2025-11-18T12:28:13.304767

Proof of Cloud: Data Center Execution Assurance for Confidential VMs

Rezabek, Mahhouk, Miller et al.

Confidential Virtual Machines (CVMs) protect data in use by running workloads inside hardware-isolated environments. In doing so, they also inherit the limitations of the underlying hardware. Trusted Execution Environments (TEEs), which enforce this isolation, explicitly exclude adversaries with physical access from their threat model. Commercial TEEs, e.g., Intel TDX, thus assume infrastructure providers do not physically exploit hardware and serve as safeguards instead. This creates a tension: tenants must trust provider integrity at the hardware layer, yet existing remote attestation offers no way to verify that CVMs actually run on physically trusted platforms, leaving today's CVM deployments unable to demonstrate that their guarantees align with the TEE vendor's threat model. We bridge this confidence gap with Data Center Execution Assurance (DCEA), a design generating "Proofs of Cloud". DCEA binds a CVM to its underlying platform using vTPM-anchored measurements, ensuring CVM launch evidence and TPM quotes refer to the same physical chassis. This takes advantage of the fact that data centers are often identifiable via TPMs. Our approach applies to CVMs accessing vTPMs and running on top of software stacks fully controlled by the cloud provider, as well as single-tenant bare-metal deployments with discrete TPMs. We trust providers for integrity (certificate issuance), but not for the confidentiality of CVM-visible state. DCEA enables remote verification of a CVM's platform origin and integrity, mitigating attacks like replay and attestation proxying. We include a candidate implementation on Google Cloud and Intel TDX that leverages Intel TXT for trusted launch. Our design refines CVMs' threat model and provides a practical path for deploying high-assurance, confidential workloads in minimally trusted environments.

academic

클라우드 증명: 기밀 VM을 위한 데이터 센터 실행 보증

기본 정보

논문 ID: 2510.12469
제목: Proof of Cloud: Data Center Execution Assurance for Confidential VMs
저자: Filip Rezabek, Moe Mahhouk, Andrew Miller, Stefan Genchev, Quintus Kilbourn, Georg Carle, Jonathan Passerat-Palmbach
분류: cs.CR (암호화 및 보안), cs.DC (분산, 병렬 및 클러스터 컴퓨팅)
발표 시간: 2024년 10월 14일 (arXiv 사전 인쇄본)
논문 링크: https://arxiv.org/abs/2510.12469

초록

기밀 가상 머신(CVMs)은 하드웨어 격리 환경에서 워크로드를 실행하여 사용 중인 데이터를 보호합니다. 그러나 이들은 기본 하드웨어의 제한을 상속받습니다. 신뢰할 수 있는 실행 환경(TEEs)은 이러한 격리를 강제하지만, 이들의 위협 모델은 물리적 접근 권한이 있는 공격자를 명시적으로 제외합니다. 상용 TEE(예: Intel TDX)는 인프라 제공자가 물리 계층에서 하드웨어를 악용하지 않을 것으로 가정합니다. 이는 모순을 야기합니다: 테넌트는 하드웨어 계층에서 제공자의 무결성을 신뢰해야 하지만, 기존의 원격 증명은 CVM이 물리적으로 신뢰할 수 있는 플랫폼에서 실제로 실행되는지 검증할 수 없습니다. 본 논문은 데이터 센터 실행 보증(DCEA) 설계를 제안하며, vTPM에 고정된 측정을 통해 "클라우드 증명"을 생성하여 CVM을 기본 플랫폼에 바인딩하고, CVM 부팅 증명과 TPM 인용이 동일한 물리 섀시를 가리키도록 보장합니다.

연구 배경 및 동기

문제 정의

현재의 기밀 가상 머신(CVMs)은 중요한 보안 결함에 직면해 있습니다: TEE는 "어떤 코드가 실행되는가"를 증명할 수 있지만, "코드가 어디서 실행되는가"를 증명할 수 없습니다. 이러한 "위치 무관" 맹점은 악의적인 운영자가 자신이 제어하는 하드웨어에서 겉으로는 신뢰할 수 있는 워크로드를 실행하면서 동시에 유효한 증명을 생성할 수 있게 합니다.

