TEE が再び熱く議論される: プライバシー技術開発のジレンマに新たな夜明けが訪れるか?

この記事を読むのに必要な時間は 41 分

MPC および ZK テクノロジーのパフォーマンスと技術的な課題に直面して、TEE はどのような変化をもたらすことができるのでしょうか?

元のタイトル: 「TEE が再び熱く議論される: プライバシー技術開発のジレンマに新たな夜明け?」

元の著者: Linda Bell、ChainFeeds

プライバシー保護の需要が高まるにつれて、TEE が再び議論の焦点になりました。TEE は数年前から議論されてきましたが、ハードウェアセキュリティの問題により広く採用されていません。しかし、MPC と ZK テクノロジがパフォーマンスと技術要件の課題に直面するにつれて、多くの研究者と開発者が TEE に再び焦点を合わせています。

この傾向は、TEE が ZK テクノロジに取って代わるかどうかについての Twitter での議論も引き起こしました。一部のユーザーは、TEE と ZK は異なる問題を解決し、どちらも完璧ではないため、競合するのではなく補完的であると考えています。他のユーザーは、AWS と Intel が提供するセキュリティは、Rollup のマルチ署名保護よりも高いと指摘しました。このトレードオフは、TEE の設計空間のスケーラビリティを考えると価値があります。 ZKでは不可能です。

TEE とは何ですか?

TEE は実はそれほど奇妙な概念ではありません。 TEE 技術、つまり「Secure Enclave」は、私たちがよく使用する Apple の携帯電話に適用されています。その主な機能は、ユーザーの機密情報を保護し、暗号化操作を実行することです。 Secure Enclave はシステムレベルのチップに統合されており、メインプロセッサから分離されているため、高いセキュリティが確保されます。たとえば、Touch ID または Face ID を使用するたびに、Secure Enclave が生体認証情報を検証し、漏洩から保護します。

TEE は Trusted Execution Environment の略で、メインのオペレーティングシステムから独立して実行されるコンピューターまたはモバイルデバイス内の安全な領域です。主な機能は次のとおりです。メインのオペレーティングシステムから分離されているため、メインのオペレーティングシステムが攻撃されても、内部データと実行は安全に保たれます。ハードウェアサポートと暗号化技術により、動作中に内部コードやデータが改ざんされるのを防ぎます。機密データを保護し、漏洩を防ぐために暗号化技術が使用されます。

現在、一般的な TEE 実装は次のとおりです。

· Intel SGX:ハードウェアでサポートされる分離された実行環境を提供し、機密データとコードを保護するための安全なメモリ領域 (エンクレーブ) を作成します。

· ARM TrustZone: プロセッサ内にセキュアな世界と通常の世界を作成します。セキュアな世界では機密性の高い操作が実行され、通常の世界では一般的なタスクが処理されます。

· AWS Nitro Enclaves:AWS Nitro TPM セキュリティチップをベースとし、クラウド内で信頼できる実行環境を提供し、機密データを処理するクラウドコンピューティングシナリオ向けに特別に設計されています。

暗号市場では、TEE テクノロジーは、信頼性が高く安全な環境でのオフチェーンコンピューティングに最もよく使用されます。同時に、TEE のリモート認証機能により、リモートユーザーは TEE で実行されているコードの整合性を検証できるため、データ処理のセキュリティが確保されます。しかし、TEE は Intel や AWS などの集中型プロバイダーに依存しているため、分散化が不十分であるという問題もあります。これらのハードウェアにバックドアや脆弱性がある場合、システムのセキュリティが脅かされる可能性があります。ただし、補助手段としての TEE テクノロジは構築が容易で低コストであり、高いセキュリティとプライバシー保護を必要とするアプリケーションシナリオに適しています。これらの利点により、TEE テクノロジーは、プライバシー保護や強化されたレイヤー 2 セキュリティなどのさまざまな暗号化アプリケーションにも適用できます。

