Intel SGXをAzureで本番運用するための構成事例と実践知見 / SRE NEXT 2025

Copyright © 2025 Datachain, Inc. All Rights Reserved. Datachain, Inc.
大久保俊彦 SRE NEXT 2025 Intel SGXをAzureで本番運用するための構成事例と実践知見

Copyright © 2025 Datachain, Inc. All Rights Reserved. 自己紹介 2
大久保俊彦株式会社Datachain SREテックリード Datachain創業から参画し、 Blockchain Walletの開発、実証実験におけるスマートコントラクト、バックエンドの設計、実装を担当。直近ではSREとして、異種ブロックチェーン間のインターオペラビリティを実現する OSSプロジェクトであるYUIを使用したクロスチェーンプラットフォーム「 TOKI」の運用、構築を担当。

Copyright © 2025 Datachain, Inc. All Rights Reserved. Datachain紹介 3
https://www.datachain.jp/ 1. TOKI a. Super easy way to transfer assets natively across blockchains with best-in-class security by IBC. Accessible to anyone, no more wrapped tokens and Trusted-Third-Parties. b. https://toki.finance/ 2. Project Pax a. Progmat and Datachain aim to leverage stablecoins to enable fast, cost-effective, and 24/7 operational cross-border transfers. b. https://www.datachain.jp/news/progmat-and-datachain-launch-project-pax

Copyright © 2025 Datachain, Inc. All Rights Reserved. 4 クロスチェーンブリッジ
TOKI https://toki.ﬁnance/

TOKI

TOKI クロスチェーンブリッジはユーザの資産を預かるため、高いセキュリティレベルを要求される

TOKI 過去には様々なブリッジでユーザ資産が流出・盗難される事件が発生している

TOKI Bridge運用者の内部犯行による $120Mの盗難ケース https://www.chainalysis.com/blog/multichain-exploit-july-2023 > A week after cross-chain bridge protocol Multichain experienced unauthorized withdrawals of more than $125 million, the team announced on Twitter that the company has ceased operations. After the company’s CEO, Zhaojun, was arrested by the Chinese police, the team said that they could not contact him and lost the platform’s MPC keys. However, Multichain continued to operate at limited capacity.

TOKI サービス運用者、 CSPすらも信用してはいけない

TOKI ユーザが安心してブリッジを使用するには？

TOKI TOKIはIntel SGXを使用してユーザー資産を保護します

Copyright © 2025 Datachain, Inc. All Rights Reserved. Intel SGX
12 Intel SGXとは？

Copyright © 2025 Datachain, Inc. All Rights Reserved. Intel SGX
13 Intel SGXとは？ 1. TEE(Trusted Execution Environment)の一種 2. CPU固有の鍵により、暗号化されたメモリ空間でEnclaveと呼ばれる任意のプログラムを実行可能。この空間はOS, Hypervisorを含む他ソフトウェアから読み取ることは不可能 a. root権限を持っていても、メモリ上のデータを閲覧、改ざんすることは出来ない 3. Remote Attestation機能によりEnclaveの実行環境のHardwareが健全であるかどうか、想定通りのコードを実行しているかを第三者に証明可能 a. Enclaveのプログラムが改ざんされていないことを証明 b. CPUが脆弱性に晒されていないことの証明

Copyright © 2025 Datachain, Inc. All Rights Reserved. 14 Intel
SGX 身近に使われているTEE技術 Apple Secure Enclave https://support.apple.com/ja-jp/guide/security/sec59b0b31ff/web Apple Pay支払時に、Secure EnclaveがOSやアプリケーションから隔離された環境でユーザー認証情報を検証し、支払いチップに署名付きで渡すことで、 OS、アプリからの攻撃・改ざんを防止しつつ支払いが可能

SGX Intel SGXのユースケース 1. 機密計算 a. クラウド環境での医療データや金融データの分析など 2. デジタル著作権管理 a. blu-ray再生ソフトなどの不正コピー防止 3. 暗号鍵管理 a. HSMなど

Copyright © 2025 Datachain, Inc. All Rights Reserved. Intel SGXでセキュアなブリッジを構築できる理由
16 Intel SGXでセキュアなブリッジを構築できるのはなぜ？

SGXでセキュアなブリッジを構築できる理由既存ブリッジのユーザー資産流出ケースの整理 1. 人為的ミスによる機密情報の流出 a. ブロックチェーン間の資産移転時に使用する署名用秘密鍵など 2. システムの不備をついた攻撃 a. 脆弱性を利用して、プログラムの書き換え、機密情報を取得、データを改ざんする 3. 内部犯行 a. 特権ユーザーによるメモリ上またはディスクに保存された機密データの閲覧、悪用架空の取引を捏造、取引データの改竄して、不正な取引データを作成しブロックチェーンに提出することでユーザー資産が流出する

