Intel SGXをAzureで本番運用するための構成事例と実践知見 / SRE NEXT 2025

2025年7月11日-12日開催「SRE NEXT 2025」における株式会社Datachain SRE 大久保 俊彦による発表スライドです。

------------------
Website：https://www.datachain.jp/ja
採用情報：https://careers.datachain.jp/
GitHub：https://github.com/datachainlab
X：@datachain_jp, @datachain_en
Medium：日本語, English
note：https://note.datachain.jp/
募集職種一覧：https://herp.careers/v1/datachain
カジュアル面談お申し込み：https://herp.careers/v1/datachain/yobfg8YOkk4g

Transcript

1. Copyright © 2025 Datachain, Inc. All Rights Reserved. Datachain, Inc. 大久保俊彦 SRE NEXT 2025 Intel SGXをAzureで本番運用するための構成事 例と実践知見
2. Copyright © 2025 Datachain, Inc. All Rights Reserved. 自己紹介 2 大久保俊彦 株式会社Datachain SREテックリード Datachain創業から参画し、 Blockchain Walletの開発、実証実験におけるスマートコントラクト、バックエンド の設計、実装を担当。 直近ではSREとして、異種ブロックチェーン間のインターオペラビリティを実現する OSSプ ロジェクトであるYUIを使用したクロスチェーンプラットフォーム「 TOKI」の運用、構築を担当 。
3. Copyright © 2025 Datachain, Inc. All Rights Reserved. Datachain紹介 3 https://www.datachain.jp/ 1. TOKI a. Super easy way to transfer assets natively across blockchains with best-in-class security by IBC. Accessible to anyone, no more wrapped tokens and Trusted-Third-Parties. b. https://toki.finance/ 2. Project Pax a. Progmat and Datachain aim to leverage stablecoins to enable fast, cost-effective, and 24/7 operational cross-border transfers. b. https://www.datachain.jp/news/progmat-and-datachain-launch-project-pax
4. Copyright © 2025 Datachain, Inc. All Rights Reserved. 4 クロスチェーンブリッジ TOKI https://toki.finance/
5. Copyright © 2025 Datachain, Inc. All Rights Reserved. 5 クロスチェーンブリッジ TOKI
6. Copyright © 2025 Datachain, Inc. All Rights Reserved. 6 クロスチェーンブリッジ TOKI クロスチェーンブリッジはユーザの資産を預かるため、高いセキュリティレベルを要求される
7. Copyright © 2025 Datachain, Inc. All Rights Reserved. 7 クロスチェーンブリッジ TOKI 過去には様々なブリッジでユーザ資産が流出・盗難される事件が発生している
8. Copyright © 2025 Datachain, Inc. All Rights Reserved. 8 クロスチェーンブリッジ TOKI Bridge運用者の内部犯行による $120Mの盗難ケース https://www.chainalysis.com/blog/multichain-exploit-july-2023 > A week after cross-chain bridge protocol Multichain experienced unauthorized withdrawals of more than $125 million, the team announced on Twitter that the company has ceased operations. After the company’s CEO, Zhaojun, was arrested by the Chinese police, the team said that they could not contact him and lost the platform’s MPC keys. However, Multichain continued to operate at limited capacity.
