什么是英特爾SGX？

英特爾SGX，也就是軟件防衛(wèi)擴(kuò)展，是2015年推出的流行架構(gòu)擴(kuò)展，旨在提高應(yīng)用程序代碼及其數(shù)據(jù)的安全性。英特爾官方網(wǎng)站描述，英特爾SGX通過使用“enclaves”來實(shí)現(xiàn)保護(hù)，“enclaves”是CPU內(nèi)置的隔離存儲(chǔ)區(qū)域。這些區(qū)域可以保護(hù)數(shù)據(jù)免受在任何特權(quán)級(jí)別（包括操作系統(tǒng)）運(yùn)行進(jìn)程的影響。相關(guān)閱讀：檢測(cè)服務(wù)器或者PC是否支持Intel SGX的原理和方式

概述：

英特爾® Software Guard Extensions（英特爾® SGX）SDK提供了三個(gè)功能來檢測(cè)和啟用系統(tǒng)上的英特爾 SGX 支持。CPUID 指令還提供了一個(gè)接口，用于檢測(cè) CPU 上的 Intel SGX 支持。軟件開發(fā)人員的關(guān)鍵問題是：檢測(cè)系統(tǒng)上英特爾 SGX 支持的正確方法是什么，以便我的應(yīng)用程序及其安裝程序做出相應(yīng)的行為？

這似乎是一個(gè)簡(jiǎn)單的問題。如果處理器支持英特爾 SGX，應(yīng)用程序可以安全地啟動(dòng)飛地并使用它們來保護(hù)系統(tǒng)上運(yùn)行的其他軟件的機(jī)密。如果處理器不支持英特爾 SGX，開發(fā)人員可以選擇停止應(yīng)用程序的功能（并向用戶顯示錯(cuò)誤），或者退回到非英特爾 SGX 代碼路徑。

這聽起來很簡(jiǎn)單，但實(shí)際情況要復(fù)雜得多。要了解原因，有必要了解 CPU 中英特爾 SGX 支持背后的詳細(xì)信息、如何管理以及如何將其報(bào)告給應(yīng)用程序。

平臺(tái)上的英特爾® Software Guard Extensions（英特爾® SGX）支持

雖然單個(gè) CPU 可能支持 Intel SGX，但 Intel SGX 是否真的可用取決于兩個(gè)組件：

• BIOS
• 英特爾 SGX 平臺(tái)軟件包

我們將在下面詳細(xì)討論這兩者。

BIOS 支持

英特爾 SGX 需要 BIOS 支持才能在系統(tǒng)中啟用和配置英特爾 SGX 功能。

系統(tǒng)所有者必須通過 BIOS 啟用它來選擇加入英特爾 SGX。這需要 OEM 提供明確支持英特爾 SGX 的 BIOS。BIOS 提供的支持可能因 OEM 不同而異，甚至可能因 OEM 的產(chǎn)品線而異。

共有三種可能的 BIOS 設(shè)置。

• 已啟用的
  英特爾軟件防護(hù)擴(kuò)展（英特爾® SGX）已啟用并可用于應(yīng)用程序。

• 軟件控制的
  英特爾 SGX 可由軟件應(yīng)用程序啟用，但在此發(fā)生之前無法使用（稱為“軟件選擇加入”）。通過軟件選擇啟用英特爾 SGX 可能需要重新啟動(dòng)系統(tǒng)。

• 已禁用
  Intel SGX 已明確禁用，無法通過軟件應(yīng)用程序啟用。此設(shè)置只能在 BIOS 設(shè)置屏幕中更改。

注意：您的 BIOS 可能只有 Enabled 和 Disabled 選項(xiàng)，或者如果它只支持 Software Controlled 選項(xiàng)（或者根本不支持 Intel SGX），則它可能沒有這些選項(xiàng)。請(qǐng)咨詢您的設(shè)備制造商，以確定您的系統(tǒng)是否支持英特爾 SGX。

在 BIOS 中將 Intel SGX 設(shè)置為 Enabled 時(shí)，表示 Intel SGX 已啟用，并且 Intel SGX 指令和資源可供應(yīng)用程序使用。

當(dāng)英特爾 SGX 設(shè)置為軟件控制時(shí)，英特爾 SGX 最初處于禁用狀態(tài)，直到通過在 SDK 中進(jìn)行以下調(diào)用之一的軟件應(yīng)用程序啟用：

• sgx_enable_device()
• sgx_cap_enable_device()

這些功能執(zhí)行軟件選擇加入，并在下面更詳細(xì)地描述。英特爾對(duì) OEM 和 ODM 的建議是提供軟件控制模式并將其設(shè)為默認(rèn)設(shè)置。

