研究机构：Technical University of Munich
论文出处：NSDI 2026
2.论文总结
尽管无服务器计算在成本和部署简便性方面具有显著优势，但在不受信任的云中的无服务器计算环境中，当敏感数据流经临时功能执行网络时，安全管理敏感数据仍然是一个重大挑战。尽管机密虚拟机（CVMs）提供了一个具有前景的安全执行环境，但它们与无服务器架构的集成目前在安全、性能和资源效率等关键领域面临着根本性的限制。
本文提出了Wallet，一种轻量级的机密计算系统，实现安全的无服务器部署。通过在CVM中使用嵌套机密执行和解耦的guest操作系统，Wallet在最小的“trustlet”中运行每个功能，通过减少可信计算基（TCB）显着提高安全性。此外，通过利用基于轻量级LibOS构建以数据为中心的I/O架构，Wallet优化了网络通信，以解决性能和资源效率方面的挑战。
实验评估表明，与基于CVM的部署相比，Wallet的TCB缩小了4.3倍，改善了端到端延迟提升15%至93%，实现了更高的功能密度高达907倍，同时将功能间通信减少了27倍，功能链延迟减少16.7至30.2倍。因此，Wallet为机密无服务器计算提供了一个实用的系统设计方案。
3.动机
机密计算为在不可信云环境中保障无服务器工作负载的安全性提供了有前景的解决方案。然而，基于容器虚拟机（CVM）的无服务器计算面临六个关键挑战，原因在于CVM的限制与无服务器架构的需求之间存在不匹配，具体分析如下。
4.概述
作为一种解决方案，作者提出了Wallet，一种用于在不可信云环境中实现安全无服务器部署的轻量级机密计算系统。
5.设计
可信监控器是Wallet的核心组件，它通过硬件强化的CVM分区和页表配置，确保每个无服务器函数与客户操作系统之间保持严格的隔离性，其运行于CVM分区域的最高特权层级。
6.安全分析
下图概述了潜在的攻击向量，以及Wallet的相应防御措施。
7.评价总结
本文提出了Wallet，一种轻量级的机密无服务器计算系统。该系统利用CVM内部分区机制，将安全关键功能高效整合至精简化特权可信监控器中，从而实现了较小的可信计算基（TCB）。通过其zygote机制，Wallet实现了快速启动时间，同时优化内存管理，并通过其数据中心导向的I/O架构降低无服务器函数之间的通信成本。
此外，Wallet提供了经过形式化验证的差异认证机制，以确保端到端的信任关系，并缩短认证时间。总体而言，Wallet在保持低性能开销的同时，仅暴露最小的攻击面，适用于对安全性和延迟敏感的无服务器部署环境。