Intel SGXをAzureで本番運用するための構成事例と実践知見 / SRE NEXT 2025

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Copyright © 2025 Datachain, Inc. All Rights Reserved. 自己紹介 2 大久保俊彦株式会社Datachain SREテックリード Datachain創業から参画し、 Blockchain Walletの開発、実証実験におけるスマートコントラクト、バックエンドの設計、実装を担当。直近ではSREとして、異種ブロックチェーン間のインターオペラビリティを実現する OSSプロジェクトであるYUIを使用したクロスチェーンプラットフォーム「 TOKI」の運用、構築を担当。

Slide 3

Slide 3 text

Copyright © 2025 Datachain, Inc. All Rights Reserved. Datachain紹介 3 https://www.datachain.jp/ 1. TOKI a. Super easy way to transfer assets natively across blockchains with best-in-class security by IBC. Accessible to anyone, no more wrapped tokens and Trusted-Third-Parties. b. https://toki.finance/ 2. Project Pax a. Progmat and Datachain aim to leverage stablecoins to enable fast, cost-effective, and 24/7 operational cross-border transfers. b. https://www.datachain.jp/news/progmat-and-datachain-launch-project-pax

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Copyright © 2025 Datachain, Inc. All Rights Reserved. 8 クロスチェーンブリッジ TOKI Bridge運用者の内部犯行による $120Mの盗難ケース https://www.chainalysis.com/blog/multichain-exploit-july-2023 > A week after cross-chain bridge protocol Multichain experienced unauthorized withdrawals of more than $125 million, the team announced on Twitter that the company has ceased operations. After the company’s CEO, Zhaojun, was arrested by the Chinese police, the team said that they could not contact him and lost the platform’s MPC keys. However, Multichain continued to operate at limited capacity.

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Copyright © 2025 Datachain, Inc. All Rights Reserved. Intel SGX 13 Intel SGXとは？ 1. TEE(Trusted Execution Environment)の一種 2. CPU固有の鍵により、暗号化されたメモリ空間でEnclaveと呼ばれる任意のプログラムを実行可能。この空間はOS, Hypervisorを含む他ソフトウェアから読み取ることは不可能 a. root権限を持っていても、メモリ上のデータを閲覧、改ざんすることは出来ない 3. Remote Attestation機能によりEnclaveの実行環境のHardwareが健全であるかどうか、想定通りのコードを実行しているかを第三者に証明可能 a. Enclaveのプログラムが改ざんされていないことを証明 b. CPUが脆弱性に晒されていないことの証明

Slide 14

Slide 14 text

Copyright © 2025 Datachain, Inc. All Rights Reserved. 14 Intel SGX 身近に使われているTEE技術 Apple Secure Enclave https://support.apple.com/ja-jp/guide/security/sec59b0b31ff/web Apple Pay支払時に、Secure EnclaveがOSやアプリケーションから隔離された環境でユーザー認証情報を検証し、支払いチップに署名付きで渡すことで、 OS、アプリからの攻撃・改ざんを防止しつつ支払いが可能

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Copyright © 2025 Datachain, Inc. All Rights Reserved. 17 Intel SGXでセキュアなブリッジを構築できる理由既存ブリッジのユーザー資産流出ケースの整理 1. 人為的ミスによる機密情報の流出 a. ブロックチェーン間の資産移転時に使用する署名用秘密鍵など 2. システムの不備をついた攻撃 a. 脆弱性を利用して、プログラムの書き換え、機密情報を取得、データを改ざんする 3. 内部犯行 a. 特権ユーザーによるメモリ上またはディスクに保存された機密データの閲覧、悪用架空の取引を捏造、取引データの改竄して、不正な取引データを作成しブロックチェーンに提出することでユーザー資産が流出する

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Copyright © 2025 Datachain, Inc. All Rights Reserved. 21 Intel SGXでセキュアなブリッジを構築できる理由システムの不備をついた攻撃への対策 1. プログラムの改竄 a. MRENCLAVEと呼ばれるENCLAVEのバイナリのHash値を検証することで、ソフトウェアが改竄されている場合取引を行わない b. 本番環境のMRENCLAVE値とEnclaveのReproducible Build環境をユーザに公開することで、TOKIが使用しているEnclaveのソースコードが、本番環境で動いていることを第三者に証明可能 2. 脆弱性を利用した機密情報の取得、改竄 a. RemoteAttestationとTCBRecoveryによって、Enclaveの実行環境が脆弱性に晒されていないことを第三者に証明可能