當(dāng)英特爾 SGX 設(shè)置為禁用時(shí)，它被明確禁用并且無法通過軟件啟用。要啟用英特爾 SGX，最終用戶必須：

在 BIOS 中將其設(shè)置回啟用狀態(tài)。

或者：

在 BIOS 中將其設(shè)置為軟件控制狀態(tài)（此時(shí)，英特爾 SGX 仍處于禁用狀態(tài)，直到通過軟件應(yīng)用程序啟用為止）。

軟件控制狀態(tài)有什么意義？

英特爾 SGX 最多保留 128 MB 的系統(tǒng) RAM 作為處理器保留內(nèi)存 (PRM)，用于保存 Enclave 頁面緩存 (EPC)。雖然其確切大小由 BIOS 設(shè)置決定，但重要的是要注意啟用英特爾 SGX 會(huì)消耗系統(tǒng)資源的一部分，從而有效地使其他應(yīng)用程序無法使用這些資源。

BIOS 中的軟件控制設(shè)置允許 OEM 以就緒狀態(tài)運(yùn)送支持英特爾 SGX 的系統(tǒng)，可以通過軟件激活（這是軟件選擇加入）。這是默認(rèn)情況下完全啟用英特爾 SGX 與潛在消耗系統(tǒng)資源（即使系統(tǒng)上沒有英特爾 SGX 軟件）和完全關(guān)閉之間的折衷。允許通過軟件進(jìn)行激活消除了最終用戶將系統(tǒng)啟動(dòng)到 BIOS 設(shè)置屏幕并通過該界面手動(dòng)啟用英特爾 SGX 的需要，這對(duì)于非技術(shù)用戶來說可能是一項(xiàng)艱巨的任務(wù)。

軟件啟用是一種單向操作：無法通過軟件禁用英特爾 SGX 。啟用 Intel SGX 后禁用它的唯一方法是通過 BIOS 執(zhí)行此操作：

如果 BIOS 提供此選項(xiàng)，則將 Intel SGX 顯式設(shè)置為 Disabled。

或者：

將新的 BIOS 映像刷新到設(shè)備，這會(huì)將 BIOS 中的英特爾 SGX 支持重置為默認(rèn)狀態(tài)（禁用或軟件控制，具體取決于 BIOS 提供商）。

平臺(tái)軟件包

要使英特爾 SGX 發(fā)揮作用，必須在系統(tǒng)上安裝英特爾 SGX 平臺(tái)軟件包或 PSW。PSW 包括：

• 運(yùn)行時(shí)庫
• 支持和維護(hù)最終用戶系統(tǒng)上可信計(jì)算塊的服務(wù)
• 執(zhí)行和管理關(guān)鍵英特爾 SGX 操作（例如證明）的服務(wù)
• 與平臺(tái)服務(wù)的接口，例如可信時(shí)間和單調(diào)計(jì)數(shù)器

PSW 由軟件供應(yīng)商安裝，作為應(yīng)用程序安裝過程的一部分。由軟件供應(yīng)商的應(yīng)用程序安裝程序來檢測(cè)平臺(tái)是否支持英特爾 SGX，如果支持，則運(yùn)行 PSW 安裝程序。

如果系統(tǒng)上已安裝平臺(tái)軟件，PSW 安裝包將升級(jí)現(xiàn)有安裝（如果現(xiàn)有安裝較舊）或退出而不采取進(jìn)一步措施。

Windows* 平臺(tái)

這兩個(gè)庫安裝在 Windows 平臺(tái)的系統(tǒng)目錄中：

• sgx_uae_service.dll
• sgx_urts.dll

應(yīng)用程序需要按此順序加載 DLL。

Linux* 平臺(tái)

這兩個(gè)庫安裝在 Linux 平臺(tái)上的系統(tǒng)庫目錄中（通常為/usr/lib或/usr/lib64）：

• libsgx_uae_service.so
• libsgx_urts.so

應(yīng)用程序需要按此順序加載共享對(duì)象。

使用動(dòng)態(tài)加載，而不是動(dòng)態(tài)鏈接

在單個(gè)二進(jìn)制文件中同時(shí)具有英特爾 SGX 和非英特爾 SGX 代碼路徑的應(yīng)用程序必須動(dòng)態(tài)加載英特爾 SGX 運(yùn)行時(shí)庫。動(dòng)態(tài)鏈接不是一種選擇，因?yàn)槿狈τ⑻貭?SGX 支持的系統(tǒng)將不會(huì)安裝 PSW 包。嘗試在沒有 PSW 包的系統(tǒng)上運(yùn)行動(dòng)態(tài)鏈接的可執(zhí)行文件將導(dǎo)致無法解決的符號(hào)錯(cuò)誤，從而阻止應(yīng)用程序啟動(dòng)。

