TEE (Trusted Execution Environment) nedir
Not: Bu belge orijinal İngilizce versiyonun otomatik bir çevirisidir.
TEE (Trusted Execution Environment) nedir
Trusted Execution Environment (TEE), bir işlemci içinde, kodu çalıştıran ve verileri sistemin geri kalanından — işletim sistemi, hipervizör ve hatta makinenin fiziksel sahibi dahil — korunan bir biçimde işleyen güvenli, donanımla yalıtılmış bir alandır. TEE içinde çalışan kod, harici yazılımlar tarafından gözlemlenemez veya kurcalanamaz. TEE'ler gizli hesaplama (confidential computing) için bir mekanizma sağlar: hassas iş yüklerini güvenilmeyen donanımda, donanımla uygulattırılan garantilerle yürütmek.
Kısaca: TEE, işlemcinin içindeki donanım tabanlı bir "mühürlü oda"dır. İçindeki kod ve veriler, dışarıdaki her şey için — sunucu operatörü dahil — görünmez ve dokunulmazdır. Güvenilmeyen makinelerde gizli AI'yı mümkün kılar.
Çözdüğü sorun
Merkeziyetsiz AI'da hesaplama, güvenilmeyen taraflarca sağlanır. Bir kullanıcı hassas verileri çıkarım için uzak bir GPU düğümüne gönderdiğinde veya bir model sahibi tescilli bir modeli üçüncü taraf donanımına dağıttığında temel bir soru doğar: hesaplama sağlayıcısının verileri okumasını veya modeli çalmasını nasıl önlersiniz?
Geleneksel yazılım tabanlı yalıtım (sanal makineler, konteynerler) iş yüklerini birbirinden korur ancak altyapı operatöründen korumaz. Operatör işletim sistemini, hipervizörü ve donanımı kontrol eder — ilke olarak belleği inceleyebilir, ağ trafiğini kesebilir veya sırları çıkarabilir. TEE'ler bunu, güven sınırını donanımın kendisine taşıyarak ele alır.
Nasıl çalışır
Bir TEE, donanım düzeyinde şifrelenmiş ve erişimi denetlenen korumalı bir bellek ve yürütme bölgesi olan bir enclave oluşturur. Genel süreç şöyle işler:
- Enclave oluşturma. Bir program, işlemciden güvenli bir enclave oluşturmasını ister. İşlemci, makinedeki diğer tüm yazılımların erişemeyeceği şifrelenmiş bir bellek bölgesi ayırır.
- Kod yükleme. Korunacak uygulama kodu ve veriler enclave'e yüklenir. İşlemci, tam olarak neyin yüklendiğinin parmak izini oluşturmak için yüklenen kodu ölçer (hash'ler).
- Mühürlü yürütme. Kod enclave içinde çalışır. Enclave belleğindeki tüm veriler işlemci tarafından şifrelenir. Bir saldırgan makineye fiziksel erişime sahip olsa ve RAM yongalarını doğrudan okusa bile yalnızca şifrelenmiş veri görür.
- Attestation. TEE bir attestation raporu üretir — donanım tarafından imzalanan ve şunu belirten kriptografik bir kanıt: "bu belirli kod, gerçek donanım üzerindeki gerçek bir TEE içinde çalışıyor ve ölçümü bu hash ile eşleşiyor." Uzak bir taraf (kullanıcı, akıllı sözleşme, doğrulayıcı), enclave'in gerçek olduğunu ve beklenen kodun çalıştığını teyit etmek için attestation'ı doğrulayabilir.
- Sonuç teslimi. Enclave çıktısını üretir ve talepte bulunan taraf için şifreleyebilir. Makinenin operatörü düz metin girdiyi, iç durumu veya çıktıyı asla görmez.
Kilit özellik attestation'dır
Attestation olmadan bir TEE yalnızca bir güvenlik iddiasıdır. Attestation onu doğrulanabilir kılar. Merkeziyetsiz bir AI projesi TEE kullandığında, gizli yürütmenin gerçekten yaşandığının kanıtı attestation raporudur. Attestation raporları akıllı sözleşmeler tarafından zincir üstünde doğrulanabilir; bu, donanım düzeyinde gizlilik ile blok zinciri düzeyinde doğrulanabilirlik arasında bir bağ kurar.
