首添机密计算创新成果!龙蜥首获 ACM SIGSOFT 杰出论文奖

简介: 通过Lejacon构建的Java机密应用,最高可得16.2倍提升,极大提升了机密应用的安全性。

近日,软件工程领域的全球旗舰级会议-软件工程大会 ICSE 在澳大利亚墨尔本市召开,龙蜥社区云原生机密计算 SIG 核心成员(阿里云JVM 团队)在 Java 机密计算方面的研究成果入选了 ICSE2023,并且以该会议今年唯一的 All Fives(审稿全满分)成绩荣获 ACM SIGSOFT 杰出论文奖。“安全可信”是龙蜥社区的八大技术方向之一 ,为保障用户 Java 程序的安全性,龙蜥社区云原生机密计算 SIG 重投 Java 机密计算,此次获奖是对龙蜥机密计算创新成果的肯定,也为龙蜥将此技术创新上升为用户方案奠定了基础。


IEEE/ACM ICSE 全称 International Conference on Software Engineering,致力于为软件工程领域的研究者、教育者和从业者们提供最新最重要的研究成果、经验及方向,是软件工程领域排名第一的学术会议。ACM SIGSOFT 杰出论文奖为  ICSE 会议最重要的论文奖项。本年度 ICSE 国际会议接收的 207 篇高水平论文中,获得杰出论文奖的论文共计 10 篇。


龙蜥社区云原生机密计算 SIG 联合上海交通大学计算机系陈雨亭副教授研究团队合作研发了 Java 机密计算的框架 Teaclave Java TEE SDK,发表题目为“Lejacon: A Lightweight and Efficient Approach to Java Confidential Computing on SGX”(Lejacon:一种适用于 SGX 的轻量高效 Java 机密计算方法)的论文,提出了一种涵盖开发模型、编译工具链和运行时机密计算生命周期管理的 Java 机密计算框架,该框架基于开发者的轻量标注实现自动代码分区,利用 Java 静态编译技术部署机密任务于 SGX 安全飞地中,提升机密任务执行效率的同时保持了较小体积的可信计算基,提高了安全性。

 研究背景

计算的安全性是由存储时安全、传输时安全和运行时安全三大支柱构成的,机密计算就是针对运行时安全的技术。伴随越来越多企业部署云服务来加速推进数字化转型,云应用的安全性也变得愈发重要。机密计算作为云安全领域的关键技术,通过构建基于硬件的可信执行环境,保障应用数据在运行时的机密性与完整性。在 Intel 机密计算模型 SGX 中,应用程序根据安全性需求被划分为受信任与不受信任两部分。SGX 通过构建加密保护的飞地(Enclave)执行受信任代码,以保障该部分代码与数据的安全。Intel SGX SDK 也是龙蜥社区云原生机密计算 SIG 的核心项目之一。


现有大量云应用由 Java 语言编写,在 Java 工作流上应用 SGX 技术存在需求。然而,SGX 技术本身并不对 Java 友好:一方面,SGX 的安全飞地仅支持通过 C/C++ API 创建并管理,Java 应用无法直接对其调用进而安全地执行敏感代码。另一方面,Java 程序的执行依赖 Java 虚拟机(JVM)提供的托管运行时环境。这种模式使得运行在飞地中的代码(包含应用本身与 JVM)过于庞大,违背了机密计算对较小 TCB 的要求,降低了安全性。

创新成果

该研究提出了 Java 机密计算框架 Lejacon。该框架创新地采用了适用于 SGX 计算模型的 Java 分离编译技术,并提供了跨执行环境的运行时支持,兼顾非安全性敏感代码的平台无关性同时将 SGX 适配于 Java 工作流。

方法概述

(图 / Lejacon工作流概述)

Lejacon 支持开发者根据需求对机密代码进行类级别的标注。以标注代码为起点,该框架提出并基于安全封闭世界假设,利用指向分析技术对机密代码的可达性范围进行分析;随后,对所有可达代码进行静态编译,实现代码分区,得到可部署并运行于安全飞地中的本地机密计算服务(native confidential computing service)。运行时阶段,Lejacon 采用代理的模式管理不同运行环境的上下文信息,定位每一次机密调用所对应的飞地中的具体函数,利用 Java 本地接口(JNI)实现机密函数调用。


通过 Lejacon 构建的 Java 机密应用,其机密代码执行效率较传统方法,最高可得 16.2 倍提升,并可平均减少超过 90% 的 TCB 大小,极大提升了机密应用的安全性。


目前该项目已经贡献到正在孵化中的Apache Teaclave(https://teaclave.apache.org)项目开源,并且在生产环境中使用,后续也会贡献在龙蜥社区。


龙蜥社区云原生机密计算 SIG 主页:

https://openanolis.cn/sig/coco

—— 完 ——

加入龙蜥社群

加入微信群:添加社区助理-龙蜥社区小龙(微信:openanolis_assis),备注【龙蜥】与你同在;加入钉钉群:扫描下方钉钉群二维码。

关于龙蜥

龙蜥社区是立足云计算打造面向国际的 Linux  服务器操作系统开源根社区及创新平台。龙蜥操作系统(Anolis OS)是龙蜥社区推出的 Linux 发行版,拥有三大核心能力:提效降本、更加稳定、更加安全。

目前,Anolis OS 8.8 已发布,更多龙蜥自研特性,支持 X86_64 、RISC-V、Arm64、LoongArch 架构,完善适配 Intel、兆芯、鲲鹏、龙芯等芯片,并提供全栈国密支持。加入我们,一起打造面向云时代的操作系统!

相关实践学习
CentOS 8迁移Anolis OS 8
Anolis OS 8在做出差异性开发同时,在生态上和依赖管理上保持跟CentOS 8.x兼容,本文为您介绍如何通过AOMS迁移工具实现CentOS 8.x到Anolis OS 8的迁移。
目录
打赏
0
0
0
0
1166
分享
相关文章
实践证明+奖学金+项目履历!魔搭社区联合主办的AI 夏令营来了
2024 AI夏令营,由Datawhale主办,联合科大讯飞、阿里云天池、蚂蚁集团、英特尔、浪潮信息、魔搭社区等国内外顶尖人工智能企业。
理论用于实践!华为配置管理研究获SIGCOMM 2022最佳论文奖(1)
理论用于实践!华为配置管理研究获SIGCOMM 2022最佳论文奖
166 0
5篇论文入选国际顶会SIGMOD,阿里云&达摩院数据库技术研究再获认可
近日,ACM SIGMOD 2022在美国费城召开,阿里云数据库团队5篇论文入选,覆盖云原生、智能化、安全可信等数据库前沿研究方向。其中2篇为阿里云和达摩院的独立研究,体现了阿里云在数据库领域的自研成果达到了世界先进水平,得到了业界的广泛认可。
5篇论文入选国际顶会SIGMOD,阿里云&达摩院数据库技术研究再获认可
华人主导,首届国际分布式AI大会开幕,最佳论文奖已出炉
首届华人学者主导的国际分布式 AI 大会近日在北京召开。本届大会主要关注强化学习,特别是多智能体问题的研究以及在工业领域的应用。本次大会的最佳论文是关于多智能体合作的研究,作者来自天津大学和华盛顿州大学。大会还邀请到了包括在内的姚期智、Victor Lesser、刘铁岩、Noam Brown、田渊栋等专家进行主题演讲。
239 0
华人主导,首届国际分布式AI大会开幕,最佳论文奖已出炉