請(qǐng)注意，上述對(duì) PSW 包的檢查從必需共​​享庫的動(dòng)態(tài)加載開始。應(yīng)用程序可以簡(jiǎn)單地保持這些句柄打開。

使用 Microsoft Visual Studio* 的 Windows 開發(fā)人員可以通過該/DELAYLOAD選項(xiàng)在鏈接器中啟用延遲加載 DLL 支持。啟用后，Visual Studio 會(huì)自動(dòng)生成一個(gè)輔助函數(shù)，該函數(shù)在運(yùn)行時(shí)根據(jù)需要為目標(biāo) DLL 執(zhí)行動(dòng)態(tài)加載。這允許開發(fā)人員編寫他們的軟件，就像他們?cè)趯?shí)際實(shí)現(xiàn)動(dòng)態(tài)加載的同時(shí)動(dòng)態(tài)鏈接庫一樣。

Linux 開發(fā)人員需要在他們的應(yīng)用程序中明確使用動(dòng)態(tài)加載。

PSW 庫安全

作為一般規(guī)則，應(yīng)用程序應(yīng)從安裝 PSW 的系統(tǒng)目錄加載 PSW 庫。

Windows 系統(tǒng)可以調(diào)用GetSystemDirectory()以獲取系統(tǒng)目錄路徑，并SetDllDirectory()在調(diào)用 .dll 之前將 DLL 搜索路徑設(shè)置為該目錄LoadLibrary()。

正確配置的 Linux 系統(tǒng)應(yīng)該在 中指定系統(tǒng)庫路徑/etc/ld.so.conf，但最終用戶可以通過LD_LIBRARY_PATH環(huán)境變量對(duì)運(yùn)行時(shí)環(huán)境進(jìn)行重大控制。

但是，無論應(yīng)用程序在哪個(gè)平臺(tái)上運(yùn)行，操作系統(tǒng)都在可信計(jì)算庫之外，惡意軟件可以嘗試影響動(dòng)態(tài)庫的首選加載順序。這可能導(dǎo)致英特爾 SGX 拒絕服務(wù)。應(yīng)用程序開發(fā)人員可以采取基本的預(yù)防措施來緩解動(dòng)態(tài)庫預(yù)加載攻擊，但沒有萬無一失的解決方案。

CPUID呢？

CPUID 指令不足以檢測(cè)英特爾 SGX 在平臺(tái)上的可用性。它可以報(bào)告處理器是否支持英特爾 SGX 指令，但英特爾 SGX 的可用性取決于 BIOS 設(shè)置和 PSW。僅根據(jù) CPUID 枚舉做出決策的應(yīng)用程序存在在運(yùn)行時(shí)生成 #GP 或 #UD 錯(cuò)誤的風(fēng)險(xiǎn)。

此外，VMM（例如 Hyper-V*）可以屏蔽 CPUID 結(jié)果，因此即使 CPUID 的結(jié)果報(bào)告未設(shè)置 Intel SGX 功能標(biāo)志，系統(tǒng)也可能支持 Intel SGX。

適用于 Windows 系統(tǒng)的英特爾® Software Guard Extensions 功能檢測(cè)程序

開發(fā)應(yīng)用程序時(shí)，英特爾 SGX 檢測(cè)必須在應(yīng)用程序運(yùn)行時(shí)和應(yīng)用程序安裝程序中進(jìn)行。每個(gè)都有自己的程序。

圖 1：面向安裝人員的英特爾® Software Guard Extensions 功能檢測(cè)流程圖。

Windows 應(yīng)用程序安裝程序

所有英特爾 SGX 應(yīng)用程序都必須安裝 PSW。在不支持 Intel SGX 的系統(tǒng)上安裝 PSW 沒有意義。應(yīng)用程序安裝人員必須在嘗試安裝 PSW 之前檢查本地系統(tǒng)的英特爾 SGX 功能，還必須完成軟件選擇以啟用英特爾 SGX。推薦的程序如圖 1 所示。

