1. 远程证明概述：什么是远程证明、为什么需要远程证明、远程证明的信任根与信任链

各位同学好，我是老张。今天咱们开始聊远程证明。说实话，这个领域我摸爬滚打了快十年，踩过的坑不少，积累的经验也还算扎实。咱们第一节课，先把远程证明的底牌翻出来看看——它到底是什么、为什么非用不可、以及它的信任根基到底怎么立住的。

1.1 什么是远程证明

远程证明，说白了就是让远端的验证方相信“我就是我，而且我没被篡改”。你想想看，一个设备要接入你的网络，你怎么知道它是不是被植入了后门？怎么确定它运行的固件是原厂的？远程证明就是干这个的。

我习惯用一个比喻来解释：
你出差住酒店，前台要看你身份证。身份证上有公安局的章，那就是信任根。酒店通过验证这个章，确认你的身份——这就是远程证明的过程。

在技术层面，远程证明包含三个核心角色：

• 证明者（Attester）：需要自证清白的设备，比如 IoT 终端、服务器、边缘节点。
• 验证者（Verifier）：远程的验证服务，负责检查证明者是否可信。
• 依赖方（Relying Party）：信任验证结果并做出决策的业务系统，比如云平台、网关。

1.2 为什么需要远程证明

这个问题我问过很多刚入行的朋友。他们的第一反应往往是：“我有 TLS 啊，有证书啊，还不够吗？”

嗯，这里要注意。TLS 保证的是传输通道的安全，但它管不了设备本身是否已经被攻破。我在项目中遇到过这样一个案例：某智能网关用 TLS 连接云端，一切看起来正常。但后来发现，网关的固件被替换成了恶意版本，TLS 握手时用的证书还是原来的——因为攻击者直接把证书和私钥从原固件里提取出来了。你想想看，TLS 能发现这个问题吗？不能。

所以，远程证明解决的是设备身份与状态的可信度问题。具体来说，它有几个关键价值：

场景	传统方案的问题	远程证明的价值
设备入网	仅凭 MAC/证书，容易被仿冒	验证硬件身份 + 固件完整性
固件升级	升级后无法确认是否被篡改	升级后立即度量，确保未被植入后门
零信任网络	信任基于网络位置，不安全	每次访问都重新证明，动态信任
合规审计	日志可能被篡改	硬件签名的度量证据，不可抵赖

1.3 远程证明的信任根与信任链

好，接下来是这节课的重头戏。远程证明能成立，靠的是信任根（Root of Trust）和信任链（Chain of Trust）。没有这两个东西，远程证明就是空中楼阁。

1.3.1 信任根是什么

信任根，是系统中绝对可信的起点。它通常固化在硬件里，无法被软件修改。我个人习惯把它分成三类：

• 度量信任根（RTM）：负责启动时的第一次度量，通常是 CPU 中的一段微代码。
• 存储信任根（RTS）：安全存储度量值的区域，比如 TPM 中的平台配置寄存器（PCR）。
• 报告信任根（RTR）：负责将度量结果签名并报告给外部，比如 TPM 的 Attestation Identity Key（AIK）。

你想想看，如果信任根本身可以被篡改，那整个证明体系就崩塌了。所以，信任根必须满足三个条件：不可篡改、不可绕过、不可伪造。

1.3.2 信任链如何建立

信任链，是从信任根开始，一级一级度量、一级一级验证的过程。我画了一张图，帮你直观理解：

从这张图你能看到，信任链是单向且不可逆的。每一级在启动下一级之前，先度量下一级的代码，然后把度量值扩展到 PCR 中。如果中间任何一级被篡改，PCR 值就会和预期不同，验证就会失败。

1.3.3 信任根的具体实现

目前主流的信任根实现方案，我整理了一个对比表：

方案	载体	优势	局限
TPM 2.0	独立安全芯片	标准化、生态成熟、支持 PCR	成本较高、需要额外硬件
Intel SGX/TDX	CPU 内置	性能好、支持远程证明	仅限 Intel 平台
ARM TrustZone	SoC 安全区	集成度高、功耗低	安全区大小受限
RISC-V 物理内存保护	CPU 内置	开源、灵活	生态不成熟

我个人最常用的是 TPM 2.0，因为它跨平台、标准化程度高。但如果你做的是嵌入式设备，ARM TrustZone 可能更合适。没有绝对的好坏，看场景选。

1.4 远程证明的典型流程

最后，咱们把整个流程串起来。一个标准的远程证明流程，大致分五步：

1. 设备启动：信任根开始度量，逐级建立信任链，度量值存入 PCR。
2. 生成证据：设备用 AIK 对 PCR 值签名，生成一个证明请求（Attestation Request）。
3. 发送证据：设备将证明请求发送给远程验证者。
4. 验证证据：验证者用设备的 AIK 公钥验签，然后比对 PCR 值是否与预期一致。
5. 做出决策：验证通过，允许接入；否则拒绝或隔离。