Intel SGX в виртуализованной среде

Question

Возможно ли создавать и запускать анклавы Intel SGX в виртуализованной среде, такой как Virtualbox или Docker?

Answer 1

Разумеется, приложения SGX могут работать в виртуализованной среде, поскольку для запуска Intel SGX требуется только привилегия Ring 3. Но ваша материнская плата должна быть изменена для ее включения, и в Hypervisor или OS должны быть внесены некоторые изменения. В настоящее время Intel SGX по-прежнему не поддерживается в традиционных виртуализированных средах, таких как XEN/KVM, в основном, но есть preliminary SGX virtualization patches from Intel.

Кроме того, есть некоторые исследовательские работы говорят о приложениях, работающих на SGX виртуализированных сред:

• SCONE является докер-совместимого безопасным контейнером. Вы можете проверить их website. Существует OSDI'16 paper describing SCONE.

• Haven обеспечивает экранированного выполнение, которая защищает конфиденциальность и целостность программ/данных от платформы, на которой она работает. Он основан на Windows HyperV и Libos. Существует OSDI'14 paper describing Haven.

Answer 2

Мы создали файл докеров, который может запускать приложения SGX и Enclaves в контейнер докеров. См.: https://hub.docker.com/r/aminueza/docker-sgx или https://github.com/aminueza/docker-sgx

Answer 3

Можно запускать и запускать анклавы с виртуальных машин. Однако программное обеспечение виртуализации должно поддерживать набор команд SGX. VirtualBox и Docker по-прежнему не поддерживают SGX, но KVM и Xen имеют патчи для поддержки SGX.

Для получения более подробной информации смотрите здесь: https://01.org/intel-software-guard-extensions/sgx-virtualization