在上一期的《衝量網絡 | 淺談SGX中》，我們提到了SGX的基本概念、認證以及應用，而SGX的內容遠遠不止於此，本文將會進一步對SGX技術進行解釋。同時，也會對類似技術TrustZone與SGX的優劣進行對應的對比。
Enclave的保護原理主要包括兩個部分：其一是Enclave內存訪問語義的變化，另一個是應用程序地址映射關係的保護，這兩項功能共同完成對enclave的機密性和完整性的保護。
一般會預先定義一個標準結構，當我們在進行可信計算環境建立時，會在系統內分配一塊被保護的物理內存區域，這塊區域將根據之前的標準結構來存放SGX保存的數據和代碼。在當我們對其進行SGX調用，整個系統都必須處於保護模式。
簡單來說，在容器Enclave中，外部應用如果想訪問容器Enclave的數據內存，是不會被允許的。enclave內部的代碼在EPC(enclave page cache)範圍內只能訪問屬於自己的內存區域，其無法直接訪問別的Enclave內存，也就是說，哪怕是同一個硬件上的容器Enclave，其互相之間也無法直接對內存區域進行調用，這樣的內存保護機制, 防止了enclave內部運行的程序被其他惡意軟件盜取隱私信息和篡改。
在實際操作中，SGX需要考慮遲到可信和非可信的兩部分，只有可信部分纔會起到處理敏感數據的操作，其他部分都不能，或者不會擁有權限來對任意的敏感數據部分進行修改或者查看。而在執行代碼的時候需要在容器Enclave中執行，而不能在外進行，哪怕外部是可信的。
容器Enclave在執行應用過程中，其調用只能通過底層向上傳遞，避免權限混亂導致的外部違規訪問。而其之所以被成爲容器，正因爲其返回的只有結果，而不是所謂的過程數據，過程數據仍然在Enclave中。在獲得返回結果後，不可信的部分仍然會按既定的過程執行，不影響整個系統的運轉。
相對於SGX，TrustZone利用的是CPU時間片切換來模擬安全環境，從而創造出一個安全環境和一個非安全環境，這兩個環境可以將它理解成一個CPU上處理的兩個進程，它們通過切換來將CPU的佔滿來充分使用CPU。
但這些工作並不能保證安全，因此ARM另外定義了安全框架，類似於外載了一個安全設備，不過一般來說，每個廠商都會有自己的解決方案，當然，也可以理解，畢竟ARM自己的主營業務是提供標準而不是設計具體的芯片。同時，安全環境部分也需要有一個可信操作系統執行應用，其會使用標準的開發語言。
應用部署時，SGX一般只要在代碼中進行編寫，定義相關的存儲區和執行區，而在TrustZone中，需要單獨開放部署，一般設置廠商都會提供給應用開發者自行部署的方法，與SGX相比稍有一點不同，相對於SGX統一的部署標準，TrustZone部署較複雜，且學習成本較高。
但關於部署的安全層面，無論是SGX還是TrustZone應用，確實很大程度上還是依賴開發者的意識。
SGX在開源、性能、擴展性等一系列方案都優於TrustZone。
衝量網絡將結合SGX和區塊鏈技術，使得可信計算的落地性更強，並進一步加強對於應用的支持。採用了分佈式可信計算技術，通過大規模的全球分佈的可信計算集羣，保障了系統的可靠性。同時在每次計算任務執行過程中會拉起備份節點，一旦主節點被攻破會啓動節點切換，保障網絡的進行。
而對於側信道攻擊，衝量網絡將可信算法進行重構從而加強防禦，把內存安全相關的模塊進行重構，從而使得側信道攻擊無處遁形。同時也兼容社區主流的TEE技術框架能力，並參與社區建設，持續優化保障內存安全的解決方案。
衝量網絡隸屬於上海衝量網絡科技有限公司，致力於打造全球區塊鏈可信計算網絡，爲商業場景提供可信計算、安全存儲和區塊鏈網絡解決方案和PaaS服務。衝量網絡通過匯聚多樣化的可信計算資源建立全球最大的可信算力網絡，支持企業、政務大數據中心的數據聯合計算、聯合建模、區塊鏈外可信存儲、可信供應鏈金融、可信跨鏈服務等場景的分佈式計算。同時，衝量網絡爲企業提供一系列的基於區塊鏈+X技術的產品和解決方案，打造下一代的分佈式可信計算平臺，支持區塊鏈的邊界無限擴展，是Web3.0時代的重要基礎設施。
詳見：www.impulse.top