Skip to main content

Apakah itu TEE (Trusted Execution Environment)

Nota: Dokumen ini adalah terjemahan automatik daripada versi asal bahasa Inggeris.

Apakah itu TEE (Trusted Execution Environment)

Trusted Execution Environment (TEE) ialah kawasan selamat yang diasingkan secara perkakasan di dalam pemproses yang menjalankan kod dan memproses data dengan cara yang dilindungi daripada seluruh sistem — termasuk sistem pengendalian, hipervisor, dan bahkan pemilik fizikal mesin tersebut. Kod yang berjalan di dalam TEE tidak boleh diperhatikan atau diganggu oleh perisian luaran. TEE menyediakan mekanisme untuk pengkomputeran sulit: melaksanakan beban kerja sensitif pada perkakasan yang tidak dipercayai dengan jaminan yang dikuatkuasakan oleh perkakasan.

Ringkasnya: TEE ialah "bilik kedap" berasaskan perkakasan di dalam pemproses. Kod dan data di dalamnya tidak boleh dilihat dan tidak boleh disentuh oleh segala-galanya di luar — termasuk pengendali pelayan. Ia membolehkan AI sulit pada mesin yang tidak dipercayai.

Masalah yang diselesaikannya

Dalam AI terdesentralisasi, pengiraan disediakan oleh pihak yang tidak dipercayai. Apabila pengguna menghantar data sensitif ke nod GPU jauh untuk inferens, atau apabila pemilik model menggunakan model proprietari pada perkakasan pihak ketiga, timbul persoalan asas: bagaimana anda menghalang penyedia pengiraan daripada membaca data atau mencuri model?

Pengasingan berasaskan perisian tradisional (mesin maya, kontena) melindungi beban kerja daripada satu sama lain tetapi tidak daripada pengendali infrastruktur. Pengendali mengawal OS, hipervisor, dan perkakasan — mereka boleh, pada dasarnya, memeriksa memori, memintas lalu lintas rangkaian, atau mengekstrak rahsia. TEE menangani ini dengan memindahkan sempadan kepercayaan ke dalam perkakasan itu sendiri.

Bagaimana ia berfungsi

TEE mewujudkan enklaf — kawasan memori dan pelaksanaan yang dilindungi yang disulitkan dan dikawal aksesnya pada peringkat perkakasan. Proses umumnya berfungsi seperti berikut:

  1. Penciptaan enklaf. Program meminta pemproses mencipta enklaf selamat. Pemproses memperuntukkan kawasan memori yang disulitkan yang tidak boleh diakses oleh semua perisian lain pada mesin.
  2. Pemuatan kod. Kod aplikasi dan data yang hendak dilindungi dimuatkan ke dalam enklaf. Pemproses mengukur (menghash) kod yang dimuatkan untuk mencipta cap jari tentang apa sebenarnya yang dimuatkan.
  3. Pelaksanaan kedap. Kod berjalan di dalam enklaf. Semua data dalam memori enklaf disulitkan oleh pemproses. Walaupun penyerang mempunyai akses fizikal ke mesin dan membaca cip RAM secara langsung, mereka hanya melihat data yang disulitkan.
  4. Atestasi. TEE menjana laporan atestasi — bukti kriptografi, ditandatangani oleh perkakasan, yang menyatakan: "kod khusus ini sedang berjalan di dalam TEE tulen pada perkakasan tulen, dan ukurannya sepadan dengan hash ini." Pihak jauh (pengguna, kontrak pintar, pengesah) boleh mengesahkan atestasi untuk memastikan enklaf itu benar dan kod yang dijangka sedang berjalan.
  5. Penghantaran keputusan. Enklaf menghasilkan outputnya dan boleh menyulitkannya untuk pihak yang meminta. Pengendali mesin tidak pernah melihat input teks biasa, keadaan dalaman, atau output.