Slide 22

Slide 22 text

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Slide 26

Slide 26 text

Copyright © 2025 Datachain, Inc. All Rights Reserved. 26 Intel SGXでセキュアなブリッジを構築できる理由 MRENCLAVE機能を使用することで、 Softwareを保護することが可能 1. 不正なEnclaveによってメッセージ検証された場合取引をしない(改竄耐性) a. 外部犯によるEnclaveプログラムの改竄があった場合に取引を停止 2. 外部からEnclaveプログラムのロジックを確認出来る(改竄検知) a. 内部犯によるEnclaveプログラムの改竄を、ユーザがReproducible Buildすることで検知可能

Slide 27

Slide 27 text

Slide 28

Slide 28 text

Copyright © 2025 Datachain, Inc. All Rights Reserved. 28 Intel SGXでセキュアなブリッジを構築できる理由 Remote Attestation Intel SGXが動作しているマシンのTrusted Computing Base(TCB)が安全(既知の脆弱性に晒されていない)であることを外部に証明するプロセス TCBRecovery Intel SGXに関わる脆弱性がIntelによって公開された時に、Intel SGXの実行環境である TCBを更新することで脆弱性を緩和した環境へ復旧するプロセス

Slide 29

Slide 29 text

Copyright © 2025 Datachain, Inc. All Rights Reserved. 29 Intel SGXでセキュアなブリッジを構築できる理由 Trusted Computing Baseとは？ https://en.wikipedia.org/wiki/Trusted_computing_base そのシステムのセキュリティに不可欠なすべてのHardware、Firmware、および/またはSoftware Componentの集合 Intel SGXのTCB 1. Hardware a. CPU Model 2. Firmware a. CPU Microcode 3. Software a. Architectural Enclave b. Intel SGX SDK

Slide 30

Slide 30 text

Copyright © 2025 Datachain, Inc. All Rights Reserved. 30 Intel SGXでセキュアなブリッジを構築できる理由 Intel SGXのTCB 1. CPU Model 2. CPU Microcode 3. Architectural Enclave 4. Intel SGX SDK(EnclaveのBuildに必須) Remote Attestation Intel SGXが動作しているマシンのTrusted Computing Base(TCB)が安全(既知の脆弱性に晒されていない)であることを外部に証明するプロセス RemoteAttestationを実行することで、 Hardwareレベルのシステムの安全性を証明可能

Slide 31

Slide 31 text

Slide 32

Slide 32 text

Slide 33

Slide 33 text

Slide 34

Slide 34 text

Copyright © 2025 Datachain, Inc. All Rights Reserved. Intel SGXでセキュアなブリッジを構築できる理由 34 TCBRecoveryを実施しないと？脆弱性を放置したままシステム稼働をしつづけることになる。中には機密性や実行結果を改ざんするものがあり、Enclave内の計算結果が信用出来なくなる場合があるため迅速な対応が必要。従来の脆弱性対応との違い 1. RemoteAttestationというHardwareの検証プロセスがあるため、CPU Microcodeの更新がプロトコルによって実質強制されている 2. Cloudを使用している場合に、Provider側にMicrocodeを更新してもらう必要がある a. 更新をしてくれないProviderも・・・

Slide 35

Slide 35 text

Copyright © 2025 Datachain, Inc. All Rights Reserved. Intel SGXでセキュアなブリッジを構築できる理由 35 まとめ 1. MRENCLAVE a. Softwareを保護 2. RemoteAttastation, TCBRecovery a. Hardwareレベルで実行環境が侵害されていなことを保証これらの仕組みによりユーザー資産を保護している。

Slide 36

Slide 36 text

Slide 37

Slide 37 text

Slide 38

Slide 38 text

Copyright © 2025 Datachain, Inc. All Rights Reserved. LCP紹介 38 LCPとは？ TEEを用いてEnclave内でLightClient検証を実現するMiddleware - https://github.com/datachainlab/lcp - https://docs.lcp.network/ 特徴 1. Trust-minimized a. クロスチェーンメッセージの転送に、ユーザーは以下を信頼するだけで良い i. LightClientのセキュリティ仮定 ii. TEEの実行環境(TCB) 2. Ultra efﬁcient on-chain veriﬁcation a. OnChainでのLightClient検証よりも実行コスト(Gas)が低い b. Light Clientの実行はブロックチェーン上ではコストが高く、 SGXにオフロードさせることを目的としている 3. Extensible a. ブロックチェーン毎にLightClientを実装する必要がない。