9. Copyright © 2025 Datachain, Inc. All Rights Reserved. 9 クロスチェーンブリッジ TOKI サービス運用者、 CSPすらも信用してはいけない
10. Copyright © 2025 Datachain, Inc. All Rights Reserved. 10 クロスチェーンブリッジ TOKI ユーザが安心してブリッジを使用するには？
11. Copyright © 2025 Datachain, Inc. All Rights Reserved. 11 クロスチェーンブリッジ TOKI TOKIはIntel SGXを使用してユーザー資産を保護します
12. Copyright © 2025 Datachain, Inc. All Rights Reserved. Intel SGX 12 Intel SGXとは？
13. Copyright © 2025 Datachain, Inc. All Rights Reserved. Intel SGX 13 Intel SGXとは？ 1. TEE(Trusted Execution Environment)の一種 2. CPU固有の鍵により、暗号化されたメモリ空間でEnclaveと呼ばれる任意のプログラムを実行可 能。この空間はOS, Hypervisorを含む他ソフトウェアから読み取ることは不可能 a. root権限を持っていても、メモリ上のデータを閲覧、改ざんすることは出来ない 3. Remote Attestation機能によりEnclaveの実行環境のHardwareが健全であるかどうか、想定通 りのコードを実行しているかを第三者に証明可能 a. Enclaveのプログラムが改ざんされていないことを証明 b. CPUが脆弱性に晒されていないことの証明
14. Copyright © 2025 Datachain, Inc. All Rights Reserved. 14 Intel SGX 身近に使われているTEE技術 Apple Secure Enclave https://support.apple.com/ja-jp/guide/security/sec59b0b31ff/web Apple Pay支払時に、Secure EnclaveがOSやアプリケーションから隔離された環境でユーザー認 証情報を検証し、支払いチップに署名付きで渡すことで、 OS、アプリからの攻撃・改ざんを防止しつ つ支払いが可能
15. Copyright © 2025 Datachain, Inc. All Rights Reserved. 15 Intel SGX Intel SGXのユースケース 1. 機密計算 a. クラウド環境での医療データや金融データの分析など 2. デジタル著作権管理 a. blu-ray再生ソフトなどの不正コピー防止 3. 暗号鍵管理 a. HSMなど
16. Copyright © 2025 Datachain, Inc. All Rights Reserved. Intel SGXでセキュアなブリッジを構築できる理由 16 Intel SGXでセキュアなブリッジを構築できるのはなぜ？
17. Copyright © 2025 Datachain, Inc. All Rights Reserved. 17 Intel SGXでセキュアなブリッジを構築できる理由 既存ブリッジのユーザー資産流出ケースの整理 1. 人為的ミスによる機密情報の流出 a. ブロックチェーン間の資産移転時に使用する署名用秘密鍵など 2. システムの不備をついた攻撃 a. 脆弱性を利用して、プログラムの書き換え、機密情報を取得、データを改ざんする 3. 内部犯行 a. 特権ユーザーによるメモリ上またはディスクに保存された機密データの閲覧、悪用 架空の取引を捏造、取引データの改竄して、不正な取引データを作成しブロックチェーンに提出するこ とでユーザー資産が流出する
18. Copyright © 2025 Datachain, Inc. All Rights Reserved. Intel SGXでセキュアなブリッジを構築できる理由 18 Intel SGXを使用すると・・・
19. Copyright © 2025 Datachain, Inc. All Rights Reserved. 19 Intel SGXでセキュアなブリッジを構築できる理由 人為的ミスへの対策 Enclaveのプログラムによって取引の検証が自動執行されるため、 そもそも人が介在する余地がない。
20. Copyright © 2025 Datachain, Inc. All Rights Reserved. 20 Intel SGXでセキュアなブリッジを構築できる理由 内部犯行への対策 Enclave実行中のメモリ空間はSGXの機能によって暗号化されており、 特権ユーザでさえ実行中プロ グラムのメモリ上のデータを見ることは出来ないので、機密情報が漏洩することはない。
21. Copyright © 2025 Datachain, Inc. All Rights Reserved. 21 Intel SGXでセキュアなブリッジを構築できる理由 システムの不備をついた攻撃への対策 1. プログラムの改竄 a. MRENCLAVEと呼ばれるENCLAVEのバイナリのHash値を検証することで、ソフトウェア が 改竄されている場合取引を行わない b. 本番環境のMRENCLAVE値とEnclaveのReproducible Build環境をユーザに公開するこ とで、TOKIが使用しているEnclaveのソースコードが、本番環境で動いていることを第三者 に証明可能 2. 脆弱性を利用した機密情報の取得、改竄 a. RemoteAttestationとTCBRecoveryによって、Enclaveの実行環境が脆弱性に晒されて いないことを第三者に証明可能
22. Copyright © 2025 Datachain, Inc. All Rights Reserved. 22 Intel SGXでセキュアなブリッジを構築できる理由 MRENCLAVE? RemoteAttestation? TCBRecovery?
