💻 computer science

Secure Scattered Memory: Rethinking Secure Enclave Memory with Secret Sharing

本文提出了一种名为“安全分散内存（SSM）”的新型方案，通过利用多项式秘密共享替代传统的计数器加密机制，在 28nm 工艺下实现了仅占 0.27 平方毫米且功耗为 284.53 毫瓦的硬件设计，在确保数据机密性、完整性和新鲜性的同时，以极低的性能开销（相比 AES-XTS 和 AES-GCM 分别仅增加 10% 和 8%）显著优于现有的 Morphable Counter、EMCC/RMCC 及 COSMOS 等安全内存方案。

原作者： Haoran Geng, Yuezhi Che, Dazhao Chen, Michael Niemier, Xiaobo Sharon Hu

发布于 2026-02-13

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Haoran Geng, Yuezhi Che, Dazhao Chen, Michael Niemier, Xiaobo Sharon Hu

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文提出了一种名为**“安全分散内存”（Secure Scattered Memory, 简称 SSM）**的新方案，旨在解决云计算时代保护数据隐私和完整性的难题。

为了让你轻松理解，我们可以把内存想象成一个巨大的、没有锁的仓库，而数据就是仓库里存放的珍贵货物。

1. 现在的困境：要么太慢，要么不安全

在传统的云安全方案中，为了保护货物，主要有两种做法，但都有明显的缺点：

方案 A：给每个箱子加把锁（加密），但不管箱子有没有被调包。
- 比喻：就像现在的 AES-XTS 方案。它给每个数据块（箱子）都上了锁，别人打不开。但是，如果黑客把箱子整个偷走，换成一个一模一样的旧箱子（重放攻击），或者把箱子内容偷偷换掉（完整性破坏），系统根本发现不了。
- 缺点：速度快，但不安全。
方案 B：给每个箱子加锁，还要配一个复杂的“账本”和“验货员”。
- 比喻：就像 SGXv1 方案。它不仅给箱子加锁，还给每个箱子配了一个唯一的“版本号”（就像快递单号）。每次存取，都要去查一个巨大的“树状账本”（Merkle Tree），确认这个箱子是不是最新的、有没有被篡改。
- 缺点：非常安全，但是太慢了。因为每次存取都要去翻账本、核对版本号，就像去银行取钱，每次都要填一堆表格、排队核对，效率极低，而且还要占用大量仓库空间来存这些账本。
方案 C：折中方案（如 AES-GCM）。
- 比喻：试图在速度和安全性之间找平衡，但为了速度，它还是不得不放弃对“版本号”的严格检查，所以依然防不住“旧箱子”被重新塞回来的攻击。

2. SSM 的绝招：把货物“切碎”并“打散”

SSM 提出了一种完全不同的思路：既然给箱子加锁和查账本太麻烦，那我们就把货物本身“切碎”，然后“打散”存放。

核心比喻：秘密共享（Secret Sharing）

想象你有一张珍贵的藏宝图（原始数据）。

传统做法：把藏宝图锁在保险柜里，钥匙只有你有。
SSM 做法：
1. 切碎：把藏宝图切成很多块碎片（比如 10 块）。
2. 打散：这 10 块碎片被随机扔到了仓库的 10 个不同的角落。
3. 规则：
  - 如果你只捡到 1 块、2 块甚至 9 块碎片，你完全看不懂藏宝图是什么，它们看起来就像一堆乱码（保密性）。
  - 但是，只要你集齐了其中任意 5 块（比如 1, 3, 5, 7, 9），就能通过数学公式把它们拼回完整的藏宝图（可重构性）。
  - 如果有人偷偷换掉了其中一块碎片，当你尝试拼凑时，拼出来的图就是歪的、错的，系统立刻就知道有人动过手脚（完整性）。

3. 如何防止“旧箱子”被偷换？（防重放攻击）

黑客可能会想：“我把你刚才扔在角落 A 的那块碎片偷走，等你下次来取的时候，我再把它塞回角落 A，假装它是新的。”

传统做法：给每个碎片贴个“日期标签”（版本号），每次存取都要更新标签。这需要频繁地读写标签，很慢。
SSM 的做法：“搬家”。
- 每次你往仓库里存数据（写入操作）时，SSM 不仅会生成新的碎片，还会把碎片随机扔到仓库里全新的位置。
- 同时，系统内部会更新一张只有它自己知道的“藏宝图索引”（页表），记录新的碎片在哪里。
- 结果：黑客手里拿着旧的碎片，想塞回旧位置？没用！因为系统现在只去新位置找碎片。旧位置的碎片对系统来说已经是“死胡同”了。黑客既不知道新位置在哪，也没法伪造新的碎片。