Atestasi ialah sifat utama

Tanpa atestasi, TEE hanyalah dakwaan keselamatan. Atestasi menjadikannya boleh disahkan. Apabila projek AI terdesentralisasi menggunakan TEE, laporan atestasi ialah bukti bahawa pelaksanaan sulit benar-benar berlaku. Laporan atestasi boleh disahkan on-chain oleh kontrak pintar, mewujudkan hubungan antara privasi peringkat perkakasan dan kebolehsahihan peringkat blockchain.

Pelaksanaan TEE utama

Beberapa pengeluar perkakasan menawarkan teknologi TEE, masing-masing dengan seni bina dan andaian kepercayaan yang berbeza:

Pelaksanaan Pengeluar Skop Nota
Intel SGX Intel Enklaf peringkat aplikasi Melindungi aplikasi individu; memori enklaf terhad; dikaji secara meluas dan teruji
Intel TDX Intel Pengasingan peringkat VM Melindungi keseluruhan mesin maya; sokongan memori lebih besar daripada SGX; teknologi lebih baharu
AMD SEV / SEV-SNP AMD Pengasingan peringkat VM Menyulitkan keseluruhan memori VM; SNP menambah perlindungan integriti; digunakan dalam tawaran awan
ARM TrustZone ARM Pemisahan peringkat sistem Membahagikan pemproses kepada "dunia selamat" dan "dunia biasa"; digunakan secara meluas dalam peranti mudah alih dan IoT
NVIDIA Confidential Computing NVIDIA Pengasingan peringkat GPU Melanjutkan pengkomputeran sulit kepada beban kerja GPU; kritikal untuk inferens dan latihan AI

Bagi beban kerja AI, sokongan TEE peringkat GPU amat penting kerana model AI berjalan terutamanya pada GPU, bukan CPU. Sambungan pengkomputeran sulit NVIDIA membolehkan inferens model berjalan di dalam TEE pada GPU itu sendiri, melindungi pemberat model dan data input semasa pengiraan yang dipercepatkan GPU.

Mengapa TEE penting untuk AI kripto

TEE menyelesaikan masalah praktikal yang belum dapat ditangani oleh teknologi privasi lain pada skala: menjalankan model AI yang besar pada perkakasan yang tidak dipercayai dengan prestasi yang boleh diterima.

Inferens AI sulit

Kes penggunaan utama dalam AI kripto ialah inferens sulit. Rangkaian inferens terdesentralisasi memadankan permintaan pengguna dengan penyedia GPU. Tanpa TEE, penyedia GPU boleh melihat input pengguna, pemberat model, dan output. Dengan TEE, inferens berjalan di dalam enklaf yang dikedapkan perkakasan — penyedia menyumbangkan perkakasan tetapi tidak dapat mengakses pengiraan.

Ini membolehkan senario yang sebaliknya mustahil dalam persekitaran tanpa kepercayaan:

  • Pengguna boleh menyerahkan data kewangan sensitif untuk analisis AI tanpa penyedia pengiraan melihatnya.
  • Pemilik model boleh menggunakan model proprietari pada GPU pihak ketiga tanpa berisiko kecurian model.
  • Ejen AI boleh memproses data pengguna peribadi sebagai sebahagian daripada aliran kerja on-chain sambil mengekalkan kerahsiaan data.

AI boleh disahkan melalui atestasi

Atestasi TEE mewujudkan bukti boleh disahkan bahawa model tertentu berjalan di dalam persekitaran yang dilindungi. Apabila atestasi ini disiarkan on-chain, ia memberikan bukti bahawa pengiraan AI dilakukan dengan jaminan kerahsiaan. Dalam konteks AI boleh disahkan, atestasi TEE kurang ketat secara matematik berbanding bukti zero-knowledge tetapi jauh lebih praktikal untuk model besar — TEE boleh menjalankan model dengan berbilion parameter pada kelajuan hampir natif, manakala verifikasi berasaskan ZK buat masa ini terhad kepada model kecil.