23. Copyright © 2025 Datachain, Inc. All Rights Reserved. 23 Intel SGXでセキュアなブリッジを構築できる理由 MRENCLAVE 1. Enclaveのソースコード、コンフィグレーションから一意に導出される Hash 2. コードが一行でも変更されると、導出されるHash値も変わる
24. Copyright © 2025 Datachain, Inc. All Rights Reserved. 24 Intel SGXでセキュアなブリッジを構築できる理由 > コードが一行でも変更されると、導出されるHash値も変わる Enclaveの改竄検知に使用可能！
25. Copyright © 2025 Datachain, Inc. All Rights Reserved. 25 Intel SGXでセキュアなブリッジを構築できる理由 MRENCLAVE値をBlockchain上に公開&EnclaveのReproducible環境をユーザーに提供すること で、TOKIのメッセージ検証ロジックが正しいことをユーザーが検証可能
26. Copyright © 2025 Datachain, Inc. All Rights Reserved. 26 Intel SGXでセキュアなブリッジを構築できる理由 MRENCLAVE機能を使用することで、 Softwareを保護することが可能 1. 不正なEnclaveによってメッセージ検証された場合取引をしない(改竄耐性) a. 外部犯によるEnclaveプログラムの改竄があった場合に取引を停止 2. 外部からEnclaveプログラムのロジックを確認出来る(改竄検知) a. 内部犯によるEnclaveプログラムの改竄を、ユーザがReproducible Buildすることで検知可能
27. Copyright © 2025 Datachain, Inc. All Rights Reserved. 27 Intel SGXでセキュアなブリッジを構築できる理由 RemoteAttestation TCBRecovery
28. Copyright © 2025 Datachain, Inc. All Rights Reserved. 28 Intel SGXでセキュアなブリッジを構築できる理由 Remote Attestation Intel SGXが動作しているマシンのTrusted Computing Base(TCB)が安全(既知の脆弱性に 晒されていない)であることを外部に証明するプロセス TCBRecovery Intel SGXに関わる脆弱性がIntelによって公開された時に、Intel SGXの実行環境である TCBを更新することで脆弱性を緩和した環境へ復旧するプロセス
29. Copyright © 2025 Datachain, Inc. All Rights Reserved. 29 Intel SGXでセキュアなブリッジを構築できる理由 Trusted Computing Baseとは？ https://en.wikipedia.org/wiki/Trusted_computing_base そのシステムのセキュリティに不可欠なすべてのHardware、Firmware、および/またはSoftware Componentの集合 Intel SGXのTCB 1. Hardware a. CPU Model 2. Firmware a. CPU Microcode 3. Software a. Architectural Enclave b. Intel SGX SDK
30. Copyright © 2025 Datachain, Inc. All Rights Reserved. 30 Intel SGXでセキュアなブリッジを構築できる理由 Intel SGXのTCB 1. CPU Model 2. CPU Microcode 3. Architectural Enclave 4. Intel SGX SDK(EnclaveのBuildに必須) Remote Attestation Intel SGXが動作しているマシンのTrusted Computing Base(TCB)が安全(既知の脆弱性に晒 されていない)であることを外部に証明するプロセス RemoteAttestationを実行することで、 Hardwareレベルのシステムの安全性を証明可能
31. Copyright © 2025 Datachain, Inc. All Rights Reserved. 31 Intel SGXでセキュアなブリッジを構築できる理由 Remote Attestationフロー
32. Copyright © 2025 Datachain, Inc. All Rights Reserved. 32 Intel SGXでセキュアなブリッジを構築できる理由 TCBRecovery Intel SGXに関わる脆弱性がIntelによって公開された時に、Intel SGXの実行環境である TCBを更新することで脆弱性を緩和した環境へ復旧するプロセス