문제의 중요성

위협 모델 결함: 상용 TEE(Intel TDX, AMD SEV-SNP)의 위협 모델은 공격자가 서버에 물리적으로 접근할 수 없다고 가정하지만, 실제로 이 가정을 검증할 방법이 없습니다
실제 공격 사례: 최근 공격은 물리적 접근을 이용하여 Intel SGX 증명 키를 추출했습니다
고위험 애플리케이션: 탈중앙화 금융(DeFi) 등 민감한 분야는 TEE 보호에 점점 더 의존하고 있지만, 참여자들은 서로를 신뢰하지 않습니다

기존 방법의 한계

표준 TEE 증명은 CPU 모델, 마이크로코드 및 부팅 상태만 검증하며, 프로세서 설치 위치에 대한 증거는 포함하지 않습니다
악의적인 운영자가 워크로드를 제어되지 않는 환경으로 마이그레이션하는 것을 감지할 수 없습니다
TEE 위치를 암호화 방식으로 검증하는 메커니즘이 부족합니다

핵심 기여

DCEA 위협 모델 정의: CVM 및 베어메탈 시나리오를 위한 다양한 공격자 능력을 포함
실용적인 DCEA 아키텍처 설계: vTPM을 통해 TD 증명을 플랫폼 수준 측정에 바인딩
방법의 가행성 및 보안성 평가: 상세한 프로토콜 구현 및 공격 완화 조치 포함
참조 구현 제공: Google Cloud 및 Intel TDX 상의 후보 구현, 신뢰할 수 있는 부팅을 위해 Intel TXT 활용

방법론 상세 설명

작업 정의

DCEA는 원격 검증자에게 기밀 워크로드가 검증된 소프트웨어 및 하드웨어 상태에서 실행될 뿐만 아니라 알려진 인프라 환경에서 실행되고 있음을 증명하는 암호화 증거를 제공하는 것을 목표로 합니다.

핵심 아키텍처 설계

이중 신뢰 근원

DCEA는 두 개의 병렬 신뢰 근원을 구축합니다:

TEE 신뢰 근원: Intel 등 TEE 제조업체로부터
인프라 신뢰 근원: 클라우드 제공자로부터, TPM/vTPM을 통해 구현

두 가지 배포 시나리오

시나리오 1(S1): 관리형 CVM

CVM은 vTPM이 장착된 제공자 관리 하이퍼바이저에서 실행됩니다
클라우드 제공자는 호스트 OS 및 vTPM 인프라를 관리합니다
vTPM 인용과 TD 인용의 일관성 검사를 통해 바인딩을 구현합니다

시나리오 2(S2): 베어메탈 배포

단일 테넌트 베어메탈 서버, 이산 TPM에 직접 접근
호스트 소프트웨어 스택은 신뢰할 수 없으며, 하드웨어 보증에만 의존합니다
Intel TXT를 활용하여 TPM에서 CVM으로의 신뢰 체인을 구축합니다

기술 구현 세부 사항

4단계 DCEA 프로토콜

신뢰할 수 있는 부팅 및 플랫폼 근원 구축: Intel TXT를 사용하여 안전한 부팅을 수행하고, 초기 부팅 요소를 PCR 17-18로 측정합니다
구성 및 증명 키 봉인: TPM이 AK를 생성하고 개인 키 자료를 PCR 17-18 정책 하에 봉인합니다
클라이언트 내 증거 바인딩: TD가 vTPM의 AK 공개 키 해시를 증명 보고서에 포함시킵니다
검증자 복합 증거 워크플로우: 검증자가 nonce 기반 챌린지를 시작하고, TD 보고서 및 TPM 인용을 획득합니다

핵심 기술 혁신

PCR-RTMR 교차 검사: TPM의 PCR 값과 TD의 RTMR 값을 비교하여 불일치를 감지합니다
키 봉인 메커니즘: vTPM의 AK를 특정 PCR 값으로 봉인하여 불일치 환경에서의 사용을 방지합니다
전이적 바인딩: AK 해시를 통해 TD 증거에서 측정된 호스트 스택으로의 전이적 바인딩을 생성합니다

보안 분석

위협 모델

공격자 능력: 호스트 OS, 하이퍼바이저 및 가상화 스택 제어; 메시지 가로채기, 지연, 재생 또는 주입 가능
공격자 제한: 물리적 변조 불가능; CPU 및 TPM 제조업체 신뢰 가능; 클라우드 제공자의 인프라 신뢰 가능

공격 벡터 및 완화

공격 유형	공격 설명	완화 메커니즘
A1: 인용/측정 위조	vTPM 인용 위조 또는 거짓 PCR/RTMR 값 주입	QE 서명된 TD + 봉인된 AK 인용
A2: 중계/프록시 공격	인용 요청을 원격 정직한 머신으로 중계	Nonce + TD 포함 AK 해시 + AK 봉인
A3: 측정 불일치	PCR 값과 TD-RTMR 불일치	검증자가 TD RTMR과 PCR 17-18 검사
A4: 채널 가로채기/변조	TD에서 vTPM 경로상 중간자 공격	AK를 통한 끝점 바인딩 + 서명 검사
A5: 신원 및 키 대체	TPM-EK 인증서 위조 또는 예상 AK 대체	EK 고정 AK 출처 + TD 포함 예상 AKpub
A6: 특권 수준 구성 요소 손상	수정된 악성 vTPM 바이너리 실행	vTPM/호스트 측정을 PCR 18로