Model kepercayaan

Perbezaan kritikal: keselamatan TEE bergantung pada mempercayai pengeluar perkakasan. Jika pelaksanaan pengeluar mempunyai pepijat atau pintu belakang, jaminan keselamatan akan gagal. Ini pada asasnya berbeza daripada bukti ZK, di mana jaminannya bersifat matematik dan tidak bergantung pada mana-mana vendor perkakasan. Beberapa serangan saluran sisi terhadap Intel SGX telah ditunjukkan oleh penyelidik keselamatan, membawa kepada tampalan dan reka bentuk yang lebih baik. Keselamatan TEE ialah bidang yang berkembang, dan andaian kepercayaan terhadap pengeluar perkakasan harus difahami, bukan diabaikan.

Di mana ia muncul dalam kad projek DecAIHub

Ciri berkaitan TEE muncul dalam beberapa medan:

  • AI component — nilai seperti "TEE-based inference," "confidential execution," atau "attested model serving" menandakan penggunaan TEE.
  • Jadual Evidence — bukti Tier-1 untuk TEE termasuk log verifikasi atestasi, dokumentasi pelaksanaan TEE yang digunakan, audit keselamatan yang diterbitkan, dan kontrak verifikasi atestasi on-chain.
  • Mekanisme verifikasi — apabila projek menggunakan TEE sebagai pendekatannya kepada AI boleh disahkan (berbanding dengan verifikasi berasaskan ZK atau konsensus), ini dinyatakan dalam penerangan projek atau medan AI component.

TEE lazim ditemui dalam projek dalam kategori AI/Inference dan AI/Compute, di mana pelaksanaan model sulit pada perkakasan pihak ketiga ialah keperluan teras.

Apa yang TEE tidak buktikan

  • Atestasi TEE membuktikan kod berjalan di dalam enklaf tulen — ia tidak membuktikan kod itu sendiri betul, selamat, atau melakukan apa yang didakwanya. Pepijat dalam kod enklaf ialah pepijat di dalam TEE.
  • TEE tidak membuktikan model AI itu bagus, tidak berat sebelah, atau tepat. Ia membuktikan kerahsiaan dan integriti pelaksanaan, bukan kualiti model.
  • TEE tidak membuktikan desentralisasi. Penyedia tunggal boleh menjalankan beban kerja yang dilindungi TEE. Desentralisasi datang daripada seni bina rangkaian, bukan daripada TEE itu sendiri.
  • TEE tidak membuktikan perkakasan itu kebal terhadap semua serangan. Serangan saluran sisi, kelemahan perisian tegar, dan risiko rantaian bekalan kekal sebagai bidang penyelidikan keselamatan yang aktif.
  • TEE tidak menghapuskan keperluan untuk mempercayai seseorang — ia mengalihkan kepercayaan daripada penyedia pengiraan kepada pengeluar perkakasan. Ini ialah pengurangan permukaan kepercayaan yang ketara tetapi bukan ketiadaan kepercayaan sepenuhnya.

Jangan kelirukan dengan

  • ZK (bukti zero-knowledge) — ZK menyediakan jaminan matematik bagi integriti dan privasi pengiraan. TEE menyediakan jaminan berasaskan perkakasan. Kedua-duanya boleh digunakan untuk AI boleh disahkan, tetapi ia mempunyai model kepercayaan dan ciri prestasi yang berbeza.
  • Privasi — privasi ialah matlamat yang lebih luas; TEE ialah satu mekanisme untuk mencapainya. Mekanisme privasi lain termasuk bukti ZK, MPC, dan penyulitan homomorfik.
  • Penyulitan — menyulitkan data melindunginya semasa rehat atau semasa transit. TEE melindungi data semasa pengiraan (semasa digunakan). Ia saling melengkapi, bukan boleh ditukar ganti.
  • Mesin maya / kontena — VM dan kontena menyediakan pengasingan peringkat perisian antara beban kerja tetapi tidak melindungi daripada pengendali infrastruktur. TEE menyediakan pengasingan peringkat perkakasan yang melindungi daripada pengendali.
  • Secure enclave (sebagai nama produk) — "Secure Enclave" Apple ialah pelaksanaan khusus dalam peranti Apple. Konsep umum enklaf TEE lebih luas dan terpakai merentas pengeluar.

