Container Service for Kubernetes:Use o TEE SDK para desenvolver e compilar aplicações Intel SGX 2.0

Pré-requisitos

Antes de começar, verifique se você tem:

• Um cluster gerenciado ACK para computação confidencial. Consulte Crie um cluster de computação criptografada e pool de nós

• Acesso via SSH ou Cloud Assistant a uma instância compatível com computação confidencial

• Git instalado ou permissão para instalá-lo com sudo yum install git

• Docker instalado. Consulte Instale e use o Docker em uma instância Linux

• kubectl configurado para se conectar ao cluster ACK

Como funciona

Uma aplicação Intel SGX 2.0 tem dois componentes:

• Componente não confiável: memória não criptografada que contém a função de entrada main() e implementações de OCALL (chamada externa). No diagrama, main() e bar() executam no componente não confiável.

• Componente confiável (enclave): memória criptografada criada e protegida pela CPU. Somente a CPU acessa o código e os dados internos. No diagrama, helloworld() e foo() executam dentro do enclave.

Para chamar funções do enclave a partir de código não confiável, a aplicação usa ECALL (chamada de enclave). Para invocar funções não confiáveis de dentro do enclave, usa OCALL. Ambas as chamadas são declaradas em arquivos EDL (Enclave Definition Language).

Código de exemplo e estrutura de diretórios

O código-fonte do helloworld está disponível no GitHub. Ele inclui o source da aplicação, Makefile e Dockerfile.

Estrutura de nível superior:

sgx-device-plugin/samples/hello_world/
├── Dockerfile
├── Makefile
├── README.md
└── src
     ├── App
     │ ├── App.cpp
     │ └── App.h
     ├── Enclave
     │ ├── Enclave.config.xml
     │ ├── Enclave.cpp
     │ ├── Enclave.edl
     │ ├── Enclave.h
     │ ├── Enclave.lds
     │ └── Enclave_private.pem
     └── Makefile

O diretório src contém dois subdiretórios:

enclave {
 trusted {
 public void ecall_hello_from_enclave([out, size=len] char* buf, size_t len);
 };
};

<EnclaveConfiguration>
    <ProdID>0</ProdID>
    <ISVSVN>0</ISVSVN>
    <StackMaxSize>0x40000</StackMaxSize>
    <HeapMaxSize>0x100000</HeapMaxSize>
    <TCSNum>10</TCSNum>
    <TCSPolicy>1</TCSPolicy>
    <!-- Change 'DisableDebug' to 1 before release to prevent debugger access -->
    <DisableDebug>0</DisableDebug>
    <MiscSelect>0</MiscSelect>
    <MiscMask>0xFFFFFFFF</MiscMask>
</EnclaveConfiguration>

openssl genrsa -out Enclave/Enclave_private.pem -3 3072

Etapa 1: Compilar a aplicação hello_world

1. Instale o Git:

   sudo yum install git

2. Clone o repositório e compile:

   git clone https://github.com/AliyunContainerService/sgx-device-plugin
   cd sgx-device-plugin/samples/hello_world
   SGX_SDK=/opt/alibaba/teesdk/intel/sgxsdk make build

   O build executa seis etapas:

   1. sgx_edger8r e a função ECALL sgx_ecall geram código stub não confiável (Enclave_u.c, Enclave_u.h) no diretório App.

   2. Compilação dos arquivos binários não confiáveis em App.

   3. sgx_edger8r gera código confiável (Enclave_t.c, Enclave_t.h) no diretório Enclave.

   4. Compilação de enclave.so como biblioteca de vínculo dinâmico confiável.

   5. sgx_sign assina enclave.so e produz enclave.signed.so.

   6. Vinculação do binário final hello_world.

   Um build bem-sucedido termina com uma saída semelhante a:

   GEN  =>  App/Enclave_u.h
   CC   <=  App/Enclave_u.c
   CXX  <=  App/App.cpp
   LINK =>  app
   GEN  =>  Enclave/Enclave_t.h
   CC   <=  Enclave/Enclave_t.c
   CXX  <=  Enclave/Enclave.cpp
   LINK =>  enclave.so
   ...
   tcs_num 10, tcs_max_num 10, tcs_min_pool 1
   The required memory is 3960832B.
   The required memory is 0x3c7000, 3868 KB.
   Succeed.
   SIGN =>  enclave.signed.so
   The project has been built in debug hardware mode

   Verifique se a última linha exibe The project has been built in debug hardware mode. Isso confirma que o build utilizou hardware SGX real (não modo de simulação) e que a assinatura foi concluída com êxito. A árvore de saída compilada:

   sgx-device-plugin/samples/hello_world/src/
   ├── hello_world          #[generated]
   ├── App
   │ ├── App.cpp
   │ ├── App.h
   │ ├── App.o              #[generated]
   │ ├── Enclave_u.c        #[generated]
   │ ├── Enclave_u.h        #[generated]
   │ └── Enclave_u.o        #[generated]
   ├── Enclave
   │ ├── Enclave.config.xml
   │ ├── Enclave.cpp
   │ ├── Enclave.edl
   │ ├── Enclave.h
   │ ├── Enclave.lds
   │ ├── Enclave.o          #[generated]
   │ ├── Enclave_private.pem
   │ ├── Enclave_t.c        #[generated]
   │ ├── Enclave_t.h        #[generated]
   │ └── Enclave_t.o        #[generated]
   ├── enclave.signed.so    #[generated]
   ├── enclave.so           #[generated]
   └── Makefile

3. Execute a aplicação em uma instância compatível com SGX para verificar seu funcionamento:

   cd src/
   ./hello_world

   Saída esperada:

   Wed May  6 06:53:33 2020
   Hello world From SGX Enclave!
   Wed May  6 06:53:34 2020
   Hello world From SGX Enclave!
   ...

Etapa 2: Compilar e implantar a aplicação helloworld

Use uma imagem base Alibaba Cloud Linux e instale o SGX SDK mais recente. Atualize o SDK periodicamente para obter correções de segurança.

FROM registry.cn-hangzhou.aliyuncs.com/alinux/alinux3

ARG REGION_ID=cn-hangzhou

RUN yum install -y curl && \
repo_url=https://enclave-${REGION_ID}.oss-${REGION_ID}.aliyuncs.com/repo/alinux/enclave-expr.repo && \
yum install -y yum-utils && \
yum-config-manager --add-repo ${repo_url} && \
yum install -y libsgx-urts libsgx-uae-service # Add more SGX runtime dependencies on demand.

WORKDIR /src
COPY src/hello_world src/enclave.signed.so /src
ENTRYPOINT ["/src/hello_world"]

Próximos passos

• Computação confidencial baseada em TEE

• Crie um cluster de computação criptografada e pool de nós

• Guia do desenvolvedor Intel Software Guard Extensions