A Challenge-Nonce Freshness Gap in Project Veraison's TPM Reference Schemes, Found by Appraising Application-Layer Action Evidence End-to-End

Resumen Técnico: Una brecha de frescura entre el desafío y el nonce en los esquemas de referencia TPM de Project Veraison

Declaración del Problema
El artículo aborda la "brecha de rendición de cuentas" en las acciones de agentes automatizados. Cuando un agente de IA realiza una acción trascendental, el registro de esa acción (un Paquete de Evidencia de Acción, o AEP, por sus siglas en inglés) es generado por la misma pila de software cuya integridad está bajo revisión. Si bien una firma digital demuestra qué clave escribió el registro, no demuestra el estado de la máquina en el momento de la escritura. Un atacante que controle el tiempo de ejecución podría producir un registro bien formado y firmado que sea fácticamente falso (por ejemplo, intercambiando un filtro de seguridad por un modelo más económico).

Trabajos previos propusieron tratar el AEP como evidencia de capa de aplicación dentro de la arquitectura de procedimientos de atestación remota de IETF (RATS, RFC 9334). Esto implica un "vinculación de salida" (output-binding): medir el digest del resultado del AEP en un Registro de Configuración de Plataforma (PCR) para que una cita de TPM con raíz de hardware firme sobre el resultado, y no solo sobre la identidad del modelo. Sin embargo, las demostraciones previas de esta vinculación dependieron de un "sustituto de Verificador" (Verifier stand-in) mínimo en lugar de un Verificador RATS conforme, dejando una brecha en la validación del proceso de extremo a extremo y de las propiedades de seguridad específicas de la implementación de referencia.

Metodología
El autor implementó un flujo completo de extremo a extremo para cerrar esta brecha, reemplazando al sustituto por Project Veraison, un Verificador RATS mantenido por la comunidad y bajo licencia Apache. La configuración experimental consistió en:

1. Configuración del Atestador: Un TPM de software emulado (swtpm) actuando como el Atestador. Se generó una nueva clave de atestación (AK) EC P-256.
2. Vinculación de Salida: Se realizó el hash de un resultado de AEP de demostración y se extendió en el PCR 4. El autor generó una cita de TPM genuina sobre los PCR 1–4, vinculando el digest del resultado del AEP en el composite de PCR firmado y el nonce de la sesión en el ExtraData (datos calificativos) de la cita.
3. Aprovisionamiento: Se creó un Manifiesto de Integridad de Referencia Conciso (CoRIM) y se envió a Veraison. Este CoRIM contenía:
   • Una Ancla de Confianza: La clave pública de la AK del swtpm.
   • Un Valor de Referencia: El digest "dorado" del composite de PCR correcto (1–4).
4. Evaluación: La cita firmada se empaquetó en el formato de cable tpm-enacttrust de Veraison y se envió al Verificador mediante una sesión de desafío-respuesta. El Verificador produjo un Resultado de Atestación EAT (EAR) firmado.
5. Casos de Evaluación: El flujo se probó contra tres escenarios:
   • Caso A (Bueno): Cita válida con el resultado correcto.
   • Caso B (Intercambio de Resultado): El PCR 4 fue re-medido con un resultado diferente, causando que el composite divergiera del valor de referencia dorado.
   • Caso D (Tamper de Firma): Se invirtió un solo byte en la estructura TPMS_ATTEST firmada para romper la verificación de la firma.
6. Investigación de Frescura: El autor analizó específicamente si el Verificador imponía la frescura del nonce de desafío, una propiedad crítica para prevenir ataques de repetición (replay attacks).

Hallazgos Clave y Contribuciones

1. Validación del Mapeo de Veredicto: El estudio confirmó que un Verificador conforme mapea correctamente la evidencia a los niveles de confiabilidad AR4SI.

