什么是英特爾SGX？

英特爾SGX，也就是軟件防衛(wèi)擴展，是2015年推出的流行架構擴展，旨在提高應用程序代碼及其數(shù)據(jù)的安全性。英特爾官方網(wǎng)站描述，英特爾SGX通過使用“enclaves”來實現(xiàn)保護，“enclaves”是CPU內(nèi)置的隔離存儲區(qū)域。這些區(qū)域可以保護數(shù)據(jù)免受在任何特權級別（包括操作系統(tǒng)）運行進程的影響。相關閱讀：檢測服務器或者PC是否支持Intel SGX的原理和方式

概述：

英特爾® Software Guard Extensions（英特爾® SGX）SDK提供了三個功能來檢測和啟用系統(tǒng)上的英特爾 SGX 支持。CPUID 指令還提供了一個接口，用于檢測 CPU 上的 Intel SGX 支持。軟件開發(fā)人員的關鍵問題是：檢測系統(tǒng)上英特爾 SGX 支持的正確方法是什么，以便我的應用程序及其安裝程序做出相應的行為？

這似乎是一個簡單的問題。如果處理器支持英特爾 SGX，應用程序可以安全地啟動飛地并使用它們來保護系統(tǒng)上運行的其他軟件的機密。如果處理器不支持英特爾 SGX，開發(fā)人員可以選擇停止應用程序的功能（并向用戶顯示錯誤），或者退回到非英特爾 SGX 代碼路徑。

這聽起來很簡單，但實際情況要復雜得多。要了解原因，有必要了解 CPU 中英特爾 SGX 支持背后的詳細信息、如何管理以及如何將其報告給應用程序。

平臺上的英特爾® Software Guard Extensions（英特爾® SGX）支持

雖然單個 CPU 可能支持 Intel SGX，但 Intel SGX 是否真的可用取決于兩個組件：

• BIOS
• 英特爾 SGX 平臺軟件包

我們將在下面詳細討論這兩者。

BIOS 支持

英特爾 SGX 需要 BIOS 支持才能在系統(tǒng)中啟用和配置英特爾 SGX 功能。

系統(tǒng)所有者必須通過 BIOS 啟用它來選擇加入英特爾 SGX。這需要 OEM 提供明確支持英特爾 SGX 的 BIOS。BIOS 提供的支持可能因 OEM 不同而異，甚至可能因 OEM 的產(chǎn)品線而異。

共有三種可能的 BIOS 設置。

• 已啟用的
  英特爾軟件防護擴展（英特爾® SGX）已啟用并可用于應用程序。

• 軟件控制的
  英特爾 SGX 可由軟件應用程序啟用，但在此發(fā)生之前無法使用（稱為“軟件選擇加入”）。通過軟件選擇啟用英特爾 SGX 可能需要重新啟動系統(tǒng)。

• 已禁用
  Intel SGX 已明確禁用，無法通過軟件應用程序啟用。此設置只能在 BIOS 設置屏幕中更改。

注意：您的 BIOS 可能只有 Enabled 和 Disabled 選項，或者如果它只支持 Software Controlled 選項（或者根本不支持 Intel SGX），則它可能沒有這些選項。請咨詢您的設備制造商，以確定您的系統(tǒng)是否支持英特爾 SGX。

在 BIOS 中將 Intel SGX 設置為 Enabled 時，表示 Intel SGX 已啟用，并且 Intel SGX 指令和資源可供應用程序使用。

當英特爾 SGX 設置為軟件控制時，英特爾 SGX 最初處于禁用狀態(tài)，直到通過在 SDK 中進行以下調(diào)用之一的軟件應用程序啟用：

• sgx_enable_device()
• sgx_cap_enable_device()

這些功能執(zhí)行軟件選擇加入，并在下面更詳細地描述。英特爾對 OEM 和 ODM 的建議是提供軟件控制模式并將其設為默認設置。

當英特爾 SGX 設置為禁用時，它被明確禁用并且無法通過軟件啟用。要啟用英特爾 SGX，最終用戶必須：

在 BIOS 中將其設置回啟用狀態(tài)。

或者：

在 BIOS 中將其設置為軟件控制狀態(tài)（此時，英特爾 SGX 仍處于禁用狀態(tài)，直到通過軟件應用程序啟用為止）。

軟件控制狀態(tài)有什么意義？

英特爾 SGX 最多保留 128 MB 的系統(tǒng) RAM 作為處理器保留內(nèi)存 (PRM)，用于保存 Enclave 頁面緩存 (EPC)。雖然其確切大小由 BIOS 設置決定，但重要的是要注意啟用英特爾 SGX 會消耗系統(tǒng)資源的一部分，從而有效地使其他應用程序無法使用這些資源。

