DDS Security the Hard(ware) Way - SGX :Partie 1 (Présentation)

Figure 3 :Surface d'attaque dans un environnement SGX

J'ai expérimenté avec Intel SGX et DDS+Security. Mon objectif est d'exécuter une application DDS dans une zone protégée d'un Ubuntu 16.04 vanille avec SGX activé. L'idée est que la communication filaire protégée par DDS arriverait au système d'exploitation Ubuntu, puis serait transmise à l'espace protégé par SGX. La protection DDS serait supprimée à l'intérieur de l'espace protégé. Ensuite, les données pourraient être exploitées par l'application à l'intérieur de cette zone protégée, qui est opaque pour le système d'exploitation et pour tout utilisateur/logiciel malveillant présent sur le système. Comme cette opération serait opaque pour le système d'exploitation (une combinaison de protections/chiffrement du processeur), les résultats pourraient être protégés avec Connext DDS Secure à l'intérieur de l'espace SGX et passer le fil. Ainsi, il n'y a aucune exposition de données au système d'exploitation ou à toute partie du système en dehors du processeur et de l'application. Un administrateur système ou un attaquant disposant d'un accès root (ou root+) au système n'a pas accès aux données d'application en tant que latéral, et les attaques privilégiées ne peuvent pas accéder à l'espace SGX.

Il s'agit de la première partie d'une série en plusieurs parties qui approfondit ce sujet. Pour plus d'informations sur ce sujet, veuillez me contacter directement.