1. 打電話sgx_is_capable()。如果系統(tǒng)支持 Intel SGX，請(qǐng)轉(zhuǎn)到第 2 步。如果不是，請(qǐng)不要安裝 PSW 并且不要嘗試選擇加入軟件。下一步要做什么由應(yīng)用程序供應(yīng)商決定，但通常有以下選項(xiàng)：
   • 如果應(yīng)用程序支持英特爾 SGX 和非英特爾 SGX 代碼路徑，請(qǐng)安裝該應(yīng)用程序。
   • 如果應(yīng)用程序作為單獨(dú)的二進(jìn)制文件分發(fā)，請(qǐng)安裝非英特爾 SGX 版本的應(yīng)用程序。
   • 如果需要英特爾 SGX 支持，則完全中止安裝，并告訴用戶該軟件與機(jī)器配置不兼容。
2. 運(yùn)行 PSW 安裝程序。如果安裝成功，請(qǐng)轉(zhuǎn)至步驟 3。否則，中止安裝。
3. 調(diào)用sgx_cap_enable_device()啟用 Intel SGX，然后檢查返回結(jié)果。
   • 如果結(jié)果是啟用了英特爾 SGX，則無需采取進(jìn)一步措施。
   • 如果啟用英特爾 SGX 成功但需要重新啟動(dòng)，則提示用戶需要重新啟動(dòng)才能運(yùn)行新安裝的應(yīng)用程序。
   • 如果啟用 Intel SGX 不成功，則向用戶顯示錯(cuò)誤。

請(qǐng)注意，這兩個(gè)功能sgx_is_capable()，并sgx_cap_enabled_device()都需要管理員權(quán)限。應(yīng)用程序安裝程序通常需要此級(jí)別的權(quán)限，因此英特爾 SGX 應(yīng)用程序安裝程序在 Windows 中觸發(fā) UAC 提示并不罕見。

因?yàn)榘�含這些功能的安裝程序可能會(huì)在安裝 PSW 之前運(yùn)行，所以它們以獨(dú)立的 DLL 形式提供，這些 DLL 旨在與安裝程序捆綁在一起。

視窗應(yīng)用程序

在運(yùn)行時(shí)檢測(cè)應(yīng)用程序中的英特爾 SGX 與在應(yīng)用程序安裝程序中檢測(cè)它不同。安裝應(yīng)用程序后，可能會(huì)出現(xiàn)以下情況之一：

1. 安裝程序未檢測(cè)到系統(tǒng)支持Intel SGX，因此沒有Intel SGX PSW。
2. 該系統(tǒng)被檢測(cè)為英特爾SGX-能夠通過安裝程序，因此它有它安裝英特爾SGX平臺(tái)軟件。英特爾 SGX 的狀態(tài)是：
   • Enabled，通過在 BIOS 中顯式啟用或通過安裝程序的軟件選擇啟用。
   • 在軟件選擇加入之前啟用，這意味著用戶需要在執(zhí)行英特爾 SGX 指令之前重新啟動(dòng)他們的系統(tǒng)。
   • Disabled，意味著用戶在安裝應(yīng)用程序后的某個(gè)時(shí)間點(diǎn)明確禁用了英特爾 SGX。

無論哪種情況適用，應(yīng)遵循的正確應(yīng)用程序如圖 2 所示。

圖 2：面向 Microsoft Windows* 應(yīng)用程序的英特爾® Software Guard Extensions 功能檢測(cè)流程圖。

1. 檢查是否已安裝 PSW。如果是，請(qǐng)轉(zhuǎn)到第 2 步。如果不是，則平臺(tái)上沒有英特爾 SGX，它應(yīng)該采取的操作取決于應(yīng)用程序本身的代碼路徑。
   • 如果應(yīng)用程序支持非英特爾 SGX 代碼分支，則應(yīng)執(zhí)行非英特爾 SGX 代碼。
   • 如果應(yīng)用程序僅適用于英特爾 SGX，則它必須退出。
2. 調(diào)用sgx_enable_device()以確保軟件選擇加入，并檢查返回值。
   • 如果結(jié)果是啟用了英特爾 SGX，應(yīng)用程序可能會(huì)執(zhí)行英特爾 SGX 代碼路徑。
   • 如果無法啟用英特爾 SGX，應(yīng)用程序應(yīng)回退到非英特爾 SGX 代碼路徑（如果有），或退出（如果沒有）。
   • 如果結(jié)果是需要重新啟動(dòng)或其他一些手動(dòng)操作，例如更改 BIOS，應(yīng)用程序應(yīng)通知用戶需要采取什么操作。如果需要，應(yīng)用程序可以繼續(xù)使用非英特爾 SGX 代碼路徑。