BIOS 中的軟件控制設置允許 OEM 以就緒狀態(tài)運送支持英特爾 SGX 的系統(tǒng)，可以通過軟件激活（這是軟件選擇加入）。這是默認情況下完全啟用英特爾 SGX 與潛在消耗系統(tǒng)資源（即使系統(tǒng)上沒有英特爾 SGX 軟件）和完全關閉之間的折衷。允許通過軟件進行激活消除了最終用戶將系統(tǒng)啟動到 BIOS 設置屏幕并通過該界面手動啟用英特爾 SGX 的需要，這對于非技術用戶來說可能是一項艱巨的任務。

軟件啟用是一種單向操作：無法通過軟件禁用英特爾 SGX 。啟用 Intel SGX 后禁用它的唯一方法是通過 BIOS 執(zhí)行此操作：

如果 BIOS 提供此選項，則將 Intel SGX 顯式設置為 Disabled。

或者：

將新的 BIOS 映像刷新到設備，這會將 BIOS 中的英特爾 SGX 支持重置為默認狀態(tài)（禁用或軟件控制，具體取決于 BIOS 提供商）。

平臺軟件包

要使英特爾 SGX 發(fā)揮作用，必須在系統(tǒng)上安裝英特爾 SGX 平臺軟件包或 PSW。PSW 包括：

• 運行時庫
• 支持和維護最終用戶系統(tǒng)上可信計算塊的服務
• 執(zhí)行和管理關鍵英特爾 SGX 操作（例如證明）的服務
• 與平臺服務的接口，例如可信時間和單調(diào)計數(shù)器

PSW 由軟件供應商安裝，作為應用程序安裝過程的一部分。由軟件供應商的應用程序安裝程序來檢測平臺是否支持英特爾 SGX，如果支持，則運行 PSW 安裝程序。

如果系統(tǒng)上已安裝平臺軟件，PSW 安裝包將升級現(xiàn)有安裝（如果現(xiàn)有安裝較舊）或退出而不采取進一步措施。

Windows* 平臺

這兩個庫安裝在 Windows 平臺的系統(tǒng)目錄中：

• sgx_uae_service.dll
• sgx_urts.dll

應用程序需要按此順序加載 DLL。

Linux* 平臺

這兩個庫安裝在 Linux 平臺上的系統(tǒng)庫目錄中（通常為/usr/lib或/usr/lib64）：

• libsgx_uae_service.so
• libsgx_urts.so

應用程序需要按此順序加載共享對象。

使用動態(tài)加載，而不是動態(tài)鏈接

在單個二進制文件中同時具有英特爾 SGX 和非英特爾 SGX 代碼路徑的應用程序必須動態(tài)加載英特爾 SGX 運行時庫。動態(tài)鏈接不是一種選擇，因為缺乏英特爾 SGX 支持的系統(tǒng)將不會安裝 PSW 包。嘗試在沒有 PSW 包的系統(tǒng)上運行動態(tài)鏈接的可執(zhí)行文件將導致無法解決的符號錯誤，從而阻止應用程序啟動。

請注意，上述對 PSW 包的檢查從必需共​​享庫的動態(tài)加載開始。應用程序可以簡單地保持這些句柄打開。

使用 Microsoft Visual Studio* 的 Windows 開發(fā)人員可以通過該/DELAYLOAD選項在鏈接器中啟用延遲加載 DLL 支持。啟用后，Visual Studio 會自動生成一個輔助函數(shù)，該函數(shù)在運行時根據(jù)需要為目標 DLL 執(zhí)行動態(tài)加載。這允許開發(fā)人員編寫他們的軟件，就像他們在實際實現(xiàn)動態(tài)加載的同時動態(tài)鏈接庫一樣。

Linux 開發(fā)人員需要在他們的應用程序中明確使用動態(tài)加載。

PSW 庫安全

作為一般規(guī)則，應用程序應從安裝 PSW 的系統(tǒng)目錄加載 PSW 庫。

Windows 系統(tǒng)可以調(diào)用GetSystemDirectory()以獲取系統(tǒng)目錄路徑，并SetDllDirectory()在調(diào)用 .dll 之前將 DLL 搜索路徑設置為該目錄LoadLibrary()。

