TEE技術とそのセキュリティ上の課題
Trusted Execution Environment（TEE）は、CPU内に隔離された安全な実行環境を提供することで、機密データや計算の整合性を保護する技術です。しかし、近年の研究や報告によれば、このTEEのセキュリティに対する懸念が深まっています。特に、Intel SGXやAMD SEVといった主要なTEEプラットフォームにおいて、複数の攻撃手法が確認されています。
TEEは機密保護に貢献する一方で、現代の複雑なCPUアーキテクチャとサイドチャネル攻撃の普及により、そのセキュリティの主張が揺らいでいると言えます。
ハードウェアベンダーはパフォーマンスや機能性で競争していますが、セキュリティ面での主張は市場での評価が難しいのが現状ではないでしょうか。複雑なCPUアーキテクチャとサイドチャネル攻撃の存在が、TEEのセキュリティ保証を危うくしていると感じます。
報告されているTEEへの主要な攻撃手法
Lobstersの記事では、TEEに対するいくつかの懸念される攻撃が挙げられています。これらは主に以下の3つのカテゴリに分類されます。
1. エンクレーブコードのバグ
エンクレーブ内部で実行されるコード自体のバグが、秘密情報の漏洩や計算の改ざんにつながる可能性があります。例えば、Signalの連絡先探索エンクレーブでは、メモリ安全性の問題によりホストからの操作でエンクレーブ自身のメモリ内容が漏洩したケースが報告されています。
- メモリ安全性問題：ホストOSがエンクレーブを混乱させ、機密情報が漏洩するリスクがあります。
- ロジックの脆弱性：エンクレーブ内のアプリケーションロジックにバグがあると、意図しない情報開示や不正操作が発生する可能性があります。
2. TEEリモートアテステーションの偽造バグ
リモートアテステーションは、TEEが正規のハードウェア上で実行されていることを外部に証明する重要なメカニズムです。しかし、このアテステーションプロセスを偽造する攻撃が複数報告されています。これは、Intel SGXだけでなく、AMD SEVなど他のTEEプラットフォームにも影響を与えています。
悪意のあるOSがSGXのアテステーションキーを盗み出す「Foreshadow」（2018年）を皮切りに、物理アクセスを伴う様々な攻撃が報告されています。
具体的な攻撃としては、以下のようなものが挙げられます。
| 年次 | 攻撃名 | 影響を受けるプラットフォーム | 概要 |
|---|---|---|---|
| 2018 | Foreshadow | Intel SGX | 悪意のあるOSがSGXアテステーションキーを窃取 |
| 2020 | SGAxe | Intel SGX | Ring-0アクセスを悪用してSGXアテステーションキーを窃取 |
| 2022 | ÆPIC Leak | Intel SGX | マイクロアーキテクチャのバグによりホスト管理者からSGXアテステーションキーを窃取 |
| 2024 | BadRAM2 | AMD SEV-SNP | 改ざんされたDIMM SPDチップで不正なVMのアテステーションを偽造 |
| 2025 | WireTap.fail | DDR4システム | DDR4システムの物理的な横取り攻撃によりアテステーションキーを抽出 |
| 2025 | TEE.fail | DDR5システム | DDR5システムに対する物理的な横取り攻撃 |
| 2025 | Battering RAM | DDR4システム | DDR4システムに対する物理的な横取り攻撃 |
| 2026 | DDRrop5 | DDR5システム | 書き込みドロップによるIntel TDXリモートアテステーションの偽造 |
これらの攻撃の多くは物理的なアクセスを伴いますが、アテステーションキーが窃取されると、攻撃者のCPUが正規のTEEハードウェアであるかのように振る舞い、偽のアテステーションレポートを生成できます。これにより、リモートアテステーションの信頼性が根本から揺らぎます。アテステーションを検証する側が特定のPCK証明書にピン留めする対策も提案されていますが、これは複雑なPKI管理を伴い、かえって運用リスクを高める可能性もあるでしょう。
3. TEEライブネスのバグ
ライブネス（可用性）の問題は、SGX、TDX、SEV-SNP、NitroといったTEEプラットフォームの脅威モデルの範囲外とされています。ホストがエンクレーブのスケジューリングを拒否するだけでサービス拒否（DoS）が可能だからです。しかし、TEEプラットフォーム自体の問題によるライブネスの障害も報告されています。
- 2018年：Spectre/Meltdown脆弱性に対応したSGX認証情報の失効により、多くのTEEエンクレーブが機能停止に陥りました。
- 2022年：SGX.fail（SGX.fail）では、TCBリカバリ（Trusted Compute Baseの復旧）の展開が遅く、プラットフォームが長期間「時代遅れ」の状態に置かれる可能性が指摘されています。
- 2022年：AMDプラットフォームでは、ASP fTPMに関連するTPMアテステーションの障害が発生し、オンラインゲームのような特定のアプリケーションに影響が出た事例もあります。
エンジニア目線で見ると：TEE導入の再考とリスク評価の重要性
TEEは機密保護のための強力なツールとして期待されていますが、上記のような多岐にわたる攻撃手法を見ると、その導入にはより慎重な検討が必要だと感じます。特に物理攻撃に対する脆弱性は、クラウド環境などでの利用において見過ごされがちではないでしょうか。クラウドベンダーが提供するTEEサービスを利用する際も、基盤となるハードウェアのセキュリティモデルや、物理的なアクセスに対する保護策を詳細に確認することが重要です。個人的には、アテステーションキーの管理は非常に複雑なタスクであり、適切なPKI管理が行われないと、かえってセキュリティホールになりかねないと感じます。例えば、BraveがAIチャットのプライバシー保護のためにTEEを活用している事例（The Register）は興味深いですが、その裏側にあるアテステーションの検証プロセスがどれほど堅牢に構築されているのか、詳細な技術情報が待たれるところです。自分のプロダクトでTEEを検討する際には、物理的な脅威モデルをどこまで含めるかを明確にし、それに対応できる運用体制とセキュリティパッチの適用計画が不可欠だと考えます。