4. 为什么 SSM 更快、更好？

省去了“账本”：SSM 不需要维护那个巨大的“树状账本”（Merkle Tree），也不需要频繁更新“版本号”。它把“加密”和“验证”的功能融合在了“碎片”本身。
智能缓存：SSM 设计了一个“碎片缓存”。因为连续的地址（比如你正在读一本书的前后几页）会被映射到仓库里相邻的“碎片堆”里。当你读下一页时，系统很容易就能从缓存里找到需要的碎片，不用每次都跑到大仓库深处去翻。
性能提升：
- 相比最安全的旧方案（SGXv1），SSM 速度快了 40% 以上。
- 相比目前主流的折中方案（AES-XTS/GCM），它只慢了 8%-10%，但却提供了同等级别甚至更强的安全保护（能防重放攻击，这是前两者做不到的）。

5. 总结

SSM 就像是一个聪明的仓库管理员：

他不再给每个箱子单独配钥匙和查复杂的账本，而是把货物切成碎片，随机撒在仓库各处。

别人偷不走：因为只偷到碎片没用。
别人换不掉：因为每次存取都会把碎片换个新地方，旧位置的东西自动失效。
自己用得快：因为碎片就散落在附近，而且系统很聪明地知道怎么快速拼凑。

这项研究证明了，通过数学上的“秘密共享”原理，我们可以构建一个既安全（防篡改、防重放）又高效（速度快、硬件成本低）的内存保护系统，为未来的云计算安全提供了新的思路。

这是一份关于论文《Secure Scattered Memory: Rethinking Secure Enclave Memory with Secret Sharing》（安全分散内存：利用秘密共享重新思考安全飞地内存）的详细技术总结。

1. 研究背景与问题 (Problem)

随着云计算的普及，数据在远程服务器上存储和处理时面临严重的安全威胁，特别是数据机密性、完整性和新鲜性（防重放攻击）。现有的安全内存方案主要存在以下权衡和瓶颈：

现有方案的局限性：
- AES-XTS 和 AES-GCM： 虽然性能较好，但为了简化实现和降低开销，牺牲了部分安全性。AES-XTS 缺乏完整性保护和防重放机制；AES-GCM 虽然提供认证加密，但通常省略版本号（VN）更新或单调计数器，仍易受重放攻击。
- SGXv1 类方案（如 Intel SGX v1）： 提供了最全面的安全保障（机密性、完整性、防重放），采用 AES-CTR 加密配合消息认证码（MAC）和默克尔树（Merkle Tree, MT）。然而，其性能开销巨大。主要瓶颈在于：
  1. 版本号（VN）更新： 每次读写都需要访问和更新 VN，导致内存带宽消耗增加。
  2. 完整性检查与默克尔树遍历： 每次读取需重新计算 MAC，且 VN 的更新需要遍历默克尔树，产生大量的额外内存访问（对于大内存容量，如 32GB，MT 遍历可能带来约 30% 的性能下降）。
现有优化方案的不足： 虽然已有研究（如 Morphable Counters, EMCC, RMCC, COSMOS 等）试图通过缓存 VN 或优化树结构来缓解性能问题，但它们仍依赖于传统的加密 + 元数据管理架构，引入了额外的硬件复杂性，且未能完全消除元数据访问开销。

2. 核心方法论 (Methodology)

论文提出了一种名为 Secure Scattered Memory (SSM) 的新型内存保护方案。SSM 从根本上改变了设计思路，摒弃了传统的“加密 + 独立元数据”模式，转而采用基于秘密共享（Secret Sharing）的数学方法。

