研究机构：巴克豪森研究所（德国德累斯顿）
论文出处：2025 USENIX Annual Technical Conference
2.论文总结
基于可信执行环境（TEE）的机密计算实现了在无需信任系统管理员的情况下，在远程服务器上运行软件的安全保障。远程证明机制提供了可验证的证据，确保TEE中的软件堆栈和硬件组件的完整性。然而，建立与TEE的安全通信通道需要安全保证，确保该通道实际上在TEE内部终结。TLS是用于安全通道建立的现有协议，在Web上最常见的用法是使用密钥对来确认证书中编码的服务器身份。目前已有多种方法尝试将远程证明集成到TLS中，但这些方案均存在不足之处。
本文提出了一种协议，将基于证书的TLS的保障与远程证明保障相结合，实现两者可以独立部署且失效独立的特性，且设计上保障两者的加成性，未依赖于彼此。这一特性是在现有方案中未曾考虑的，为可信计算与通信安全提供了新的解决方案。
3.相关工作
在这一部分，相关研究对比了TLS+RA的特性。
4.部署和威胁模型
本小节介绍了部署假设以及威胁模型。
5.协议设计
尽管作者的TLS+RA协议支持客户端与服务器的双向认证，但在一种机密计算场景中，在客户端与云服务商托管的可信执行环境（TEE）内运行的工作负载交互场景中，客户端需要建立TLS通道，并确保该通道终止于运行预期软件的TEE内部。因此，服务器需向客户端证明其TEE状态的可信性。随后，还介绍了双重关联的安全特性以及握手流程。
6.实现
在这一部分，作者阐述了在OpenSSL基础上构建了TLS+RA原型系统，此外，还介绍了其他技术构架和插件化兼容设计。
7.评价总结
本文提出了 TLS+RA 协议，一种将 TLS 与远程证明相结合的网络协议，该协议在握手阶段通过标准TLS消息扩展，将TLS用于建立具有加密和完整性保护的通信通道，而远程信任证明则对目标终端的硬件和软件状态进行密码学验证。TLS+RA的创新之处在于其具有部署独立性和失效独立性这两项特性，握手过程中，TLS 证书和证明报告均与握手阶段建立的密钥进行双重关联。因此，即使 TLS 证书私钥泄露，TLS+RA 仍能保证加密通道在经过证明的机器上终止。通过为 TLS增加此安全特性保障，希望使远程证明更易获取和得到更广泛的应用。