適用于 Linux 系統(tǒng)的英特爾® Software Guard Extensions 功能檢測(cè)程序

Linux 系統(tǒng)的程序與 Windows 系統(tǒng)的程序類似，但由于兩個(gè)平臺(tái)之間的差異而變得復(fù)雜。

• Windows 上的 AESM 服務(wù)是 PSW 的一部分，始終為用戶級(jí)進(jìn)程的軟件啟用操作提供支持。在撰寫本文時(shí)，PSW 的 Linux 發(fā)行版不提供此功能。
• SDK 的 Windows 發(fā)行版包括一個(gè)名為 的 DLL sgx_capable.dll，其中包含用于檢測(cè)英特爾 SGX 功能以及在以管理員權(quán)限運(yùn)行時(shí)執(zhí)行軟件啟用的函數(shù)。此庫旨在供應(yīng)用程序安裝程序使用。適用于 Linux 的英特爾 SDK 的 1.9 及更早版本不包含等效庫。但是，它可以在源代碼存儲(chǔ)庫的一個(gè)分支中作為靜態(tài)和動(dòng)態(tài)庫（分別為libsgx_capable.a和libsgx_capable.so）使用。預(yù)計(jì)將在未來版本中合并到主要發(fā)行版中。

Linux 應(yīng)用程序安裝程序

Linux 上的應(yīng)用程序安裝程序的過程與 Windows 上的相同，必須調(diào)用libsgx_capable以執(zhí)行功能檢測(cè)和軟件啟用功能。應(yīng)用程序安裝程序可以選擇靜態(tài)或動(dòng)態(tài)鏈接到此庫。

請(qǐng)注意，sgx_cap_enable_device()需要 root 權(quán)限才能執(zhí)行軟件啟用，因此應(yīng)用程序安裝程序需要以 root 身份運(yùn)行。

Linux 應(yīng)用程序

應(yīng)用程序的過程假定 PSW 的 Linux 發(fā)行版最終將與 Windows 達(dá)到同等水平，特別是包括該sgx_enable_device()功能。如果未找到此函數(shù)，應(yīng)用程序應(yīng)從sgx_cap_get_status()libsgx_capable回退到該函數(shù)。應(yīng)用程序應(yīng)該靜態(tài)鏈接到這個(gè)庫。

請(qǐng)注意，與 Windows 不同，由于 efivarfs 文件系統(tǒng)，用戶模式進(jìn)程可以檢測(cè)英特爾 SGX 的狀態(tài)。

Linux 應(yīng)用程序要遵循的過程如圖 3 所示。

圖 3：面向 Linux* 應(yīng)用程序的英特爾® Software Guard Extensions 功能檢測(cè)流程圖。

1. 檢查是否已安裝 PSW。如果是，請(qǐng)轉(zhuǎn)到第 2 步。如果不是，則平臺(tái)上不可用英特爾 SGX，它應(yīng)采取的操作取決于應(yīng)用程序本身的代碼路徑。
   • 如果應(yīng)用程序支持非英特爾 SGX 代碼分支，則應(yīng)執(zhí)行非英特爾 SGX 代碼。
   • 如果應(yīng)用程序僅適用于英特爾 SGX，則它必須退出。
2. 確定函數(shù)是否在sgx_enable_device()中定義libsgx_uae_service.so。
   • 如果sgx_enable_device()已定義，則調(diào)用該函數(shù)以嘗試啟用軟件并獲取英特爾 SGX 的結(jié)果狀態(tài)。
   • 如果未找到此函數(shù)，則調(diào)用sgx_cap_get_status()以獲取 Intel SGX 的當(dāng)前狀態(tài)。
3. 檢查從步驟 2 中獲得的英特爾 SGX 的狀態(tài)。
   • 如果結(jié)果是啟用了英特爾 SGX，應(yīng)用程序可能會(huì)執(zhí)行英特爾 SGX 代碼路徑。
   • 如果無法啟用英特爾 SGX，應(yīng)用程序應(yīng)回退到非英特爾 SGX 代碼路徑（如果有），或退出（如果沒有）。
   • 如果結(jié)果是需要重新啟動(dòng)或其他一些手動(dòng)操作，例如更改 BIOS，應(yīng)用程序應(yīng)通知用戶需要采取什么操作。如果需要，應(yīng)用程序可以繼續(xù)使用非英特爾 SGX 代碼路徑。

細(xì)微差別

禁用與不支持

無法區(qū)分以下三種情況：

• CPU 不支持 Intel SGX
• BIOS 不支持英特爾 SGX
• BIOS 和 CPU 支持英特爾 SGX，但在 BIOS 中明確禁用

但是，安裝程序的過程不應(yīng)改變。在所有三種情況下，sgx_is_capable()都將返回零，這表明該平臺(tái)不支持英特爾 SGX。

在 Linux 上鏈接 libsgx_capable

面向 Linux 的英特爾 SGX SDK 構(gòu)建了 libsgx_capable 的靜態(tài)和動(dòng)態(tài)版本。應(yīng)用程序安裝程序可以選擇靜態(tài)或動(dòng)態(tài)鏈接，但出于以下原因，應(yīng)用程序本身應(yīng)盡可能靜態(tài)鏈接此庫：