33. Copyright © 2025 Datachain, Inc. All Rights Reserved. Intel SGXでセキュアなブリッジを構築できる理由 33 TCB Recoveryフロー
34. Copyright © 2025 Datachain, Inc. All Rights Reserved. Intel SGXでセキュアなブリッジを構築できる理由 34 TCBRecoveryを実施しないと？ 脆弱性を放置したままシステム稼働をしつづけることになる。中には機密性や実行結果を改ざんするもの があり、Enclave内の計算結果が信用出来なくなる場合があるため迅速な対応が必要。 従来の脆弱性対応との違い 1. RemoteAttestationというHardwareの検証プロセスがあるため、CPU Microcodeの更新がプロ トコルによって実質強制されている 2. Cloudを使用している場合に、Provider側にMicrocodeを更新してもらう必要がある a. 更新をしてくれないProviderも・・・
35. Copyright © 2025 Datachain, Inc. All Rights Reserved. Intel SGXでセキュアなブリッジを構築できる理由 35 まとめ 1. MRENCLAVE a. Softwareを保護 2. RemoteAttastation, TCBRecovery a. Hardwareレベルで実行環境が侵害されていなことを保証 これらの仕組みによりユーザー資産を保護している。
36. Copyright © 2025 Datachain, Inc. All Rights Reserved. TOKI SREの Intel SGX関連の責務 36 ユーザーが安心して使えるセキュアなブロックチェーンブリッジの運用 1. SGX環境の構築、運用 2. SGX関連の技術、脆弱性調査 3. TCBRecovery実施 4. Enclave検証環境の構築
37. Copyright © 2025 Datachain, Inc. All Rights Reserved. LCP紹介 37 月間$7.8MのTOKIのクロスチェーン取引を支える Middleware
38. Copyright © 2025 Datachain, Inc. All Rights Reserved. LCP紹介 38 LCPとは？ TEEを用いてEnclave内でLightClient検証を実現するMiddleware - https://github.com/datachainlab/lcp - https://docs.lcp.network/ 特徴 1. Trust-minimized a. クロスチェーンメッセージの転送に、ユーザーは以下を信頼するだけで良い i. LightClientのセキュリティ仮定 ii. TEEの実行環境(TCB) 2. Ultra efficient on-chain verification a. OnChainでのLightClient検証よりも実行コスト(Gas)が低い b. Light Clientの実行はブロックチェーン上ではコストが高く、 SGXにオフロードさせることを目的としている 3. Extensible a. ブロックチェーン毎にLightClientを実装する必要がない。
39. Copyright © 2025 Datachain, Inc. All Rights Reserved. LCP紹介 39 LCPのクロスチェーンメッセージ検証の概要 1. ブロックチェーンから渡ってきたクロスチェーンメッセージ (Packet)をEnclaveで検証する 2. 検証が成功した場合に Enclave内でのみ使用可能な署名鍵で署名し Signatureを作成する 3. Signatureをブロックチェーン上のスマートコントラクトに提出し、正当な鍵で署名されていることを検 証する 4. 署名検証が成功するとチェーン間の資産移転が完了する
40. Copyright © 2025 Datachain, Inc. All Rights Reserved. LCP紹介 40 LCPのアーキテクチャ詳細 Enclave Light Client(ELC) 1. TEEのenclave内で動作するLightClientとして、クロスチェーンメッセージの検証を行う。 2. Enclave内で生成される公開鍵方式の秘密鍵である EnclaveKeyで、ELCのLightClient検証の実行結果(commitment)に 署名することでCommitment Proofと呼ばれるSignatureを生成する。 LCPClient 1. Blockchainにデプロイされるスマートコントラクト 2. ELCが作成したCommitmentProofが正しいEnclaveKeyによって署名されているかどうかを検証する EnclaveKey 1. 作成時にSGXのSealing機能を使って暗号化した上でDiskに保存される。 2. Enclave内でのみ秘密鍵が復号可能で、復号された状態で Enclave外に鍵を持ち出すことは出来ない。 3. SGXのSealing機能の制約として、 CPU個体毎の秘密鍵で暗号化されるため、 Sealing/Unsealingは必ず同じCPU個 体が搭載されたマシン上で実行する必要がある。