Slide 39

Slide 39 text

Copyright © 2025 Datachain, Inc. All Rights Reserved. LCP紹介 39 LCPのクロスチェーンメッセージ検証の概要 1. ブロックチェーンから渡ってきたクロスチェーンメッセージ (Packet)をEnclaveで検証する 2. 検証が成功した場合に Enclave内でのみ使用可能な署名鍵で署名し Signatureを作成する 3. Signatureをブロックチェーン上のスマートコントラクトに提出し、正当な鍵で署名されていることを検証する 4. 署名検証が成功するとチェーン間の資産移転が完了する

Slide 40

Slide 40 text

Copyright © 2025 Datachain, Inc. All Rights Reserved. LCP紹介 40 LCPのアーキテクチャ詳細 Enclave Light Client(ELC) 1. TEEのenclave内で動作するLightClientとして、クロスチェーンメッセージの検証を行う。 2. Enclave内で生成される公開鍵方式の秘密鍵である EnclaveKeyで、ELCのLightClient検証の実行結果(commitment)に署名することでCommitment Proofと呼ばれるSignatureを生成する。 LCPClient 1. Blockchainにデプロイされるスマートコントラクト 2. ELCが作成したCommitmentProofが正しいEnclaveKeyによって署名されているかどうかを検証する EnclaveKey 1. 作成時にSGXのSealing機能を使って暗号化した上でDiskに保存される。 2. Enclave内でのみ秘密鍵が復号可能で、復号された状態で Enclave外に鍵を持ち出すことは出来ない。 3. SGXのSealing機能の制約として、 CPU個体毎の秘密鍵で暗号化されるため、 Sealing/Unsealingは必ず同じCPU個体が搭載されたマシン上で実行する必要がある。

Slide 41

Slide 41 text

Copyright © 2025 Datachain, Inc. All Rights Reserved. LCP紹介 41 TOKIはクロスチェーンメッセージのプロトコルに IBC Protocolを採用 https://ibcprotocol.dev/ 特徴 1. 独立したブロックチェーン同士を相互接続し、信頼を最小化しつつデータや資産をやり取りできるオープンソースのプロトコル 2. データの中継者に信頼を置かない 3. LightClient検証方式により、必要最低限のデータだけで「相手ブロックチェーンが改ざんされていないこと」を保証する仕組み

Slide 42

Slide 42 text

Slide 43

Slide 43 text

Copyright © 2025 Datachain, Inc. All Rights Reserved. インフラ構成 43 Azure Kubernetes Serviceに、Azure Conﬁdential Computingシリーズの VM(DCsv2, DCsv3)のNodePool をLCPの実行環境としてデプロイしている。 1. https://learn.microsoft.com/en-us/azure/virtual-machines/sizes/general-purpose/dcsv2-series?ta bs=sizebasic 2. https://learn.microsoft.com/en-us/azure/virtual-machines/sizes/general-purpose/dcsv3-series?ta bs=sizebasic 主要パブリッククラウド(AWS, Azure, GCP)のうち、SGXマシンを利用可能なVMを提供しているのはAzureのみ Intel Software Guard Extensions (SGX) device plugin for Kubernetes https://intel.github.io/intel-device-plugins-for-kubernetes/cmd/sgx_plugin/README.html

Slide 44

Slide 44 text

Copyright © 2025 Datachain, Inc. All Rights Reserved. インフラ構成 44 SGXの制約 SGXのSealing機能 1. Enclave内の機密データを永続的に保存するためにディスク上へ暗号化して書き出すプロセス 2. Sealing/Unsealing(データ暗号化/復号)はEnclave内でしか実行できず、必ず同じCPU個体が搭載されたマシン上で実行する必要があるあるノード上の EnclaveでSealing(暗号化)したデータを、 CPUが異なる別ノードの EnclaveでUnsealing(復号)することは出来ない。

Slide 45

Slide 45 text

Slide 46

Slide 46 text

Copyright © 2025 Datachain, Inc. All Rights Reserved. SGXインフラ構成 46 まとめ SGXではEnclaveを実行するCPU個体に依存しているSealing/Unsealing機能があるため、Podを実行するNodeを固定する必要がある以下の方法でEnclaveが同一CPUで動作することを保証する必要がある 1. Enclave毎にDeploymentとNodePoolを作成する 2. nodeSelectorを指定してPodを同じNodeに配置する 3. nodeにtaintsを設定して、EnclaveのPodを確実に配置する

Slide 47

Slide 47 text

Slide 48

Slide 48 text