正確配置的 Linux 系統(tǒng)應該在 中指定系統(tǒng)庫路徑/etc/ld.so.conf，但最終用戶可以通過LD_LIBRARY_PATH環(huán)境變量對運行時環(huán)境進行重大控制。

但是，無論應用程序在哪個平臺上運行，操作系統(tǒng)都在可信計算庫之外，惡意軟件可以嘗試影響動態(tài)庫的首選加載順序。這可能導致英特爾 SGX 拒絕服務。應用程序開發(fā)人員可以采取基本的預防措施來緩解動態(tài)庫預加載攻擊，但沒有萬無一失的解決方案。

CPUID呢？

CPUID 指令不足以檢測英特爾 SGX 在平臺上的可用性。它可以報告處理器是否支持英特爾 SGX 指令，但英特爾 SGX 的可用性取決于 BIOS 設置和 PSW。僅根據(jù) CPUID 枚舉做出決策的應用程序存在在運行時生成 #GP 或 #UD 錯誤的風險。

此外，VMM（例如 Hyper-V*）可以屏蔽 CPUID 結(jié)果，因此即使 CPUID 的結(jié)果報告未設置 Intel SGX 功能標志，系統(tǒng)也可能支持 Intel SGX。

適用于 Windows 系統(tǒng)的英特爾® Software Guard Extensions 功能檢測程序

開發(fā)應用程序時，英特爾 SGX 檢測必須在應用程序運行時和應用程序安裝程序中進行。每個都有自己的程序。

圖 1：面向安裝人員的英特爾® Software Guard Extensions 功能檢測流程圖。

Windows 應用程序安裝程序

所有英特爾 SGX 應用程序都必須安裝 PSW。在不支持 Intel SGX 的系統(tǒng)上安裝 PSW 沒有意義。應用程序安裝人員必須在嘗試安裝 PSW 之前檢查本地系統(tǒng)的英特爾 SGX 功能，還必須完成軟件選擇以啟用英特爾 SGX。推薦的程序如圖 1 所示。

1. 打電話sgx_is_capable()。如果系統(tǒng)支持 Intel SGX，請轉(zhuǎn)到第 2 步。如果不是，請不要安裝 PSW 并且不要嘗試選擇加入軟件。下一步要做什么由應用程序供應商決定，但通常有以下選項：
   • 如果應用程序支持英特爾 SGX 和非英特爾 SGX 代碼路徑，請安裝該應用程序。
   • 如果應用程序作為單獨的二進制文件分發(fā)，請安裝非英特爾 SGX 版本的應用程序。
   • 如果需要英特爾 SGX 支持，則完全中止安裝，并告訴用戶該軟件與機器配置不兼容。
2. 運行 PSW 安裝程序。如果安裝成功，請轉(zhuǎn)至步驟 3。否則，中止安裝。
3. 調(diào)用sgx_cap_enable_device()啟用 Intel SGX，然后檢查返回結(jié)果。
   • 如果結(jié)果是啟用了英特爾 SGX，則無需采取進一步措施。
   • 如果啟用英特爾 SGX 成功但需要重新啟動，則提示用戶需要重新啟動才能運行新安裝的應用程序。
   • 如果啟用 Intel SGX 不成功，則向用戶顯示錯誤。

請注意，這兩個功能sgx_is_capable()，并sgx_cap_enabled_device()都需要管理員權限。應用程序安裝程序通常需要此級別的權限，因此英特爾 SGX 應用程序安裝程序在 Windows 中觸發(fā) UAC 提示并不罕見。

因為包含這些功能的安裝程序可能會在安裝 PSW 之前運行，所以它們以獨立的 DLL 形式提供，這些 DLL 旨在與安裝程序捆綁在一起。

視窗應用程序

在運行時檢測應用程序中的英特爾 SGX 與在應用程序安裝程序中檢測它不同。安裝應用程序后，可能會出現(xiàn)以下情況之一：

1. 安裝程序未檢測到系統(tǒng)支持Intel SGX，因此沒有Intel SGX PSW。
2. 該系統(tǒng)被檢測為英特爾SGX-能夠通過安裝程序，因此它有它安裝英特爾SGX平臺軟件。英特爾 SGX 的狀態(tài)是：
   • Enabled，通過在 BIOS 中顯式啟用或通過安裝程序的軟件選擇啟用。
   • 在軟件選擇加入之前啟用，這意味著用戶需要在執(zhí)行英特爾 SGX 指令之前重新啟動他們的系統(tǒng)。
   • Disabled，意味著用戶在安裝應用程序后的某個時間點明確禁用了英特爾 SGX。