18 Intel SGXを使用すると・・・

SGXでセキュアなブリッジを構築できる理由人為的ミスへの対策 Enclaveのプログラムによって取引の検証が自動執行されるため、そもそも人が介在する余地がない。

SGXでセキュアなブリッジを構築できる理由内部犯行への対策 Enclave実行中のメモリ空間はSGXの機能によって暗号化されており、特権ユーザでさえ実行中プログラムのメモリ上のデータを見ることは出来ないので、機密情報が漏洩することはない。

SGXでセキュアなブリッジを構築できる理由システムの不備をついた攻撃への対策 1. プログラムの改竄 a. MRENCLAVEと呼ばれるENCLAVEのバイナリのHash値を検証することで、ソフトウェアが改竄されている場合取引を行わない b. 本番環境のMRENCLAVE値とEnclaveのReproducible Build環境をユーザに公開することで、TOKIが使用しているEnclaveのソースコードが、本番環境で動いていることを第三者に証明可能 2. 脆弱性を利用した機密情報の取得、改竄 a. RemoteAttestationとTCBRecoveryによって、Enclaveの実行環境が脆弱性に晒されていないことを第三者に証明可能

SGXでセキュアなブリッジを構築できる理由 MRENCLAVE? RemoteAttestation? TCBRecovery?

SGXでセキュアなブリッジを構築できる理由 MRENCLAVE 1. Enclaveのソースコード、コンフィグレーションから一意に導出される Hash 2. コードが一行でも変更されると、導出されるHash値も変わる

SGXでセキュアなブリッジを構築できる理由 > コードが一行でも変更されると、導出されるHash値も変わる Enclaveの改竄検知に使用可能！

SGXでセキュアなブリッジを構築できる理由 MRENCLAVE値をBlockchain上に公開&EnclaveのReproducible環境をユーザーに提供することで、TOKIのメッセージ検証ロジックが正しいことをユーザーが検証可能

SGXでセキュアなブリッジを構築できる理由 MRENCLAVE機能を使用することで、 Softwareを保護することが可能 1. 不正なEnclaveによってメッセージ検証された場合取引をしない(改竄耐性) a. 外部犯によるEnclaveプログラムの改竄があった場合に取引を停止 2. 外部からEnclaveプログラムのロジックを確認出来る(改竄検知) a. 内部犯によるEnclaveプログラムの改竄を、ユーザがReproducible Buildすることで検知可能

SGXでセキュアなブリッジを構築できる理由 RemoteAttestation TCBRecovery

SGXでセキュアなブリッジを構築できる理由 Remote Attestation Intel SGXが動作しているマシンのTrusted Computing Base(TCB)が安全(既知の脆弱性に晒されていない)であることを外部に証明するプロセス TCBRecovery Intel SGXに関わる脆弱性がIntelによって公開された時に、Intel SGXの実行環境である TCBを更新することで脆弱性を緩和した環境へ復旧するプロセス

SGXでセキュアなブリッジを構築できる理由 Trusted Computing Baseとは？ https://en.wikipedia.org/wiki/Trusted_computing_base そのシステムのセキュリティに不可欠なすべてのHardware、Firmware、および/またはSoftware Componentの集合 Intel SGXのTCB 1. Hardware a. CPU Model 2. Firmware a. CPU Microcode 3. Software a. Architectural Enclave b. Intel SGX SDK

SGXでセキュアなブリッジを構築できる理由 Intel SGXのTCB 1. CPU Model 2. CPU Microcode 3. Architectural Enclave 4. Intel SGX SDK(EnclaveのBuildに必須) Remote Attestation Intel SGXが動作しているマシンのTrusted Computing Base(TCB)が安全(既知の脆弱性に晒されていない)であることを外部に証明するプロセス RemoteAttestationを実行することで、 Hardwareレベルのシステムの安全性を証明可能

SGXでセキュアなブリッジを構築できる理由 Remote Attestationフロー

SGXでセキュアなブリッジを構築できる理由 TCBRecovery Intel SGXに関わる脆弱性がIntelによって公開された時に、Intel SGXの実行環境である TCBを更新することで脆弱性を緩和した環境へ復旧するプロセス

33 TCB Recoveryフロー

34 TCBRecoveryを実施しないと？脆弱性を放置したままシステム稼働をしつづけることになる。中には機密性や実行結果を改ざんするものがあり、Enclave内の計算結果が信用出来なくなる場合があるため迅速な対応が必要。従来の脆弱性対応との違い 1. RemoteAttestationというHardwareの検証プロセスがあるため、CPU Microcodeの更新がプロトコルによって実質強制されている 2. Cloudを使用している場合に、Provider側にMicrocodeを更新してもらう必要がある a. 更新をしてくれないProviderも・・・

35 まとめ 1. MRENCLAVE a. Softwareを保護 2. RemoteAttastation, TCBRecovery a. Hardwareレベルで実行環境が侵害されていなことを保証これらの仕組みによりユーザー資産を保護している。