• 使用libsgx_capable在Linux應(yīng)用程序是運(yùn)行時(shí)特征檢測(cè)橋梁的解決方案，旨在使用才在Linux上的PSW支持軟件使能能力，具體而言，該sgx_enable_device()功能。
• 該sgx_capable.dll庫不是 Windows 上英特爾 SGX 運(yùn)行時(shí)的一部分，也不作為 PSW 包的一部分分發(fā)。為了最小化在兩個(gè)平臺(tái)之間的不一致，Linux系統(tǒng)不應(yīng)安裝任libsgx_capable.so或libsgx_capable.a到終端用戶設(shè)備。
• Linux 應(yīng)用程序的運(yùn)行時(shí)功能檢測(cè)程序的結(jié)構(gòu)是自動(dòng)棄用 libsgx_capable 中存在的函數(shù)。動(dòng)態(tài)鏈接會(huì)導(dǎo)致最終用戶系統(tǒng)上出現(xiàn)一個(gè)未使用的庫。

英特爾® Software Guard Extensions SDK 特征檢測(cè)功能

啟用程序使用英特爾 SGX SDK 中的四個(gè)功能：

• sgx_is_capable()
• sgx_cap_enable_device()
• sgx_cap_get_status()
• sgx_enable_device()

這些功能描述如下。如需更多信息，請(qǐng)閱讀英特爾 SGX SDK 中的函數(shù)參考。

sgx_is_capable

sgx_status_t sgx_is_capable(int *sgx_capable)

該函數(shù)決定了系統(tǒng)在當(dāng)前運(yùn)行環(huán)境下是否能夠執(zhí)行 Intel SGX 指令。返回值是類型sgx_status_t，表示查詢成功或失敗。

返回值

如果它返回 SGX_SUCCESS，則系統(tǒng)已成功查詢英特爾 SGX 支持并將結(jié)果存儲(chǔ)在*sgx_capable 中。返回SGX_ERROR_NO_PRIVILEGE意味著安裝程序沒有以管理員權(quán)限運(yùn)行。

任何其他返回值都意味著無法確定系統(tǒng)的英特爾 SGX 功能。在這種情況下，應(yīng)用程序安裝程序應(yīng)該保守并假設(shè)系統(tǒng)不支持英特爾 SGX。

輸出參數(shù)

返回值SGX_SUCCESS并不意味著系統(tǒng)能夠支持英特爾 SGX，只是它能夠明確回答問題。要確定系統(tǒng)是否支持英特爾 SGX，您必須檢查*sgx_capable的值：值 1 表示“是”，值 0 表示“否”。

筆記

此函數(shù)僅報(bào)告是或否，沒有其他信息。它旨在成為應(yīng)用程序安裝程序使用的快速過濾器。如果函數(shù)報(bào)告說，該系統(tǒng)是Intel SGX-能力，安裝程序應(yīng)該安裝PSW包進(jìn)行。PSW 需要與所有支持英特爾 SGX 的應(yīng)用程序安裝程序捆綁在一起。如果系統(tǒng)沒有SGX能力，安裝程序不應(yīng)試圖安裝PSW包。

視窗

在 Windows 系統(tǒng)上，此功能需要管理權(quán)限才能訪問 EFI 變量。

應(yīng)用程序安裝程序需要sgx_capable.dll在其安裝包中包含 DLL 。

Linux

在 Linux 系統(tǒng)上，操作系統(tǒng)必須已安裝并以 UEFI 模式啟動(dòng)，并且必須掛載 efi 文件系統(tǒng)，以便函數(shù)可以訪問 EFI 變量。如果 efi 文件系統(tǒng)不可用或無法訪問，它將無法將處于軟件控制狀態(tài)的系統(tǒng)檢測(cè)為支持英特爾 SGX。

應(yīng)用程序安裝程序需要在libsgx_capable.so其安裝程序包中包含共享庫或?qū)�安裝程序靜態(tài)鏈接到libsgx_capable.a.

sgx_cap_enable_device

sgx_status_t sgx_cap_enable_device (sgx_device_status_t *sgx_device_status)