無論哪種情況適用，應遵循的正確應用程序如圖 2 所示。

圖 2：面向 Microsoft Windows* 應用程序的英特爾® Software Guard Extensions 功能檢測流程圖。

1. 檢查是否已安裝 PSW。如果是，請轉(zhuǎn)到第 2 步。如果不是，則平臺上沒有英特爾 SGX，它應該采取的操作取決于應用程序本身的代碼路徑。
   • 如果應用程序支持非英特爾 SGX 代碼分支，則應執(zhí)行非英特爾 SGX 代碼。
   • 如果應用程序僅適用于英特爾 SGX，則它必須退出。
2. 調(diào)用sgx_enable_device()以確保軟件選擇加入，并檢查返回值。
   • 如果結(jié)果是啟用了英特爾 SGX，應用程序可能會執(zhí)行英特爾 SGX 代碼路徑。
   • 如果無法啟用英特爾 SGX，應用程序應回退到非英特爾 SGX 代碼路徑（如果有），或退出（如果沒有）。
   • 如果結(jié)果是需要重新啟動或其他一些手動操作，例如更改 BIOS，應用程序應通知用戶需要采取什么操作。如果需要，應用程序可以繼續(xù)使用非英特爾 SGX 代碼路徑。

適用于 Linux 系統(tǒng)的英特爾® Software Guard Extensions 功能檢測程序

Linux 系統(tǒng)的程序與 Windows 系統(tǒng)的程序類似，但由于兩個平臺之間的差異而變得復雜。

• Windows 上的 AESM 服務是 PSW 的一部分，始終為用戶級進程的軟件啟用操作提供支持。在撰寫本文時，PSW 的 Linux 發(fā)行版不提供此功能。
• SDK 的 Windows 發(fā)行版包括一個名為 的 DLL sgx_capable.dll，其中包含用于檢測英特爾 SGX 功能以及在以管理員權限運行時執(zhí)行軟件啟用的函數(shù)。此庫旨在供應用程序安裝程序使用。適用于 Linux 的英特爾 SDK 的 1.9 及更早版本不包含等效庫。但是，它可以在源代碼存儲庫的一個分支中作為靜態(tài)和動態(tài)庫（分別為libsgx_capable.a和libsgx_capable.so）使用。預計將在未來版本中合并到主要發(fā)行版中。

Linux 應用程序安裝程序

Linux 上的應用程序安裝程序的過程與 Windows 上的相同，必須調(diào)用libsgx_capable以執(zhí)行功能檢測和軟件啟用功能。應用程序安裝程序可以選擇靜態(tài)或動態(tài)鏈接到此庫。

請注意，sgx_cap_enable_device()需要 root 權限才能執(zhí)行軟件啟用，因此應用程序安裝程序需要以 root 身份運行。

Linux 應用程序

應用程序的過程假定 PSW 的 Linux 發(fā)行版最終將與 Windows 達到同等水平，特別是包括該sgx_enable_device()功能。如果未找到此函數(shù)，應用程序應從sgx_cap_get_status()libsgx_capable回退到該函數(shù)。應用程序應該靜態(tài)鏈接到這個庫。

