत्यापनकर्ता nonce-आधारित चुनौती शुरू करना, TD रिपोर्ट और TPM प्रमाण प्राप्त करना

मुख्य तकनीकी नवाचार

PCR-RTMR क्रॉस-चेक: TPM के PCR मानों और TD के RTMR मानों की तुलना करके असंगति का पता लगाना
कुंजी सीलिंग तंत्र: vTPM की AK को विशिष्ट PCR मानों में सील करना, गैर-मिलान वातावरण में उपयोग को रोकना
संक्रमणीय बंधन: AK हैश के माध्यम से TD साक्ष्य से मापित होस्ट स्टैक तक संक्रमणीय बंधन बनाना

सुरक्षा विश्लेषण

खतरा मॉडल

हमलावर क्षमताएं: होस्ट OS, हाइपरवाइजर और वर्चुअलाइजेशन स्टैक पर नियंत्रण; संदेशों को अवरोधित, विलंबित, पुनः चलाया या इंजेक्ट किया जा सकता है
हमलावर सीमाएं: भौतिक छेड़छाड़ नहीं कर सकते; CPU और TPM निर्माता विश्वसनीय; क्लाउड प्रदाता का बुनियादी ढांचा विश्वसनीय

हमले के वेक्टर और शमन

हमले का प्रकार	हमले का विवरण	शमन तंत्र
A1: प्रमाण/माप जालसाजी	vTPM प्रमाण जालसाजी या झूठे PCR/RTMR मान इंजेक्ट करना	QE-हस्ताक्षरित TD + सीलित AK प्रमाण
A2: रिले/प्रॉक्सी हमले	प्रमाण अनुरोधों को दूरस्थ ईमानदार मशीन में रिले करना	Nonce + TD-एम्बेडेड AK हैश + AK सीलिंग
A3: माप असंगति	PCR मान TD-RTMR से मेल नहीं खाते	सत्यापनकर्ता TD RTMR को PCR 17-18 से जांचता है
A4: चैनल अवरोधन/छेड़छाड़	TD से vTPM पथ पर मध्य-मार्ग हमला	AK के माध्यम से अंतिम बिंदु बंधन + हस्ताक्षर जांच
A5: पहचान और कुंजी प्रतिस्थापन	TPM-EK प्रमाणपत्र जालसाजी या अपेक्षित AK को प्रतिस्थापित करना	EK-एंकरित AK स्रोत + TD-एम्बेडेड अपेक्षित AKpub
A6: विशेषाधिकार-स्तरीय घटक समझौता	संशोधित दुर्भावनापूर्ण vTPM बाइनरी चलाना	vTPM/होस्ट माप PCR 18 में

प्रायोगिक सेटअप और परिणाम

कार्यान्वयन प्लेटफॉर्म

लक्ष्य प्लेटफॉर्म: Google Cloud Platform पर Intel TDX
तकनीकी स्टैक: Intel TXT, TPM 2.0, QEMU हाइपरवाइजर
परीक्षण वातावरण: कनाडा क्षेत्र में GCP और OVH होस्ट

प्रदर्शन मूल्यांकन

TPM और vTPM पर 500 लगातार संचालन का प्रदर्शन परीक्षण:

संचालन प्रकार	हार्डवेयर TPM	vTPM
प्रमाण पीढ़ी	~0.55 सेकंड	~0.30 सेकंड
हस्ताक्षर संचालन	~0.40 सेकंड	~0.15 सेकंड

मुख्य निष्कर्ष:

हार्डवेयर TPM सॉफ्टवेयर vTPM से लगभग एक परिमाण धीमा है
vTPM प्रदर्शन अधिक स्थिर है, हार्डवेयर TPM में अधिक उतार-चढ़ाव है
एकबारी प्रमाण संचालन के लिए, प्रदर्शन ओवरहेड स्वीकार्य है

क्लाउड प्लेटफॉर्म समर्थन स्थिति

प्लेटफॉर्म	CVM समर्थन	vTPM समर्थन	बेयर-मेटल समर्थन	हार्डवेयर TPM
GCP	✓	✓	✓	✓
Azure	✓	✓	×	×
AWS	×	✓	×	×