該函數(shù)嘗試軟件選擇加入英特爾 SGX，并在 *sgx_device_status 中設(shè)置 SGX 的最終狀態(tài)。返回值的類型sgx_status_t，并指示系統(tǒng)是否可以嘗試該軟件申請(qǐng)加入。返回值并不表示英特爾 SGX 設(shè)備本身是否已成功啟用。這些信息被存儲(chǔ)在* sgx_device_status只有當(dāng)軟件選擇在嘗試。

此功能需要管理員權(quán)限，因?yàn)樗�必須訪問通過 BIOS 提供的軟件控制接口。它的目的是通過應(yīng)用程序調(diào)用安裝程序，并執(zhí)行PSW已經(jīng)被安裝，以使英特爾SGX后。

返回值

如果這個(gè)函數(shù)返回SGX_SUCCESS時(shí)，軟件選擇在嘗試，而嘗試的成功或失敗被保存在* sgx_device_status。

如果返回值是SGX_ERROR_NO_PRIVILEGE，安裝程序并沒有以管理員權(quán)限運(yùn)行。

任何其他返回值意味著無法在此系統(tǒng)或當(dāng)前環(huán)境中嘗試選擇加入軟件。在這種情況下，應(yīng)用程序安裝程序應(yīng)該保守，并假設(shè)無法通過該系統(tǒng)上的軟件選擇啟用英特爾 SGX。

輸出參數(shù)

的返回值SGX_SUCCESS并不意味著英特爾SGX已成功啟用，僅僅是軟件選擇，在被嘗試。接下來必須檢查存儲(chǔ)在*sgx_device_status 中的值。

SGX_ENABLED 表示已啟用 Intel SGX。

SGX_DISABLED_REBOOT_REQUIRED意味著軟件選擇成功，但需要重新啟動(dòng)才能完成英特爾 SGX 啟用。嘗試在運(yùn)行時(shí)檢測(cè)英特爾 SGX 可用性的應(yīng)用程序?qū)⒈桓嬷�英特�?SGX 在重新啟動(dòng)之前不可用。

任何其他值表示軟件選擇失敗，用戶必須通過 BIOS 設(shè)置屏幕手動(dòng)啟用英特爾 SGX。

筆記

由于此功能需要管理權(quán)限，因此不應(yīng)由英特爾 SGX 應(yīng)用程序運(yùn)行。但是，它目前是在 Linux 系統(tǒng)上執(zhí)行軟件啟用的唯一方法，因此適合在旨在由 root 執(zhí)行的獨(dú)立二進(jìn)制文件中使用。

視窗

Windows 應(yīng)用程序安裝程序需要sgx_capable.dll在其安裝包中包含 DLL 。

Linux

Linux 應(yīng)用程序安裝程序需要在libsgx_capable.so其安裝程序包中包含共享庫或?qū)�安裝程序靜態(tài)鏈接到libsgx_capable.a.

sgx_cap_get_status

sgx_status_t sgx_cap_get_status (sgx_device_status_t *sgx_device_status)

此函數(shù)檢查當(dāng)前系統(tǒng)上英特爾 SGX 的狀態(tài)，如果不可用，狀態(tài)代碼會(huì)指出原因。sgx_is_capable()當(dāng)需要有關(guān)英特爾 SGX 狀態(tài)的更多信息時(shí)，它是一種替代方法。

在 Windows 上，這僅供應(yīng)用程序安裝程序使用。在 Linux 上，應(yīng)用程序和安裝程序都可以使用它。

視窗

在 Windows 系統(tǒng)上，此功能需要管理權(quán)限才能訪問 EFI 變量。

它旨在供應(yīng)用程序安裝程序使用，因此可以要求用戶通過軟件控制界面確認(rèn)啟用英特爾 SGX。如果函數(shù)報(bào)告*sgx_device_status代碼SGX_DISABLED_SCI_AVAILABLE，安裝程序?qū)⒗^續(xù)執(zhí)行軟件啟用程序。

安裝程序需要DLL sgx_capable.dll在他們的安裝包中包含 。

Linux

在 Linux 系統(tǒng)上，操作系統(tǒng)必須已安裝并以 UEFI 模式啟動(dòng)，并且必須掛載 efi 文件系統(tǒng)，以便函數(shù)可以訪問 EFI 變量。如果 efi 文件系統(tǒng)不可用或無法訪問，那么它將無法將處于軟件控制狀態(tài)的系統(tǒng)檢測(cè)為支持英特爾 SGX。

當(dāng)一個(gè)應(yīng)用程序安裝程序使用，如果函數(shù)報(bào)告說，該系統(tǒng)是Intel SGX-能夠安裝程序應(yīng)繼續(xù)安裝PSW包。PSW 需要與所有支持英特爾 SGX 的應(yīng)用程序安裝程序捆綁在一起。如果系統(tǒng)不支持Intel SGX，則安裝程序不應(yīng)嘗試安裝 PSW 包。

