1. 远程证明概述：从信任根到挑战-响应
各位好，我是老张。做可信计算这行十几年了，远程证明（Remote Attestation）是我觉得最绕、也最有意思的一块。今天咱们先聊聊它的基本概念——什么是远程证明、为什么需要它、信任根从哪来，以及那个经典的挑战-响应模型。
1.1 什么是远程证明
远程证明，说白了就是让一台机器向另一台机器证明“我是我，我没被篡改”。
你想想看，A 机器想确认 B 机器是否运行在可信状态，光靠网络握手是不够的。B 可能已经被植入后门，内核被 hook，甚至连 BIOS 都被改过。远程证明就是一套密码学协议，让 B 能拿出硬件级别的证据，证明自己的代码和配置没有被篡改。
核心定义：远程证明是依赖硬件信任根（TPM/TEE），通过密码学手段向远程验证方证明平台当前状态真实可信的过程。
我在项目中遇到过不少客户，一开始觉得“装个杀毒软件就够了”。结果有一次，某客户的服务器被植入 rootkit，杀毒软件完全没发现，最后还是靠远程证明揪出来的。嗯，从那以后他们再也不敢说“软件够用”了。
1.2 为什么需要远程证明
为什么需要？我给你列几个真实场景：
- 云环境互信：你的业务跑在云上，你怎么确认云主机没被隔壁租户攻击？
- 边缘设备接入：IoT 设备上报数据，你怎么知道它没被物理篡改？
- 机密计算：数据在 TEE 里处理，你得先确认 TEE 是真实的，不是模拟器。
- 供应链安全：设备出厂时固件是否被替换？远程证明可以逐级验证。
我个人的习惯是，把远程证明看作“信任的最后一公里”。网络加密解决了传输安全，身份认证解决了登录安全，但平台自身的安全，只有远程证明能兜底。
小提示：远程证明不是万能的。它只能证明启动时的状态，运行时保护需要结合动态信任度量。这个后面章节会细讲。
1.3 远程证明的信任根：TPM 与 TEE
信任根（Root of Trust）是整个证明的基石。没有它，所有证据都是空中楼阁。目前主流的两类信任根是 TPM 和 TEE。
| 特性 | TPM（可信平台模块） | TEE（可信执行环境） |
|---|---|---|
| 物理形态 | 独立芯片或固件 | CPU 内的安全区域（如 Intel SGX/AMD SEV） |
| 核心能力 | 度量存储、密钥保护、平台配置寄存器（PCR） | 代码和数据隔离执行、远程证明报告 |
| 证明粒度 | 平台级（BIOS、OS、驱动） | 应用级（特定 Enclave/VM） |
| 典型场景 | 服务器启动完整性验证 | 机密计算、数据隐私保护 |
我记得刚接触 TPM 时，觉得 PCR 寄存器就是个黑盒子。后来才明白，它其实是一组不可逆的哈希链——每次度量都扩展进去，最终值能反映整个启动链的完整性。TEE 则更灵活，它允许你在运行时动态创建安全飞地，只证明你关心的那部分代码。
注意：TPM 和 TEE 不是二选一的关系。很多高端方案会同时使用两者：TPM 做平台信任根，TEE 做应用隔离。我曾经见过一个项目只用了 TEE 没管 TPM，结果 TEE 的启动代码本身就被篡改了……嗯，教训深刻。
1.4 远程证明的典型流程：挑战-响应模型
几乎所有远程证明都遵循挑战-响应（Challenge-Response）模型。流程不复杂，我画了张图帮你理解：
流程其实就五步，我拆开给你讲：
- 验证方发起挑战：发送一个随机数（Nonce）给证明方。这个随机数每次不同，防止攻击者拿旧证明糊弄人。
- 证明方收集度量：证明方从信任根（TPM/TEE）获取当前平台的度量值，比如 PCR 值或 Enclave 哈希。
- 信任根签名：信任根用自己私钥对“度量值 + 随机数”签名。私钥永远不出芯片，谁也偷不走。
- 证明方返回响应：把度量值、签名、以及度量日志（Event Log）一起发给验证方。
- 验证方校验：验证方用信任根的公钥验签，再比对度量值是否与预期一致。都通过，则证明可信。
实战经验：我在做金融云项目时，发现很多团队在第一步就踩坑——随机数生成不够随机。用时间戳当 Nonce？攻击者完全可以预测。我建议用硬件随机数生成器，或者至少用 CSPRNG（密码学安全伪随机数生成器）。
1.5 信任链的传递
远程证明不是一次性的。从硬件上电到应用启动，信任需要逐级传递。我习惯把它画成一条链：
每一级启动前，先度量下一级的代码哈希，存入 PCR。下一级启动后，再度量下下级。这样，只要信任根是可靠的，整个链就可靠。我在做服务器固件安全审计时，就靠这条链定位过 Bootloader 被篡改的案例——PCR 值跟预期对不上，一查果然是 UEFI 被植入了后门。
1.6 小结
远程证明不是什么玄学。它就是用硬件信任根（TPM/TEE）做担保，通过挑战-响应协议，让远程验证方相信你没被篡改。核心就三点：
- 信任根要硬：软件级别的信任根容易被攻破，必须依赖芯片级保护。
- 挑战要随机：Nonce 必须不可预测，否则重放攻击教你做人。
- 度量要完整：从硬件到应用，信任链不能断，否则中间环节就是攻击面。
嗯，这一章先到这儿。后面我们会深入每个环节的常见坑和排查方法，到时候再细聊。