LCPとは？ TEEを用いてEnclave内でLightClient検証を実現するMiddleware - https://github.com/datachainlab/lcp - https://docs.lcp.network/ 特徴 1. Trust-minimized a. クロスチェーンメッセージの転送に、ユーザーは以下を信頼するだけで良い i. LightClientのセキュリティ仮定 ii. TEEの実行環境(TCB) 2. Ultra efﬁcient on-chain veriﬁcation a. OnChainでのLightClient検証よりも実行コスト(Gas)が低い b. Light Clientの実行はブロックチェーン上ではコストが高く、 SGXにオフロードさせることを目的としている 3. Extensible a. ブロックチェーン毎にLightClientを実装する必要がない。

LCPのクロスチェーンメッセージ検証の概要 1. ブロックチェーンから渡ってきたクロスチェーンメッセージ (Packet)をEnclaveで検証する 2. 検証が成功した場合に Enclave内でのみ使用可能な署名鍵で署名し Signatureを作成する 3. Signatureをブロックチェーン上のスマートコントラクトに提出し、正当な鍵で署名されていることを検証する 4. 署名検証が成功するとチェーン間の資産移転が完了する

LCPのアーキテクチャ詳細 Enclave Light Client(ELC) 1. TEEのenclave内で動作するLightClientとして、クロスチェーンメッセージの検証を行う。 2. Enclave内で生成される公開鍵方式の秘密鍵である EnclaveKeyで、ELCのLightClient検証の実行結果(commitment)に署名することでCommitment Proofと呼ばれるSignatureを生成する。 LCPClient 1. Blockchainにデプロイされるスマートコントラクト 2. ELCが作成したCommitmentProofが正しいEnclaveKeyによって署名されているかどうかを検証する EnclaveKey 1. 作成時にSGXのSealing機能を使って暗号化した上でDiskに保存される。 2. Enclave内でのみ秘密鍵が復号可能で、復号された状態で Enclave外に鍵を持ち出すことは出来ない。 3. SGXのSealing機能の制約として、 CPU個体毎の秘密鍵で暗号化されるため、 Sealing/Unsealingは必ず同じCPU個体が搭載されたマシン上で実行する必要がある。

TOKIはクロスチェーンメッセージのプロトコルに IBC Protocolを採用 https://ibcprotocol.dev/ 特徴 1. 独立したブロックチェーン同士を相互接続し、信頼を最小化しつつデータや資産をやり取りできるオープンソースのプロトコル 2. データの中継者に信頼を置かない 3. LightClient検証方式により、必要最低限のデータだけで「相手ブロックチェーンが改ざんされていないこと」を保証する仕組み

https://ibcprotocol.dev/blog/multi-prover-for-ibc-toki

Copyright © 2025 Datachain, Inc. All Rights Reserved. インフラ構成 43
Azure Kubernetes Serviceに、Azure Conﬁdential Computingシリーズの VM(DCsv2, DCsv3)のNodePool をLCPの実行環境としてデプロイしている。 1. https://learn.microsoft.com/en-us/azure/virtual-machines/sizes/general-purpose/dcsv2-series?ta bs=sizebasic 2. https://learn.microsoft.com/en-us/azure/virtual-machines/sizes/general-purpose/dcsv3-series?ta bs=sizebasic 主要パブリッククラウド(AWS, Azure, GCP)のうち、SGXマシンを利用可能なVMを提供しているのはAzureのみ Intel Software Guard Extensions (SGX) device plugin for Kubernetes https://intel.github.io/intel-device-plugins-for-kubernetes/cmd/sgx_plugin/README.html

Copyright © 2025 Datachain, Inc. All Rights Reserved. インフラ構成 44
SGXの制約 SGXのSealing機能 1. Enclave内の機密データを永続的に保存するためにディスク上へ暗号化して書き出すプロセス 2. Sealing/Unsealing(データ暗号化/復号)はEnclave内でしか実行できず、必ず同じCPU個体が搭載されたマシン上で実行する必要があるあるノード上の EnclaveでSealing(暗号化)したデータを、 CPUが異なる別ノードの EnclaveでUnsealing(復号)することは出来ない。

Copyright © 2025 Datachain, Inc. All Rights Reserved. SGXインフラ構成 46
まとめ SGXではEnclaveを実行するCPU個体に依存しているSealing/Unsealing機能があるため、Podを実行するNodeを固定する必要がある以下の方法でEnclaveが同一CPUで動作することを保証する必要がある 1. Enclave毎にDeploymentとNodePoolを作成する 2. nodeSelectorを指定してPodを同じNodeに配置する 3. nodeにtaintsを設定して、EnclaveのPodを確実に配置する

Intel SGXをAzureで本番運用するための構成事例と実践知見 / SRE NEXT 2025

Intel SGXをAzureで本番運用するための構成事例と実践知見 / SRE NEXT 2025

More Decks by Datachain

Featured

Transcript