   • Afirmación: Una evidencia buena (PCR coincidente y firma válida) resultó en un estado de afirmación (affirming).
   • Contraindicado: Un intercambio de resultado (Caso B) resultó en un estado contraindicado con un nivel de confiabilidad específico (33) que indica una discrepancia con el valor de referencia.
   • Contraindicado: Un tamper de firma (Caso D) resultó en un estado contraindicado (nivel 99) con un diagnóstico estructurado y legible por máquina del fallo de la firma.
   • Esto validó el mapeo de veredicto provisional propuesto en Internet-Drafts individuales previos contra un EAR real.

2. Descubrimiento de una Brecha de Frescura: El principal hallazgo de seguridad es que el esquema de referencia tpm-enacttrust en Project Veraison no impone la frescura del nonce de desafío.

   • Aunque el marco emite un nonce de sesión y lo refleja en el EAR como eat_nonce, la lógica de evaluación dentro del esquema tpm-enacttrust nunca compara este nonce de sesión contra el ExtraData (datos calificativos) vinculado dentro de la cita por el Atestador.
   • Consecuentemente, una cita rejugada o antigua (que tiene una firma válida y un digest de PCR coincidente, pero un nonce antiguo) es evaluada incorrectamente como afirmación.
   • Una auditoría de la fuente reveló que esto es un patrón que afecta tanto a los esquemas basados en TPM en Veraison (tpm-enacttrust y parsec-tpm), mientras que los esquemas basados en plataforma (psa-iot, arm-cca, sevsnp) sí imponen la frescura correctamente.

3. Corrección de Dos Partes Validada: El autor propuso y validó una corrección mínima e idiomática para cerrar la brecha:

   • Parche del Esquema: Una modificación de una sola línea al código Go en ExtractClaims para exponer el ExtraData (nonce) vinculado por el atestador como un reclamo (claim).
   • Política Rego: Una nueva política de evaluación que compara el nonce vinculado por el atestador contra el nonce esperado de la sesión. Si no coinciden (indicando una repetición), la política sobrescribe el estatus del submódulo a contraindicado.
   • Validación: Con el parche activo, la misma cita rejugada, idéntica en bytes a la anterior, que antes devolvía afirmación, ahora devuelve correctamente contraindicado.

Significancia y Reivindicaciones
El artículo afirma ser el primero en llevar una construcción de evidencia de acción de capa de aplicación (AEP) a través de un Verificador RATS conforme hasta un Resultado de Atestación firmado y conforme a los estándares. Su significancia radica en:

• Cerrar la Brecha de Verificación: Pasar de un evaluador "sustituto" a un Verificador real y conforme a los estándares (Project Veraison), validando así el patrón de composición en un entorno realista.
• Identificar una Vulnerabilidad Silenciosa: Exponer que un esquema de referencia de código abierto desplegado omite silenciosamente una verificación de frescura crítica, mientras que un nonce reflejado enmascara dicha omisión. Este hallazgo se enmarca como una "falta de verificación" en lugar de un zero-day, y el autor ha realizado la divulgación responsable a los mantenedores de Veraison.
• Proveer un Artefacto Reproducible: Todo el flujo, incluyendo los scripts de control, el aprovisionamiento CoRIM, los tokens de evidencia y la corrección validada, se publica como un artefacto reproducible.

Limitaciones
El autor establece explícitamente dos marcadores de alcance:

1. Raíz Emulada: El Atestador es un TPM de software emulado (swtpm), no una garantía de hardware. El hallazgo de seguridad respecto a la lógica del esquema es independiente del tipo de raíz, pero la afirmación de confianza con raíz de hardware aún no se ha demostrado.
2. Envío Individual: El patrón de composición depende de un IETF Internet-Draft que es un envío individual, no adoptado aún por el grupo de trabajo (WG).

El artículo concluye que, aunque la raíz de hardware sigue siendo emulada, la evidencia que un agente automatizado deja tras de sí puede ahora ser transportada, intacta y falsificable, hasta un Resultado de Atestación conforme a los estándares, siempre que se aborde la brecha de frescura.