TEE プロジェクトインベントリ

Flashbots: SGX を通じてプライベートトランザクションと分散型ブロック構築を実現

Flashbots は 2022 年に SGX などの信頼できる実行環境に関連するプライバシーテクノロジーの調査を開始し、トランザクションサプライチェーンにおける信頼のないコラボレーションの重要な構成要素として使用しました。 2023年3月、FlashbotsはIntelが開発した信頼できる実行環境であるSGXエンクレースでブロックビルダーの実行に成功し、プライベートトランザクションとブロックビルダーの分散化の実現に向けて一歩を踏み出しました。 SGX エンクレースでは、ブロックビルダーやその他のインフラストラクチャプロバイダーはユーザートランザクションの内容を確認できず、ビルダーはエンクレーブ内で検証可能な有効なブロックを構築し、入札を正直に報告するため、MEV ブーストリレーの必要性がなくなる可能性があります。さらに、このテクノロジーは排他的な注文フローのリスクを軽減するのに役立ち、エンクレーブ内で動作するすべてのブロックビルダーがアクセスできるようにしながら、トランザクションを非公開のままにすることができます。

TEE は確かに外部リソースへのアクセスとプライバシー保護を提供できますが、そのパフォーマンスは非 TEE テクノロジほど高くありません。そして、中央集権化のリスクもいくつかあります。 Flashbots は、TEE だけに頼っていてはすべての問題を解決できないことを発見しました。また、システムの透明性と信頼性を確保するためには、他のセキュリティ対策を組み合わせたり、TEE の計算やコードを検証する他のエンティティを導入したりすることも必要です。そこで、Flashbots では、TEE (Kettle) で構成されるネットワークと、このネットワークの管理や TEE で実行されるプログラムのホスティングなどを担う、信頼できる許可のないパブリックチェーン (SUAVE Chain) を想定しています。これが SUAVE の基本的な考え方です。

SUAVE (Single Unified Auction for Value Expression) は、MEV 関連の課題に対処するために設計されたインフラストラクチャであり、既存のブロックチェーンからメモリプールとブロック生成の役割を分離して、任意のブロックチェーンのプラグアンドプレイメモリプールおよび分散型ブロックビルダーとして機能する独立したネットワーク (ソートレイヤー) を形成することに重点を置いています。

(SUAVE の詳細については、ChainFeeds の前回の記事を参照してください)

SUAVE は 2 段階でリリースされます。最初のバージョンは SUAVE Centauri で、これにはプライベートオーダーフローオークション (OFA) と SUAVE Devnet (テストネット) が含まれています。このバージョンの実装には、暗号化と TEE テクノロジは含まれません。 2 番目のバージョンである Andromeda は、SGX などの信頼できる実行環境で実行ノードを実行します。オフラインで実行されている TEE ノード上の計算とコードが期待どおりに実行されるように、Flashbots は TEE のリモート認証機能を使用して、スマートコントラクトが TEE からのメッセージを検証できるようにします。具体的な手順は次のとおりです。リモート証明を生成するために Solidity コードに新しいプリコンパイル関数を追加します。 SGX プロセッサを活用して証明を生成する。オンチェーン上で証明を完全に検証する。 Automata-V3-DCAP ライブラリを使用してこれらの証明を検証します。

要約すると、SUAVE は TEE を統合することで現在のサードパーティを置き換えます。 SUAVE システムで実行されるアプリケーション (注文フローオークションやブロックビルダーなど) は TEE 内で実行され、TEE の計算とコードの整合性はオンチェーンのリモート証明を通じて保証されます。

Taiko: SGX によるマルチプルーフシステム Raiko の構築

TEE の概念を Rollup に拡張して、マルチプルーフシステムを構築することもできます。 複数の証明とは、Ethereum のマルチクライアントメカニズムと同様に、ブロックに対して複数の種類の証明を生成することを指します。 このメカニズムにより、1 つの証明に欠陥があっても、他の証明は依然として有効であることが保証されます。

マルチプルーフメカニズムでは、プルーフの生成に関心のあるユーザーは誰でもノードを実行し、すべての状態アクセスのトランザクションや Merkle プルーフなどのデータを抽出できます。このデータを使用してさまざまな種類の証明を生成し、すべての証明をスマートコントラクトにまとめて送信して、証明の正確性を検証します。 TEE で生成された証明の場合、ECDSA 署名が予想されるアドレスによって署名されているかどうかを確認する必要があります。すべての証明が検証され、ブロックハッシュの一貫性が確認されると、ブロックは証明済みとしてマークされ、チェーンに記録されます。

Taiko は Intel SGX テクノロジーを使用して、Taiko ブロックと Ethereum ブロックを検証するためのマルチプルーフシステム Raiko を構築しています。 SGX を使用することで、Taiko は重要なタスクを実行する際にデータのプライバシーとセキュリティを確保でき、潜在的な脆弱性が存在する場合でも、TEE は認証システムを侵害する攻撃者に対する追加の保護を提供します。 SGX 証明は 1 台のコンピューターで実行でき、証明生成の効率に影響を与えることなく、完了するまでに数秒しかかかりません。さらに、Taiko は、クライアントプログラムを ZK および TEE で実行できる形式にコンパイルし、ブロック状態遷移の正確性を確保し、ベンチマークと監視を通じてパフォーマンスと効率を評価することをサポートする新しいアーキテクチャを導入しました。