請注意，與 Windows 不同，由于 efivarfs 文件系統(tǒng)，用戶模式進程可以檢測英特爾 SGX 的狀態(tài)。

Linux 應用程序要遵循的過程如圖 3 所示。

圖 3：面向 Linux* 應用程序的英特爾® Software Guard Extensions 功能檢測流程圖。

1. 檢查是否已安裝 PSW。如果是，請轉(zhuǎn)到第 2 步。如果不是，則平臺上不可用英特爾 SGX，它應采取的操作取決于應用程序本身的代碼路徑。
   • 如果應用程序支持非英特爾 SGX 代碼分支，則應執(zhí)行非英特爾 SGX 代碼。
   • 如果應用程序僅適用于英特爾 SGX，則它必須退出。
2. 確定函數(shù)是否在sgx_enable_device()中定義libsgx_uae_service.so。
   • 如果sgx_enable_device()已定義，則調(diào)用該函數(shù)以嘗試啟用軟件并獲取英特爾 SGX 的結(jié)果狀態(tài)。
   • 如果未找到此函數(shù)，則調(diào)用sgx_cap_get_status()以獲取 Intel SGX 的當前狀態(tài)。
3. 檢查從步驟 2 中獲得的英特爾 SGX 的狀態(tài)。
   • 如果結(jié)果是啟用了英特爾 SGX，應用程序可能會執(zhí)行英特爾 SGX 代碼路徑。
   • 如果無法啟用英特爾 SGX，應用程序應回退到非英特爾 SGX 代碼路徑（如果有），或退出（如果沒有）。
   • 如果結(jié)果是需要重新啟動或其他一些手動操作，例如更改 BIOS，應用程序應通知用戶需要采取什么操作。如果需要，應用程序可以繼續(xù)使用非英特爾 SGX 代碼路徑。

細微差別

禁用與不支持

無法區(qū)分以下三種情況：

• CPU 不支持 Intel SGX
• BIOS 不支持英特爾 SGX
• BIOS 和 CPU 支持英特爾 SGX，但在 BIOS 中明確禁用

但是，安裝程序的過程不應改變。在所有三種情況下，sgx_is_capable()都將返回零，這表明該平臺不支持英特爾 SGX。

在 Linux 上鏈接 libsgx_capable

面向 Linux 的英特爾 SGX SDK 構建了 libsgx_capable 的靜態(tài)和動態(tài)版本。應用程序安裝程序可以選擇靜態(tài)或動態(tài)鏈接，但出于以下原因，應用程序本身應盡可能靜態(tài)鏈接此庫：

• 使用libsgx_capable在Linux應用程序是運行時特征檢測橋梁的解決方案，旨在使用才在Linux上的PSW支持軟件使能能力，具體而言，該sgx_enable_device()功能。
• 該sgx_capable.dll庫不是 Windows 上英特爾 SGX 運行時的一部分，也不作為 PSW 包的一部分分發(fā)。為了最小化在兩個平臺之間的不一致，Linux系統(tǒng)不應安裝任libsgx_capable.so或libsgx_capable.a到終端用戶設備。
• Linux 應用程序的運行時功能檢測程序的結(jié)構是自動棄用 libsgx_capable 中存在的函數(shù)。動態(tài)鏈接會導致最終用戶系統(tǒng)上出現(xiàn)一個未使用的庫。

英特爾® Software Guard Extensions SDK 特征檢測功能

啟用程序使用英特爾 SGX SDK 中的四個功能：

• sgx_is_capable()
• sgx_cap_enable_device()
• sgx_cap_get_status()
• sgx_enable_device()

這些功能描述如下。如需更多信息，請閱讀英特爾 SGX SDK 中的函數(shù)參考。

sgx_is_capable

sgx_status_t sgx_is_capable(int *sgx_capable)

該函數(shù)決定了系統(tǒng)在當前運行環(huán)境下是否能夠執(zhí)行 Intel SGX 指令。返回值是類型sgx_status_t，表示查詢成功或失敗。

返回值

如果它返回 SGX_SUCCESS，則系統(tǒng)已成功查詢英特爾 SGX 支持并將結(jié)果存儲在*sgx_capable 中。返回SGX_ERROR_NO_PRIVILEGE意味著安裝程序沒有以管理員權限運行。

任何其他返回值都意味著無法確定系統(tǒng)的英特爾 SGX 功能。在這種情況下，應用程序安裝程序應該保守并假設系統(tǒng)不支持英特爾 SGX。

輸出參數(shù)

返回值SGX_SUCCESS并不意味著系統(tǒng)能夠支持英特爾 SGX，只是它能夠明確回答問題。要確定系統(tǒng)是否支持英特爾 SGX，您必須檢查*sgx_capable的值：值 1 表示“是”，值 0 表示“否”。

筆記

此函數(shù)僅報告是或否，沒有其他信息。它旨在成為應用程序安裝程序使用的快速過濾器。如果函數(shù)報告說，該系統(tǒng)是Intel SGX-能力，安裝程序應該安裝PSW包進行。PSW 需要與所有支持英特爾 SGX 的應用程序安裝程序捆綁在一起。如果系統(tǒng)沒有SGX能力，安裝程序不應試圖安裝PSW包。