Başlıca TEE uygulamaları
Birkaç donanım üreticisi, her biri farklı mimarilere ve güven varsayımlarına sahip TEE teknolojisi sunar:
| Uygulama | Üretici | Kapsam | Notlar |
|---|---|---|---|
| Intel SGX | Intel | Uygulama düzeyinde enclave'ler | Tek tek uygulamaları korur; sınırlı enclave belleği; kapsamlı biçimde incelenmiş ve sınanmıştır |
| Intel TDX | Intel | VM düzeyinde yalıtım | Sanal makinelerin tamamını korur; SGX'ten daha büyük bellek desteği; daha yeni teknoloji |
| AMD SEV / SEV-SNP | AMD | VM düzeyinde yalıtım | VM belleğinin tamamını şifreler; SNP bütünlük koruması ekler; bulut hizmetlerinde kullanılır |
| ARM TrustZone | ARM | Sistem düzeyinde ayrım | İşlemciyi "güvenli dünya" ve "normal dünya" olarak böler; mobil cihazlarda ve IoT'de yaygın olarak kullanılır |
| NVIDIA Confidential Computing | NVIDIA | GPU düzeyinde yalıtım | Gizli hesaplamayı GPU iş yüklerine genişletir; AI çıkarımı ve eğitimi için kritik |
AI iş yükleri için GPU düzeyinde TEE desteği özellikle önemlidir; çünkü AI modelleri esas olarak CPU'larda değil GPU'larda çalışır. NVIDIA'nın gizli hesaplama uzantıları, model çıkarımının GPU üzerindeki bir TEE içinde çalışmasına olanak tanır ve GPU hızlandırmalı hesaplama sırasında model ağırlıklarını ve girdi verilerini korur.
TEE kripto AI için neden önemlidir
TEE'ler, diğer gizlilik teknolojilerinin henüz ölçekte ele alamadığı pratik bir sorunu çözer: büyük AI modellerini güvenilmeyen donanımda kabul edilebilir performansla çalıştırmak.
Gizli AI çıkarımı
Kripto AI'daki birincil kullanım senaryosu gizli çıkarımdır. Merkeziyetsiz bir çıkarım ağı, kullanıcı isteklerini GPU sağlayıcılarıyla eşleştirir. TEE olmadan GPU sağlayıcısı kullanıcının girdisini, model ağırlıklarını ve çıktıyı görebilir. TEE ile çıkarım, donanımla mühürlenmiş bir enclave içinde çalışır — sağlayıcı donanımı sunar ancak hesaplamaya erişemez.
Bu, güven gerektirmeyen bir ortamda aksi halde imkânsız olacak senaryoları mümkün kılar:
- Bir kullanıcı, hesaplama sağlayıcısı görmeden hassas finansal verileri AI analizi için gönderebilir.
- Bir model sahibi, model hırsızlığı riskine girmeden tescilli bir modeli üçüncü taraf GPU'larına dağıtabilir.
- Bir AI ajanı, verileri gizli tutarken zincir üstü bir iş akışının parçası olarak özel kullanıcı verilerini işleyebilir.
Attestation yoluyla doğrulanabilir AI
TEE attestation'ı, belirli bir modelin korumalı bir ortamda çalıştığına dair doğrulanabilir bir kanıt yaratır. Bu attestation zincir üstüne gönderildiğinde, AI hesaplamasının gizlilik garantileriyle gerçekleştirildiğine dair kanıt sağlar. Doğrulanabilir AI bağlamında TEE attestation'ı, sıfır bilgi kanıtlarından matematiksel olarak daha az katıdır ancak büyük modeller için çok daha pratiktir — bir TEE, milyarlarca parametreli modelleri neredeyse yerel hızda çalıştırabilirken, ZK tabanlı doğrulama şu an için küçük modellerle sınırlıdır.