TEE には多くの利点がありますが、実装にはまだいくつかの課題があります。たとえば、SGX セットアップでは、さまざまなクラウドプロバイダーの CPU をサポートし、検証プロセス中にガスコストを最適化する必要があります。さらに、計算とコードの正確さを検証するために、安全なチャネルを確立する必要があります。これらの課題に対処するために、Taiko は Gramine OS を使用して実行中のアプリケーションを信頼できるエンクレーブにカプセル化し、使いやすい Docker および Kubernetes 構成を提供することで、SGX 対応 CPU を持つすべてのユーザーがこれらのアプリケーションを簡単に展開および管理できるようにします。

Taiko の発表によると、Raiko は現在 SP1、Risc0、SGX をサポートしており、Jolt と Powdr の統合に取り組んでいます。今後、Taiko は、より多くの Riscv32 ZK-VM を統合し、Wasm ZK-VM を拡張し、Reth と直接統合してブロックのリアルタイム証明を実現し、モジュラーアーキテクチャを採用してマルチチェーンブロック証明をサポートする予定です。

スクロール: Automata と連携して TEE Prover を開発

Scroll のマルチプルーフメカニズムは、L2 セキュリティを強化し、ファイナリティ時間を増やさず、L2 トランザクションに限界コストのみを導入するという 3 つの目標を達成することを目指しています。したがって、Scroll は、ZK 証明に加えて、補助証明メカニズムを選択する際に、最終性と費用対効果を考慮する必要があります。不正行為の証明は非常に安全ですが、確定するまでに時間がかかりすぎます。 zkEVM バリデータは強力ですが、開発コストが高く複雑です。 最終的に、Scroll は補助的な証明メカニズムとして Justin Drake が提案した TEE Prover を使用することを選択しました。

TEE Prover は保護された TEE 環境で実行され、トランザクションを迅速に実行して証明を生成できるため、ファイナリティは増加しません。さらに、TEE Prover のもう 1 つの重要な利点はその効率性です。証明プロセスに関連するオーバーヘッドはごくわずかです。

Scroll は現在、モジュラー証明レイヤー Automata を使用して、Scroll 用の TEE Prover を開発しています。 Automata は、TEE コプロセッサを介してマシンレベルの信頼を Ethereum に拡張するように設計されたモジュール式の検証レイヤーです。 Scroll の TEE Prover は、オンチェーンとオフチェーンの 2 つの主要コンポーネントで構成されています。

· SGX Prover: エンクレーブ内で実行されるオフチェーンコンポーネントで、エンクレーブ内でブロックを実行した後の状態ルートが既存の状態ルートと一致するかどうかを確認し、実行証明 (PoE) を SGX 検証者に送信します。 SGX 検証者: これは L1 チェーンにデプロイされたスマートコントラクトであり、SGX 証明者によって提案された状態遷移と Intel SGX エンクレーブによって送信された証明レポートが正しいかどうかを検証する必要があります。

SGX Prover は、L1 上のシーケンサーによって送信されたトランザクションバッチを監視し、状態遷移の実行時に使用されるデータが完全であり、改ざんされていないことを確認します。次に、SGX Prover は必要なすべての情報を含むブロック証明 (PoB) を生成し、検証と実行に参加するすべてのノードが同じデータセットを使用することを保証します。実行後、SGX Prover は実行証明 (PoE) を L1 に送信します。 SGX 検証者は、PoE が有効な SGX 証明者によって署名されているかどうかを確認します。

SGX Prover は Rust プログラミング言語で記述されており、スマートコントラクトを実行するための EVM エンジンとして SputnikVM を使用します。この実装は、SGX ハードウェアモードをサポートするマシン上でコンパイルして実行できるだけでなく、非 SGX 環境でもデバッグできます。 SGX Verifier は、Automata のオープンソース DCAP v3 検証ライブラリを使用して、Scroll テストネットのブロック履歴全体を検証します。