視窗

在 Windows 系統(tǒng)上，此功能需要管理權限才能訪問 EFI 變量。

應用程序安裝程序需要sgx_capable.dll在其安裝包中包含 DLL 。

Linux

在 Linux 系統(tǒng)上，操作系統(tǒng)必須已安裝并以 UEFI 模式啟動，并且必須掛載 efi 文件系統(tǒng)，以便函數(shù)可以訪問 EFI 變量。如果 efi 文件系統(tǒng)不可用或無法訪問，它將無法將處于軟件控制狀態(tài)的系統(tǒng)檢測為支持英特爾 SGX。

應用程序安裝程序需要在libsgx_capable.so其安裝程序包中包含共享庫或?qū)�安裝程序靜態(tài)鏈接到libsgx_capable.a.

sgx_cap_enable_device

sgx_status_t sgx_cap_enable_device (sgx_device_status_t *sgx_device_status)

該函數(shù)嘗試軟件選擇加入英特爾 SGX，并在 *sgx_device_status 中設置 SGX 的最終狀態(tài)。返回值的類型sgx_status_t，并指示系統(tǒng)是否可以嘗試該軟件申請加入。返回值并不表示英特爾 SGX 設備本身是否已成功啟用。這些信息被存儲在* sgx_device_status只有當軟件選擇在嘗試。

此功能需要管理員權限，因為它必須訪問通過 BIOS 提供的軟件控制接口。它的目的是通過應用程序調(diào)用安裝程序，并執(zhí)行PSW已經(jīng)被安裝，以使英特爾SGX后。

返回值

如果這個函數(shù)返回SGX_SUCCESS時，軟件選擇在嘗試，而嘗試的成功或失敗被保存在* sgx_device_status。

如果返回值是SGX_ERROR_NO_PRIVILEGE，安裝程序并沒有以管理員權限運行。

任何其他返回值意味著無法在此系統(tǒng)或當前環(huán)境中嘗試選擇加入軟件。在這種情況下，應用程序安裝程序應該保守，并假設無法通過該系統(tǒng)上的軟件選擇啟用英特爾 SGX。

輸出參數(shù)

的返回值SGX_SUCCESS并不意味著英特爾SGX已成功啟用，僅僅是軟件選擇，在被嘗試。接下來必須檢查存儲在*sgx_device_status 中的值。

SGX_ENABLED 表示已啟用 Intel SGX。

SGX_DISABLED_REBOOT_REQUIRED意味著軟件選擇成功，但需要重新啟動才能完成英特爾 SGX 啟用。嘗試在運行時檢測英特爾 SGX 可用性的應用程序?qū)⒈桓嬷�英特�?SGX 在重新啟動之前不可用。

任何其他值表示軟件選擇失敗，用戶必須通過 BIOS 設置屏幕手動啟用英特爾 SGX。

筆記

由于此功能需要管理權限，因此不應由英特爾 SGX 應用程序運行。但是，它目前是在 Linux 系統(tǒng)上執(zhí)行軟件啟用的唯一方法，因此適合在旨在由 root 執(zhí)行的獨立二進制文件中使用。

視窗

Windows 應用程序安裝程序需要sgx_capable.dll在其安裝包中包含 DLL 。

Linux

Linux 應用程序安裝程序需要在libsgx_capable.so其安裝程序包中包含共享庫或?qū)�安裝程序靜態(tài)鏈接到libsgx_capable.a.

sgx_cap_get_status

sgx_status_t sgx_cap_get_status (sgx_device_status_t *sgx_device_status)

此函數(shù)檢查當前系統(tǒng)上英特爾 SGX 的狀態(tài)，如果不可用，狀態(tài)代碼會指出原因。sgx_is_capable()當需要有關英特爾 SGX 狀態(tài)的更多信息時，它是一種替代方法。

在 Windows 上，這僅供應用程序安裝程序使用。在 Linux 上，應用程序和安裝程序都可以使用它。

視窗

在 Windows 系統(tǒng)上，此功能需要管理權限才能訪問 EFI 變量。

它旨在供應用程序安裝程序使用，因此可以要求用戶通過軟件控制界面確認啟用英特爾 SGX。如果函數(shù)報告*sgx_device_status代碼SGX_DISABLED_SCI_AVAILABLE，安裝程序?qū)⒗^續(xù)執(zhí)行軟件啟用程序。