Güven modeli
Kritik ayrım: TEE güvenliği, donanım üreticisine güvenmeye dayanır. Üreticinin uygulamasında hatalar veya arka kapılar varsa, güvenlik garantisi bozulur. Bu, garantinin matematiksel olduğu ve hiçbir donanım tedarikçisine bağlı olmadığı ZK kanıtlarından temelden farklıdır. Güvenlik araştırmacıları Intel SGX'e karşı birkaç yan kanal saldırısı göstermiş; bu da yamalara ve iyileştirilmiş tasarımlara yol açmıştır. TEE güvenliği gelişmekte olan bir alandır ve donanım üreticisine dair güven varsayımı göz ardı edilmemeli, anlaşılmalıdır.
DecAIHub proje kartlarında nerede görünür
TEE ile ilgili özellikler birkaç alanda görünür:
- AI component — "TEE-based inference", "confidential execution" veya "attested model serving" gibi değerler TEE kullanımını gösterir.
- Evidence tablosu — TEE için Tier-1 kanıtları arasında attestation doğrulama günlükleri, kullanılan TEE uygulamasının dokümantasyonu, yayımlanmış güvenlik denetimleri ve zincir üstü attestation doğrulama sözleşmeleri yer alır.
- Doğrulama mekanizması — bir proje doğrulanabilir AI yaklaşımı olarak (ZK veya konsensüs tabanlı doğrulamanın aksine) TEE kullandığında, bu, proje açıklamasında veya AI component alanında belirtilir.
TEE, üçüncü taraf donanımında gizli model yürütmenin temel bir gereksinim olduğu AI/Inference ve AI/Compute kategorilerindeki projelerde yaygın olarak görülür.
TEE neyi kanıtlamaz
- TEE attestation'ı, kodun gerçek bir enclave içinde çalıştığını kanıtlar — kodun kendisinin doğru, güvenli olduğunu veya iddia ettiği şeyi yaptığını kanıtlamaz. Enclave kodundaki bir hata, TEE içindeki bir hatadır.
- TEE, AI modelinin iyi, tarafsız veya isabetli olduğunu kanıtlamaz. Yürütmenin gizliliğini ve bütünlüğünü kanıtlar, modelin kalitesini değil.
- TEE, merkeziyetsizliği kanıtlamaz. TEE korumalı iş yüklerini tek bir sağlayıcı çalıştırabilir. Merkeziyetsizlik, TEE'nin kendisinden değil, ağ mimarisinden gelir.
- TEE, donanımın tüm saldırılara karşı bağışık olduğunu kanıtlamaz. Yan kanal saldırıları, aygıt yazılımı güvenlik açıkları ve tedarik zinciri riskleri, güvenlik araştırmalarının aktif alanları olmaya devam etmektedir.
- TEE, birine güvenme ihtiyacını ortadan kaldırmaz — güveni hesaplama sağlayıcısından donanım üreticisine kaydırır. Bu, güven yüzeyinde önemli bir azalmadır ancak tam bir güvensizleştirme değildir.
Karıştırmayın
- ZK (sıfır bilgi kanıtları) — ZK, hesaplama bütünlüğü ve gizliliği için matematiksel garantiler sağlar. TEE donanım tabanlı garantiler sağlar. Her ikisi de doğrulanabilir AI için kullanılabilir; ancak farklı güven modelleri ve performans özellikleri vardır.
- Gizlilik — gizlilik daha geniş hedeftir; TEE ona ulaşmanın mekanizmalarından biridir. Diğer gizlilik mekanizmaları arasında ZK kanıtları, MPC ve homomorfik şifreleme bulunur.
- Şifreleme — verileri şifrelemek, onları beklemede veya aktarımda korur. TEE, verileri hesaplama sırasında (kullanımda) korur. Bunlar birbirinin yerine geçmez; birbirini tamamlar.
- Sanal makineler / konteynerler — VM'ler ve konteynerler iş yükleri arasında yazılım düzeyinde yalıtım sağlar ancak altyapı operatörüne karşı korumaz. TEE, operatöre karşı koruyan donanım düzeyinde yalıtım sağlar.