Soalan lazim

Bagaimana TEE berbeza daripada penyulitan?

Penyulitan melindungi data apabila ia disimpan (semasa rehat) atau dihantar (semasa transit). TEE melindungi data semasa ia diproses (semasa digunakan). Penyulitan standard memerlukan data dinyahsulit sebelum pengiraan, yang mendedahkannya kepada sesiapa yang menjalankan pengiraan. TEE mengekalkan data disulitkan dalam memori dan memprosesnya di dalam enklaf yang dikedapkan perkakasan, jadi data tidak pernah didedahkan dalam teks biasa di luar enklaf — bahkan tidak kepada pengendali mesin. TEE dan penyulitan saling melengkapi: data disulitkan semasa transit ke TEE, diproses secara sulit di dalamnya, dan hasilnya disulitkan semasa transit kembali kepada pengguna.

Bolehkah TEE digodam?

Pelaksanaan TEE telah menjadi subjek penyelidikan keselamatan, dan beberapa serangan saluran sisi telah ditunjukkan — terutamanya terhadap versi terdahulu Intel SGX. Serangan ini biasanya mengeksploitasi perbezaan pemasaan, corak penggunaan kuasa, atau tingkah laku cache untuk menyimpulkan maklumat tentang pengiraan enklaf. Pengeluar perkakasan membalas dengan tampalan perisian tegar dan penambahbaikan seni bina. Generasi semasa pelaksanaan TEE (Intel TDX, AMD SEV-SNP) menggabungkan mitigasi untuk kelas serangan yang diketahui. Keselamatan TEE tidak mutlak, tetapi ia meningkatkan halangan dengan ketara berbanding pengasingan perisian sahaja. Risiko praktikal bergantung pada pelaksanaan TEE tertentu, versi perisian tegar, dan model ancaman.

Mengapa projek AI kripto memilih TEE berbanding bukti ZK?

Sebab utamanya ialah prestasi. TEE membolehkan model AI yang besar (termasuk model dengan berbilion parameter) berjalan pada kelajuan hampir natif, dengan overhed minimum daripada pengasingan perkakasan. Verifikasi berasaskan ZK (zkML) buat masa ini memerlukan penukaran model kepada litar matematik dan penjanaan bukti kriptografi, yang lebih mahal berkali-kali ganda dan terhad kepada model kecil. TEE menyediakan penyelesaian praktikal yang boleh digunakan hari ini untuk AI sulit pada perkakasan yang tidak dipercayai. Pertukarannya ialah andaian kepercayaan terhadap pengeluar perkakasan, yang tidak diperlukan oleh bukti ZK.

Apakah itu atestasi TEE?

Atestasi ialah bukti kriptografi yang dijana oleh perkakasan TEE yang mengesahkan: kod khusus ini, dengan ukuran khusus ini (hash), sedang berjalan di dalam enklaf TEE tulen pada perkakasan tulen. Atestasi ditandatangani oleh kunci yang ditanamkan dalam perkakasan oleh pengeluar. Pihak jauh boleh mengesahkan atestasi terhadap akar kepercayaan pengeluar untuk memastikan enklaf itu autentik. Dalam AI kripto, laporan atestasi boleh disahkan on-chain oleh kontrak pintar, mewujudkan hubungan yang boleh disahkan antara keselamatan peringkat perkakasan dan ketelusan peringkat blockchain.

Rujukan luaran

  • Confidential Computing Consortium — projek Linux Foundation yang menetapkan piawaian dan mempromosikan penggunaan pengkomputeran sulit berasaskan TEE di seluruh industri.
  • Intel SGX Developer Reference — dokumentasi teknikal untuk Software Guard Extensions Intel, salah satu pelaksanaan TEE yang paling banyak digunakan.
  • ARM TrustZone Technology — gambaran keseluruhan pelaksanaan TEE ARM yang digunakan dalam peranti mudah alih dan pengkomputeran pinggir.

Lihat juga

No comments to display

Back to top