安裝程序需要DLL sgx_capable.dll在他們的安裝包中包含 。

Linux

在 Linux 系統(tǒng)上，操作系統(tǒng)必須已安裝并以 UEFI 模式啟動，并且必須掛載 efi 文件系統(tǒng)，以便函數(shù)可以訪問 EFI 變量。如果 efi 文件系統(tǒng)不可用或無法訪問，那么它將無法將處于軟件控制狀態(tài)的系統(tǒng)檢測為支持英特爾 SGX。

當一個應用程序安裝程序使用，如果函數(shù)報告說，該系統(tǒng)是Intel SGX-能夠安裝程序應繼續(xù)安裝PSW包。PSW 需要與所有支持英特爾 SGX 的應用程序安裝程序捆綁在一起。如果系統(tǒng)不支持Intel SGX，則安裝程序不應嘗試安裝 PSW 包。

Linux 安裝程序需要在libsgx_capable.so其安裝程序包中包含共享庫或?qū)�安裝程序靜態(tài)鏈接到libsgx_capable.a.

sgx_enable_device

sgx_status_t sgx_enable_device (sgx_device_status_t *sgx_device_status)

此功能類似于sgx_cap_enable_device()，但它旨在由應用程序而不是安裝程序運行。

它不需要管理權限；它聯(lián)系在本地機器上運行的 AE 服務，并要求該服務嘗試選擇加入軟件。請注意，這會導致對 PSW 的依賴：它必須安裝在系統(tǒng)上。

sgx_enable_device()一旦應用程序驗證 PSW 庫存在于系統(tǒng)中，應用程序就會運行以確保英特爾 SGX 可供使用。返回值和英特爾 SGX 設備狀態(tài)幾乎與sgx_cap_enable_device().

因為必須安裝 PSW 才能運行此功能，所以安裝人員不能調(diào)用它。

Linux

PSW 的 Linux 版本未實現(xiàn)此功能，因此此功能未包含在英特爾 SGX SDK 的 Linux 版本中。

為 Linux 獲取 libsgx_capable

英特爾 SGX SDK 1.9 及更早版本的 Linux 發(fā)行版不包含 libsgx_capable。要獲取此庫，您必須從 Github* 上的存儲庫獲取英特爾 SGX SDK 源代碼并從主分支構建 SDK。

SDK 安裝程序會將庫放置在 SDK 庫目錄中。

代碼示例

提供的代碼示例將這些過程實現(xiàn)為一對獨立的可執(zhí)行文件，用于演示目的：一個用于應用程序安裝程序，另一個用于運行時的應用程序。這些代碼示例在 Windows 和 Linux 中構建。

負責檢查每個, is_sgx_supported(), 的函數(shù)原型如下：

int is_sgx_supported( UINT *sgx_support );

如果它可以成功確定系統(tǒng)上英特爾 SGX 支持的狀態(tài)，則返回 1，如果由于錯誤而無法確定，則返回 0。

英特爾 SGX 支持的狀態(tài)放置在變量sgx_support 中，該變量作為指向函數(shù)的指針傳遞。它是以下位的組合：

#define ST_SGX_UNSUPPORTED 0x0
#define ST_SGX_CAPABLE 0x1
#define ST_SGX_ENABLED 0x2
#define ST_SGX_REBOOT_REQUIRED 0x4 
#define ST_SGX_BIOS_ENABLE_REQUIRED 0x8 

當且僅當該ST_SGX_ENABLED位被設置時，系統(tǒng)才能執(zhí)行英特爾 SGX 指令。其他位僅傳達有關英特爾 SGX 支持狀態(tài)的附加信息（如果有），以及啟用它可能需要采取哪些進一步措施。

結(jié)論

在運行時回答系統(tǒng)是否已啟用英特爾 SGX 的問題很復雜。對 BIOS、PSW 和最終用戶自己的操作的依賴性意味著系統(tǒng)可以支持英特爾 SGX，但尚未完全啟用或準備好使用。應用程序需要正確識別英特爾 SGX 支持的狀態(tài)，以確保它們執(zhí)行正確的代碼路徑，并避免誤報和漏報。此處描述的過程是推薦的方法。

附件：sgx-feature-detection.zip

來源：https://software.intel.com/content/www/us/en/develop/articles/properly-detecting-intel-software-guard-extensions-in-your-applications.html

波卡PHA礦機、PHA挖礦、Phala礦機、波卡PHA服務器詳詢天 下 數(shù) 據(jù)客服，電話400-638-8808 官網(wǎng)：51huadong.com

本文鏈接：http://51huadong.com/cloundnews/11006171.html