公开(公告)号：CN119003178A

公开(公告)日：2024-11-22

申请号：CN202411173119.9

申请日：2024-08-26

Applicant: 浙江大学

Inventor： 陈文智 ,  李文博 ,  魏成坤 ,  张紫徽

IPC: G06F9/50 ,  G06F21/60

Abstract: 本发明公开了一种面向敏感负载的低耦合机密容器架构，包括：在常见容器软件栈的基础上，引入定制的ContainerdShim程序Shim‑RunE，负责在TEE外侧协助完成机密容器的初始化和运行时流程；在每个Pod引入一个新的常驻容器EnclaveAgent，该EnclaveAgent取代现有机密容器架构在可信执行环境内引入的Agent软件，并具有以下功能：触发远程证明获取启动策略、负载机密容器镜像拉取与转换、以及负载机密容器启动授权，这样能够完全分隔容器语义和TEE语义，减少用户为适配机密容器环境而需要额外信任的软件，减小用户信任阻力，整体上降低TCB。

公开(公告)号：CN119004512A

公开(公告)日：2024-11-22

申请号：CN202411173118.4

申请日：2024-08-26

Applicant: 浙江大学

Inventor： 陈文智 ,  李文博 ,  魏成坤 ,  张紫徽

IPC: G06F21/60 ,  G06F16/14 ,  G06F16/172

Abstract: 本发明公开了一种面向机密容器场景的加密文件系统，包括：对只读层和可写层采用不同的加密镜像格式，支持多层加密镜像堆叠；支持加密保护模式和完整性验证模式，应对不同的场景需求；对加解密的密钥进行层级管理，即将对每层数据结构的密码学信息反映其逻辑上层，并将最上层的最终密钥由加密文件系统的镜像拥有者保存；对目录项表的索引的空间和时间效率进行针对性的优化；提供缓存机制，通过缓存机制维持可信执行环境内部的密文缓存；利用独立加密镜像构建程序为只读层和可写层构建加密镜像，从而提高机密容器文件系统的适配性和构建效率。