4. TEE 基础与配置：Intel SGX 与 AMD SEV 简介
聊远程证明，绕不开 TEE。说白了，TEE 就是在 CPU 里划出一块「安全飞地」，让敏感计算跟主操作系统彻底隔离开。我最早接触 TEE 是在 2017 年，当时客户要求把密钥管理模块放进 SGX Enclave，折腾了整整两周才把第一个 Enclave 跑起来。嗯，踩过的坑今天都给你拆开讲。
4.1 Intel SGX：进程级隔离
SGX 的全称是 Software Guard Extensions。它的核心思路是：在内存里创建一块硬件加密的区域，叫 Enclave。Enclave 里的代码和数据，连操作系统和 Hypervisor 都看不到。
关键特性：SGX 保护的是「进程内敏感数据」，不是整个虚拟机。你想想看，如果攻击者拿到了宿主机的 root 权限，传统加密就没用了。但 SGX 不一样——数据在 Enclave 里解密，CPU 保证只有 Enclave 代码能访问。
Enclave 的创建流程
- 测量（Measurement）：把 Enclave 的代码、数据、栈、堆全部哈希，生成 MRENCLAVE 值。
- 加载（Loading）：通过 EADD 指令逐页加载内容，用 EEXTEND 指令更新哈希。
- 初始化（Initialization）：调用 EINIT 指令，锁定 Enclave 的度量值。
- 生成报告（Report）：Enclave 内部调用 EREPORT 指令，生成一个带签名的结构体，包含 MRENCLAVE 和用户数据。
我的习惯：每次创建 Enclave 后，我都会把 MRENCLAVE 值打印出来，跟预期值比对。曾经有一次，因为链接了不同版本的库，MRENCLAVE 对不上，排查了三个小时才发现是编译环境不一致。
4.2 AMD SEV：虚拟机级隔离
SEV（Secure Encrypted Virtualization）走的是另一条路。它不保护单个进程，而是加密整个虚拟机的内存。每个 VM 有自己的内存加密密钥，Hypervisor 拿不到明文。
我记得第一次部署 SEV 时，最让我头疼的是「内存气球」和「透明大页」的兼容性问题。SEV 要求内存页必须是 4KB 对齐的，而 Linux 默认的透明大页是 2MB。不关掉透明大页，SEV 根本起不来。
| 特性 | Intel SGX | AMD SEV |
|---|---|---|
| 隔离粒度 | 进程级（Enclave） | 虚拟机级（VM） |
| 内存加密 | EPC（Enclave Page Cache） | 全 VM 内存 |
| 攻击面 | OS、Hypervisor、物理访问 | Hypervisor、物理访问 |
| 远程证明 | EPID / DCAP | SEV-SNP 证明 |
| 性能开销 | 约 5%-15%（EPC 换页时更高） | 约 2%-8%（加密引擎） |
4.3 TEE 远程证明的差异（与 TPM 对比）
很多人会把 TEE 远程证明和 TPM 证明搞混。我刚开始也犯过这个错——以为 TPM 能做的事，TEE 也能做。其实两者定位完全不同。
TPM 证明：平台完整性
TPM 证明的核心是 PCR（Platform Configuration Register）。它度量的是从 BIOS 到 OS 的启动链。你想想看，TPM 只能告诉你「这台机器启动时加载了哪些组件」，但它不保护运行时的内存。
我曾经踩过的坑：在 TPM 证明里，PCR 值只能扩展（extend），不能重置。但有一次我误操作，在同一个 PCR 上扩展了两次相同的哈希值，导致远程验证方认为平台状态异常。后来我养成了习惯：每次度量前先读一遍 PCR 当前值。
TEE 证明：运行时可信
TEE 证明（比如 SGX 的 Quote）包含的是 Enclave 的度量值 + 平台证书。它证明的是「某个 Enclave 正在安全运行，且代码没有被篡改」。TPM 做不到这一点——TPM 无法证明一个进程的内存没有被 OS 偷看。
说白了，TPM 是「静态可信根」，TEE 是「动态可信根」。两者可以互补，但不能互相替代。
| 对比维度 | TPM 证明 | TEE 证明（SGX/SEV） |
|---|---|---|
| 度量对象 | 启动链（BIOS → OS） | Enclave / VM 代码和数据 |
| 运行时保护 | 无 | 内存加密 + 隔离 |
| 证明时机 | 启动时 / 按需 | 运行时 / 按需 |
| 密钥存储 | TPM 内部（不可导出） | Enclave 内部（硬件保护） |
| 典型场景 | 设备身份、固件验证 | 机密计算、隐私保护 |
4.4 知识体系总览
下面这张图把本章的核心逻辑串起来了。我建议你保存下来，以后排查问题时可以快速定位。
4.5 配置要点与避坑指南
- BIOS 设置：SGX 需要在 BIOS 中启用，且必须开启 Software Guard Extensions 选项。SEV 则需要开启 Secure Encrypted Virtualization 和 SEV-SNP（如果支持）。
- 内核参数：SGX 需要内核支持
sgx驱动，SEV 需要kvm_amd模块加载sev=1参数。 - 内存预留：SGX 的 EPC 大小在 BIOS 中配置，建议至少 128MB。SEV 需要预留一部分内存给加密引擎，我一般留 1GB。
我曾经遇到的坑：在一台 Dell PowerEdge 服务器上，BIOS 里明明开了 SGX，但 Linux 下就是看不到 /dev/sgx_enclave。查了半天，发现是 BIOS 的「SGX Factory Reset」选项没有关闭。这个选项默认是开启的，会清除所有 Enclave 数据。关掉之后，一切正常。
4.6 小结
SGX 和 SEV 是当前最主流的两种 TEE 实现。SGX 适合保护单个进程的敏感数据，SEV 适合保护整个虚拟机。远程证明方面，TEE 提供的是运行时可信，TPM 提供的是启动时可信。两者不是替代关系，而是互补关系。
嗯，这一章的内容就到这里。配置 TEE 环境时，记得先检查 BIOS 和内核参数，很多问题都是环境没配好导致的。