41. Copyright © 2025 Datachain, Inc. All Rights Reserved. LCP紹介 41 TOKIはクロスチェーンメッセージのプロトコルに IBC Protocolを採用 https://ibcprotocol.dev/ 特徴 1. 独立したブロックチェーン同士を相互接続し、信頼を最小化しつつデータや資産をやり取りできるオープン ソースのプロトコル 2. データの中継者に信頼を置かない 3. LightClient検証方式により、必要最低限のデータだけで「相手ブロックチェーンが改ざんされていないこ と」を保証する仕組み
42. Copyright © 2025 Datachain, Inc. All Rights Reserved. LCP紹介 42 https://ibcprotocol.dev/blog/multi-prover-for-ibc-toki
43. Copyright © 2025 Datachain, Inc. All Rights Reserved. インフラ構成 43 Azure Kubernetes Serviceに、Azure Confidential Computingシリーズの VM(DCsv2, DCsv3)のNodePool をLCPの実行環境としてデプロイしている。 1. https://learn.microsoft.com/en-us/azure/virtual-machines/sizes/general-purpose/dcsv2-series?ta bs=sizebasic 2. https://learn.microsoft.com/en-us/azure/virtual-machines/sizes/general-purpose/dcsv3-series?ta bs=sizebasic 主要パブリッククラウド(AWS, Azure, GCP)のうち、SGXマシンを利用可能なVMを提供しているのはAzureのみ Intel Software Guard Extensions (SGX) device plugin for Kubernetes https://intel.github.io/intel-device-plugins-for-kubernetes/cmd/sgx_plugin/README.html
44. Copyright © 2025 Datachain, Inc. All Rights Reserved. インフラ構成 44 SGXの制約 SGXのSealing機能 1. Enclave内の機密データを永続的に保存するためにディスク上へ暗号化して書き出すプロセス 2. Sealing/Unsealing(データ暗号化/復号)はEnclave内でしか実行できず、必ず同じCPU個体が搭載されたマ シン上で実行する必要がある あるノード上の EnclaveでSealing(暗号化)したデータを、 CPUが異なる別ノードの EnclaveでUnsealing(復号)す ることは出来ない。
45. Copyright © 2025 Datachain, Inc. All Rights Reserved. SGXインフラ構成 45
46. Copyright © 2025 Datachain, Inc. All Rights Reserved. SGXインフラ構成 46 まとめ SGXではEnclaveを実行するCPU個体に依存しているSealing/Unsealing機能があるため、Podを実行するNodeを 固定する必要がある 以下の方法でEnclaveが同一CPUで動作することを保証する必要がある 1. Enclave毎にDeploymentとNodePoolを作成する 2. nodeSelectorを指定してPodを同じNodeに配置する 3. nodeにtaintsを設定して、EnclaveのPodを確実に配置する
47. Copyright © 2025 Datachain, Inc. All Rights Reserved. TCB Recovery 47 Datachainでは一緒に働いてくれる仲間を募集しています！ 採用サイト： https://careers.datachain.jp/ 公式note　：https://note.datachain.jp/
48. Copyright © 2025 Datachain, Inc. All Rights Reserved. TCB Recovery 48 ご清聴ありがとうございました