- Secure enclave (ürün adı olarak) — Apple'ın "Secure Enclave"i, Apple cihazlarındaki belirli bir uygulamadır. Genel TEE enclave kavramı daha geniştir ve üreticiler genelinde geçerlidir.
Sık sorulan sorular
TEE, şifrelemeden nasıl farklıdır?
Şifreleme, verileri saklanırken (beklemede) veya iletilirken (aktarımda) korur. TEE, verileri işlenirken (kullanımda) korur. Standart şifreleme, hesaplamadan önce verilerin çözülmesini gerektirir; bu da onları hesaplamayı çalıştıran kişiye ifşa eder. TEE, verileri bellekte şifreli tutar ve donanımla mühürlenmiş bir enclave içinde işler; böylece veriler enclave dışında hiçbir zaman düz metin olarak açığa çıkmaz — makine operatörüne bile. TEE ve şifreleme tamamlayıcıdır: veriler TEE'ye aktarımda şifrelenir, içinde gizli olarak işlenir ve sonuç kullanıcıya geri aktarımda şifrelenir.
TEE'ler hacklenebilir mi?
TEE uygulamaları güvenlik araştırmalarına konu olmuştur ve — özellikle Intel SGX'in önceki sürümlerine karşı — birkaç yan kanal saldırısı gösterilmiştir. Bu saldırılar tipik olarak enclave'in hesaplaması hakkında bilgi çıkarsamak için zamanlama farklarını, güç tüketimi kalıplarını veya önbellek davranışını istismar eder. Donanım üreticileri, aygıt yazılımı yamaları ve mimari iyileştirmelerle yanıt verir. Mevcut nesil TEE uygulamaları (Intel TDX, AMD SEV-SNP), bilinen saldırı sınıflarına karşı hafifletmeler içerir. TEE güvenliği mutlak değildir ancak yalnızca yazılım tabanlı yalıtıma kıyasla çıtayı önemli ölçüde yükseltir. Pratik risk; ilgili TEE uygulamasına, aygıt yazılımı sürümüne ve tehdit modeline bağlıdır.
Bir kripto AI projesi neden ZK kanıtları yerine TEE'yi seçer?
Birincil neden performanstır. TEE, büyük AI modellerinin (milyarlarca parametreli modeller dahil) donanım yalıtımından kaynaklanan asgari ek yükle, neredeyse yerel hızda çalışmasına olanak tanır. ZK tabanlı doğrulama (zkML) şu anda modelin matematiksel bir devreye dönüştürülmesini ve kriptografik bir kanıt üretilmesini gerektirir; bu, kat kat daha pahalıdır ve küçük modellerle sınırlıdır. TEE, güvenilmeyen donanımda gizli AI için bugün uygulanabilir, pratik bir çözüm sunar. Ödünleşim, ZK kanıtlarının gerektirmediği, donanım üreticisine dair güven varsayımıdır.
TEE attestation'ı nedir?
Attestation, TEE donanımı tarafından üretilen ve şunu tasdik eden kriptografik bir kanıttır: bu belirli kod, bu belirli ölçümle (hash), gerçek donanım üzerindeki gerçek bir TEE enclave'i içinde çalışıyor. Attestation, üretici tarafından donanıma gömülen bir anahtarla imzalanır. Uzak bir taraf, enclave'in özgün olduğunu teyit etmek için attestation'ı üreticinin güven köküne karşı doğrulayabilir. Kripto AI'da attestation raporları akıllı sözleşmeler tarafından zincir üstünde doğrulanabilir; bu, donanım düzeyinde güvenlik ile blok zinciri düzeyinde şeffaflık arasında doğrulanabilir bir bağ kurar.
Dış kaynaklar
- Confidential Computing Consortium — TEE tabanlı gizli hesaplamanın standartlarını tanımlayan ve sektör genelinde benimsenmesini destekleyen Linux Foundation projesi.
- Intel SGX Developer Reference — en yaygın kullanılan TEE uygulamalarından biri olan Intel Software Guard Extensions'ın teknik dokümantasyonu.
- ARM TrustZone Technology — mobil cihazlarda ve uç bilişimde kullanılan ARM'ın TEE uygulamasına genel bakış.
No comments to display
No comments to display