निष्कर्ष और चर्चा

मुख्य निष्कर्ष

DCEA TEE खतरा मॉडल और वास्तविक तैनाती आवश्यकताओं के बीच के अंतर को सफलतापूर्वक पाटता है
दोहरी विश्वास जड़ और PCR-RTMR क्रॉस-सत्यापन के माध्यम से, छह प्रमुख सॉफ्टवेयर हमलों से प्रभावी रूप से बचाव करता है
मौजूदा हार्डवेयर प्लेटफॉर्म पर कार्यान्वयन योजना की व्यवहार्यता साबित करता है

सीमाएं

PCR माप प्रवाह निर्भरता: विभिन्न प्लेटफॉर्म या वर्चुअलाइजेशन स्टैक के बीच PCR माप में अंतर हो सकता है
बहु-किरायेदार वातावरण चुनौतियां: vTPM घटक पुनः उपयोग प्रमाण की विशिष्टता गारंटी को कमजोर कर सकता है
गोपनीयता विचार: vTPM प्रमाणपत्र श्रृंखला तैनाती विवरण को लीक कर सकती है

भविष्य की दिशाएं

AMD प्लेटफॉर्म तक विस्तार: AMD SEV-SNP को RTMR जैसी कार्यक्षमता प्रदान करने की आवश्यकता है
वैश्विक कुंजी रजिस्ट्री: ब्लॉकचेन या प्रमाणपत्र पारदर्शिता पर आधारित AK विशिष्टता सत्यापन स्थापित करना
शून्य-ज्ञान प्रमाण एकीकरण: गोपनीयता-संरक्षण प्लेटफॉर्म सत्यापन कार्यान्वित करना

गहन मूल्यांकन

शक्तियां

समस्या की महत्ता: CVM तैनाती में महत्वपूर्ण सुरक्षा अंधापन को हल करता है
विधि नवाचार: स्थान-बंधन प्रमाण के लिए पहली व्यवस्थित योजना
व्यावहारिकता: मौजूदा व्यावसायिक प्लेटफॉर्म पर तैनाती योग्य
व्यापक सुरक्षा विश्लेषण: कई हमले वेक्टर की पहचान और शमन
पूर्ण कार्यान्वयन: विस्तृत प्रोटोकॉल कार्यान्वयन और प्रदर्शन मूल्यांकन

कमियां

प्लेटफॉर्म निर्भरता: वर्तमान में मुख्य रूप से Intel TDX तक सीमित, AMD समर्थन सीमित
विश्वास धारणाएं: अभी भी क्लाउड प्रदाता की भौतिक सुरक्षा और प्रमाणपत्र जारी करने पर विश्वास की आवश्यकता है
प्रदर्शन ओवरहेड: हार्डवेयर TPM संचालन अपेक्षाकृत धीमे हैं
जटिलता: प्रोटोकॉल कार्यान्वयन जटिल है, तैनाती कठिनाई बढ़ाता है

प्रभाव

शैक्षणिक योगदान: गोपनीय कंप्यूटिंग क्षेत्र को सुरक्षा आश्वासन का नया आयाम प्रदान करता है
व्यावहारिक मूल्य: DeFi जैसे उच्च-जोखिम अनुप्रयोगों के लिए महत्वपूर्ण
मानकीकरण संभावना: भविष्य TEE मानकों के विकास को प्रभावित कर सकता है

लागू परिदृश्य

विकेंद्रीकृत वित्त (DeFi) अनुप्रयोग
बहु-पक्षीय कंप्यूटिंग परिदृश्य
उच्च सुरक्षा आवश्यकता वाले क्लाउड कंप्यूटिंग कार्यभार
स्थान सत्यापन की आवश्यकता वाले गोपनीय कंप्यूटिंग अनुप्रयोग

संदर्भ

पेपर ने 55 संबंधित साहित्य का हवाला दिया है, जिसमें TEE तकनीक, TPM विनिर्देश, क्लाउड कंप्यूटिंग सुरक्षा, क्रिप्टोग्राफी प्रोटोकॉल और अन्य कई क्षेत्रों के महत्वपूर्ण कार्य शामिल हैं, जो अनुसंधान के लिए एक मजबूत सैद्धांतिक आधार प्रदान करते हैं।