信任根与可信计算基（TCB）：TPM 2.0、Intel SGX/TDX、AMD SEV-SNP 基础

各位同学，咱们今天聊点硬核的。远程证明这东西，说白了就是「你凭什么让我相信你？」。而答案的起点，就是信任根（Root of Trust）和可信计算基（TCB）。

我刚开始接触这个领域时，觉得这些概念特别虚。直到有一次，我在一个金融项目中做机密计算方案选型，客户问了一句：「你们的信任链到底从哪开始的？」——嗯，从那以后，我才真正把信任根和 TCB 的关系理清楚。

2.1 信任根：一切信任的起点

信任根，就是整个安全体系里「不需要再被证明」的那个东西。它必须是硬件级别的、不可篡改的。你想想看，如果信任根本身都能被伪造，那后面所有的证明都是白搭。

目前主流的信任根载体，就是 TPM 2.0 芯片。

2.1.1 TPM 2.0 基础

TPM（Trusted Platform Module）是一个独立的硬件安全芯片。它有自己的处理器、存储和密码引擎。我习惯把它理解成「计算机的身份证 + 保险柜」。

TPM 2.0 相比 1.2 版本，最大的变化是算法灵活性。1.2 只支持 SHA-1 和 RSA，而 2.0 支持 SHA-256、ECC、SM3/SM4 等国密算法。这一点在国内项目中特别重要。

特性	TPM 1.2	TPM 2.0
哈希算法	仅 SHA-1	SHA-256、SM3 等
非对称算法	仅 RSA	RSA、ECC、SM2
密钥层次	单一层次	多级层次（SRK、AK 等）
平台固件支持	有限	UEFI 原生支持

TPM 的核心能力有三个：

• 平台配置寄存器（PCR）：存储系统启动过程中的度量值，一旦写入就不能篡改，除非复位。
• 背书密钥（EK）：每个 TPM 芯片出厂时烧录的唯一身份密钥，相当于硬件指纹。
• 证明密钥（AK）：用于远程证明的临时身份，由 EK 派生，保护隐私。

2.2 可信计算基（TCB）：你到底信任了多少东西？

TCB 的定义其实很简单：系统中所有必须可信的硬件、固件和软件组件的集合。换句话说，如果 TCB 里的任何一个组件被攻破，整个安全假设就崩塌了。

我见过不少团队，做远程证明时只盯着 TPM，却忽略了 BIOS、微码、Hypervisor 这些「隐形组件」。结果呢？攻击者通过篡改 SMM（系统管理模式）代码，绕过了所有 TPM 度量。这就是典型的 TCB 边界没划清楚。

2.2.1 TCB 的度量方式

TCB 的度量，本质上是一个「启动时测量、运行时验证」的过程。常见的度量方式包括：

• 静态信任链：从 BIOS 开始，逐级度量 Boot Loader、OS Kernel、关键驱动，最后将度量值扩展到 PCR。
• 动态信任链：在运行时动态启动一个受保护的环境（如 Intel SGX Enclave），由 CPU 硬件度量该环境的初始状态。

我个人更倾向于动态信任链，因为它能减少 TCB 的大小。你想想看，静态信任链里，整个 OS 都在 TCB 里，漏洞面太大了。而动态信任链只信任 CPU 和 Enclave 本身，干净利落。

2.3 Intel SGX/TDX 基础

Intel 的机密计算方案，目前主要有两条线：SGX 和 TDX。

2.3.1 Intel SGX（Software Guard Extensions）

SGX 允许应用程序在内存中创建一个「飞地（Enclave）」。这个 Enclave 是加密的，连 OS、Hypervisor 甚至 BIOS 都看不到里面的内容。

SGX 的信任根是 CPU 内置的 Provisioning Enclave 和 Quoting Enclave。它们由 Intel 在出厂时烧录，不可篡改。

SGX 的远程证明流程大致是：

1. Enclave 向 Quoting Enclave 请求一个「报价（Quote）」。
2. Quoting Enclave 用 Intel 的私钥对 Enclave 的度量值签名。
3. 验证方拿到 Quote 后，向 Intel Attestation Service（IAS）验证签名。

2.3.2 Intel TDX（Trust Domain Extensions）

TDX 是 Intel 针对虚拟机场景推出的机密计算方案。它允许你运行一个完整的「信任域（Trust Domain）」虚拟机，整个 VM 的内存都被加密，连 Hypervisor 都访问不了。

TDX 的信任根是 CPU 的 TDX Module，它负责度量 TD VM 的初始状态，并生成证明报告。

SGX 和 TDX 的核心区别：

维度	SGX	TDX
保护粒度	进程级（Enclave）	虚拟机级（TD）
TCB 大小	小（仅 CPU + Enclave）	较大（CPU + TDX Module + 部分固件）
应用改造	需要修改代码	无需修改（运行完整 OS）
性能开销	中等（内存加密 + 边界检查）	较低（硬件辅助内存加密）

2.4 AMD SEV-SNP 基础

AMD 的 SEV-SNP（Secure Encrypted Virtualization - Secure Nested Paging）是 AMD 对机密虚拟机的实现。它的核心思想是：每个虚拟机都有自己的内存加密密钥，由 AMD 的硬件安全处理器（AMD-SP）管理。

SEV-SNP 相比上一代 SEV-ES，最大的改进是增加了 内存完整性保护。SEV-ES 只能防止内存被偷看，但防不住「重放攻击」。SNP 通过嵌套页表（NPT）和逆向映射表（RMP），确保每个物理页面只能被一个 VM 访问。

SEV-SNP 的信任根是 AMD-SP，它是一个独立的 ARM Cortex-A5 处理器，运行在 SoC 内部。AMD-SP 负责生成证明报告，报告内容包括 VM 的启动度量、固件版本、平台配置等。

2.5 信任根与 TCB 的关系图

下面这张图，是我自己总结的信任根与 TCB 的关系。它展示了从硬件信任根到远程证明报告的完整链路。

2.6 如何选择信任根方案？

说实话，没有「最好」的方案，只有「最合适」的。我根据项目经验，给你几个参考维度：

• 如果你需要保护单个应用（比如密钥管理、密码运算），选 Intel SGX。TCB 最小，安全性最高，但需要改代码。
• 如果你需要保护整个虚拟机（比如数据库、Web 服务器），选 Intel TDX 或 AMD SEV-SNP。无需改代码，但 TCB 较大。
• 如果你有国密合规需求，优先选 TPM 2.0 + 国密算法，或者 AMD SEV-SNP（AMD 支持 SM3/SM4 扩展）。
• 如果你在混合云场景，建议用 TPM 2.0 作为基础信任根，再叠加 TEE 方案。这样即使 TEE 被攻破，TPM 还能提供一层保护。