Linux 安裝程序需要在libsgx_capable.so其安裝程序包中包含共享庫或?qū)�安裝程序靜態(tài)鏈接到libsgx_capable.a.

sgx_enable_device

sgx_status_t sgx_enable_device (sgx_device_status_t *sgx_device_status)

此功能類似于sgx_cap_enable_device()，但它旨在由應(yīng)用程序而不是安裝程序運(yùn)行。

它不需要管理權(quán)限；它聯(lián)系在本地機(jī)器上運(yùn)行的 AE 服務(wù)，并要求該服務(wù)嘗試選擇加入軟件。請(qǐng)注意，這會(huì)導(dǎo)致對(duì) PSW 的依賴：它必須安裝在系統(tǒng)上。

sgx_enable_device()一旦應(yīng)用程序驗(yàn)證 PSW 庫存在于系統(tǒng)中，應(yīng)用程序就會(huì)運(yùn)行以確保英特爾 SGX 可供使用。返回值和英特爾 SGX 設(shè)備狀態(tài)幾乎與sgx_cap_enable_device().

因?yàn)楸仨毎惭b PSW 才能運(yùn)行此功能，所以安裝人員不能調(diào)用它。

Linux

PSW 的 Linux 版本未實(shí)現(xiàn)此功能，因此此功能未包含在英特爾 SGX SDK 的 Linux 版本中。

為 Linux 獲取 libsgx_capable

英特爾 SGX SDK 1.9 及更早版本的 Linux 發(fā)行版不包含 libsgx_capable。要獲取此庫，您必須從 Github* 上的存儲(chǔ)庫獲取英特爾 SGX SDK 源代碼并從主分支構(gòu)建 SDK。

SDK 安裝程序會(huì)將庫放置在 SDK 庫目錄中。

代碼示例

提供的代碼示例將這些過程實(shí)現(xiàn)為一對(duì)獨(dú)立的可執(zhí)行文件，用于演示目的：一個(gè)用于應(yīng)用程序安裝程序，另一個(gè)用于運(yùn)行時(shí)的應(yīng)用程序。這些代碼示例在 Windows 和 Linux 中構(gòu)建。

負(fù)責(zé)檢查每個(gè), is_sgx_supported(), 的函數(shù)原型如下：

int is_sgx_supported( UINT *sgx_support );

如果它可以成功確定系統(tǒng)上英特爾 SGX 支持的狀態(tài)，則返回 1，如果由于錯(cuò)誤而無法確定，則返回 0。

英特爾 SGX 支持的狀態(tài)放置在變量sgx_support 中，該變量作為指向函數(shù)的指針傳遞。它是以下位的組合：

#define ST_SGX_UNSUPPORTED 0x0
#define ST_SGX_CAPABLE 0x1
#define ST_SGX_ENABLED 0x2
#define ST_SGX_REBOOT_REQUIRED 0x4 
#define ST_SGX_BIOS_ENABLE_REQUIRED 0x8 

當(dāng)且僅當(dāng)該ST_SGX_ENABLED位被設(shè)置時(shí)，系統(tǒng)才能執(zhí)行英特爾 SGX 指令。其他位僅傳達(dá)有關(guān)英特爾 SGX 支持狀態(tài)的附加信息（如果有），以及啟用它可能需要采取哪些進(jìn)一步措施。

結(jié)論

在運(yùn)行時(shí)回答系統(tǒng)是否已啟用英特爾 SGX 的問題很復(fù)雜。對(duì) BIOS、PSW 和最終用戶自己的操作的依賴性意味著系統(tǒng)可以支持英特爾 SGX，但尚未完全啟用或準(zhǔn)備好使用。應(yīng)用程序需要正確識(shí)別英特爾 SGX 支持的狀態(tài)，以確保它們執(zhí)行正確的代碼路徑，并避免誤報(bào)和漏報(bào)。此處描述的過程是推薦的方法。

附件：sgx-feature-detection.zip

來源：https://software.intel.com/content/www/us/en/develop/articles/properly-detecting-intel-software-guard-extensions-in-your-applications.html

波卡PHA礦機(jī)、PHA挖礦、Phala礦機(jī)、波卡PHA服務(wù)器詳詢天 下 數(shù) 據(jù)客服，電話400-638-8808 官網(wǎng)：m.51huadong.com

本文鏈接：http://m.51huadong.com/cloundnews/11006171.html