核心思想：
- 数据分散（Scattering）： 不再直接加密数据块，而是利用 Shamir 秘密共享（SSS）原理，将原始数据块分解为多个数学上独立的“份额”（Shares）。
- 无意义份额： 单个份额不包含任何关于原始数据的信息。只有收集到足够数量（ $t$ 个）的份额，才能通过多项式插值重构原始数据。
- 分布式存储： 这些份额被分散存储在不同的物理内存位置。
关键组件与流程：
1. 数据分割（Data Segmentation）：
  - 将 64 字节的数据块分割为多个片段，并填充零位。
  - 构建一个 $N$ 次多项式 $f(x)$ ，其中数据片段作为低次项系数，随机生成的种子系数作为高次项系数（用于完整性验证）。
  - 在随机点 $x_i$ 上评估多项式，生成 $K$ 个份额 $(x_i, f(x_i))$ 。
2. 数据重构（Data Reconstruction）：
  - 读取时，从内存中获取 $K$ 个份额（其中 $t$ 个用于重构， $d$ 个作为混淆）。
  - 使用拉格朗日插值法（Lagrange Interpolation）在伽罗瓦域（Galois Field）中恢复多项式系数，从而还原原始数据。
  - 通过验证高次项系数是否与芯片内存储的种子匹配，来隐式地验证数据完整性。
3. 防重放攻击（Replay Attack Prevention）：
  - 动态份额重定位： 每次写入操作时，SSM 不仅生成新的份额，还将这些份额映射到新的物理内存地址，并更新片上 SSM 页表。
  - 攻击者即使截获了旧的份额，由于物理地址已变更且页表已更新，旧份额无法被系统接受。这消除了对显式版本号（VN）和默克尔树的需求。
4. 地址映射优化：
  - 采用两级映射方案，将连续的逻辑地址映射到相同的 $K$ 个物理内存块，但通过旋转索引选择不同的份额。这种策略利用了空间局部性，提高了份额缓存（Shares Cache）的命中率。

3. 主要贡献 (Key Contributions)

架构创新： 提出了 SSM 方案，首次将秘密共享技术应用于安全内存保护，用数学重构特性同时实现了机密性、完整性和防重放，彻底消除了对传统默克尔树和独立版本号的依赖。
性能与安全的平衡： 证明了在无需牺牲安全性的前提下，可以显著降低内存访问开销。SSM 通过消除 MT 遍历和减少元数据访问，解决了 SGXv1 类方案的性能瓶颈。
硬件实现与评估：
- 使用 Cadence Genus 在 28nm 商用工艺下完成了 SSM 硬件的 RTL 实现和综合。
- 构建了基于 Gem5 的完整系统级仿真环境，涵盖了机器学习（ML）和图计算（Graph）等多种负载。
全面的安全分析： 从信息论角度证明了 SSM 的机密性（少于 $t$ 个份额无法获取信息），并分析了其抗重放和抗访问模式泄露的能力。

4. 实验结果 (Results)

实验在 28nm 工艺下进行了详细的性能、面积和功耗评估：

硬件开销：
- 面积： 0.27 mm²
- 功耗： 284.53 mW
- 主要组件包括 SSM TLB、份额缓存（128KB）和数据处理单元（多项式生成、评估、重构等）。
性能表现（相对于基准）：
- 对比 AES-XTS/AES-GCM： SSM 仅引入了 10% (vs AES-XTS) 和 8% (vs AES-GCM) 的性能开销，同时提供了它们所缺乏的完整防重放保护。
- 对比 SGXv1 类优化方案：
  - 比 Morphable Counter (MICRO 2018) 快 40%。
  - 比 EMCC/RMCC (MICRO 2022) 快 12%。
  - 比 COSMOS (MICRO 2025) 快 3%。
- 缓存命中率： 在图计算（不规则访问模式）负载下，SSM 的份额缓存命中率比 SGXv1 的 VN 缓存高出显著，平均降低了 30% 的缓存未命中率。
安全性验证： RTL 仿真显示，在 $N=9$ 的配置下，数据重构准确率为 100%，且能抵抗重放攻击。

5. 意义与影响 (Significance)

范式转变： SSM 挑战了“安全元数据必须独立于数据存在”的传统假设。通过将安全属性内嵌到数据本身的数学结构中，消除了管理额外元数据（如 VN、MAC、MT 节点）的巨大开销。
可扩展性： 由于不再依赖默克尔树，SSM 能够轻松扩展到超大内存容量（如 32GB 甚至更大），而不会像 SGXv1 那样因树遍历深度增加而导致性能急剧下降。
通用性： 与依赖特定硬件加速器（如 MGX）或软件修改（如 SoftVN）的方案不同，SSM 是一个通用的内存保护方案，适用于各种应用场景，且无需修改操作系统或应用程序。
未来方向： 该工作为构建零开销或低开销的高安全性内存系统提供了新的理论基础和硬件实现路径，未来可进一步探索形式化证明及更极致的优化。

总结： 这篇论文通过引入秘密共享技术，成功设计并实现了一种名为 SSM 的新型安全内存架构。它在保持 SGXv1 级别全面安全（防重放、完整性、机密性）的同时，显著降低了性能开销和硬件复杂度，为云环境下的安全内存设计提供了极具竞争力的解决方案。