さらに、TEE 実装とハードウェアメーカーの信頼性の問題を軽減するために、Scroll はさまざまなハードウェアとクライアントからの TEE Prover を集約するプロトコルにも取り組んでいます。このプロトコルには、しきい値署名スキームが組み込まれます。しきい値署名方式は、複数の参加者が共同で署名を生成し、少なくとも一定数の参加者が同意した場合にのみ有効な署名を生成する暗号化技術です。具体的には、TEE 証明器では、一貫性のある証明を生成するために、複数 (たとえば N) の TEE 証明器のうち少なくとも T 個の証明器が必要です。

Automata: TEE コプロセッサによるブロックチェーンのセキュリティとプライバシーの強化

Automata Network は、ハードウェアを共通の信頼のルートとして使用するモジュール式の検証レイヤーであり、TEE バリデータに基づくマルチバリデータシステム、RPC リレーの公平性とプライバシーの提供、暗号化されたエンクレーブ内のブロックの構築など、多くのユースケースを実現します。

前述のとおり、Scroll のマルチプルーフシステムは Automata との共同開発で実現しました。これに加えて、Automata はマルチ証明者として TEE コプロセッサも導入しました。AVS は EigenLayer メインネットを導入しました。 TEE コプロセッサは、メインチェーンの機能を補完または拡張するために特定のコンピューティングタスクを実行するハードウェアです。 Automata Network の TEE コプロセッサは、TEE によって保護された隔離された領域内で安全な計算を実行することにより、ブロックチェーンの機能を拡張します。

具体的には、Multi-Prover AVS は、さまざまなプロトコルの要件に従って複数の独立した検証者を調整および管理する責任を負うミッションコントロールセンターです。個々のプロトコルは、検証を必要とするタスクを公開し、長期的な報酬によってインセンティブを与えられる献身的な TEE の委員会を組織することができます。実際に検証を行うノード (オペレーター) は、これらのタスクに参加するために登録し、セキュリティを確保するために相互に協力することができます。トークンを保有し、プロトコルのセキュリティをサポートする意思のあるユーザーはステーカーと呼ばれ、信頼できるオペレーターにステーキング権を委ねます。このステーキングにより、ステーキングされた資金が保証として機能し、オペレーターが誠実かつ効率的に作業するようにインセンティブを与えるため、プロトコルの初期段階で必要な経済的安全性が強化されます。 EigenLayer は、ステーカー、オペレーター、プロトコルが自由に参加できる許可のない市場を作成します。

シークレットネットワーク：SGX技術に基づくプライバシー保護

プライバシーパブリックチェーンのシークレットネットワークは、主にシークレットコントラクトとTEEを通じてデータプライバシー保護を実装しています。この目標を達成するために、Secret Network は Intel SGX 信頼実行環境テクノロジを使用し、ネットワークの一貫性を確保するために、Secret Network は Intel SGX チップの使用のみを許可し、他の TEE テクノロジはサポートしていません。

Secret Network は、リモート認証プロセスを使用して、SGX セキュアゾーンの整合性とセキュリティを検証します。各フルノードは登録前に認証レポートを作成し、その CPU が最新のハードウェアアップグレードを使用していることを証明し、チェーン上で検証します。新しいノードがコンセンサス共有キーを取得すると、ネットワーク内の計算とトランザクションを並行して処理できるようになり、ネットワーク全体のセキュリティが確保されます。起こり得る攻撃ベクトルを減らすために、Secret Network は SGX-ME (管理エンジン) の代わりに SGX-SPS (サーバープラットフォームサービス) を使用することを選択しました。

具体的な実装では、Secret Network は SGX を使用して、暗号化された入力、出力、および状態を使用して計算を実行します。つまり、データはライフサイクル全体を通じて暗号化されたままとなり、不正アクセスを防止します。さらに、Secret Network の各検証ノードは、Intel SGX 対応 CPU を使用してトランザクションを処理するため、機密データは各検証ノードのセキュリティゾーン内でのみ復号化され、外部からはアクセスできません。

Oasis: SGX を使用してプライバシースマートコントラクトを構築する

プライバシーコンピューティングネットワーク Oasis は、モジュラーアーキテクチャを採用し、コンセンサスとスマートコントラクトの実行をそれぞれコンセンサスレイヤーと ParaTimes レイヤーに分割します。スマートコントラクト実行レイヤーとして、ParaTimes は複数の並列 ParaTimes で構成され、各 ParaTimes は共有状態を持つコンピューティング環境を表します。これにより、Oasis は 1 つの環境で複雑なコンピューティングタスクを処理し、別の環境で単純なトランザクションを処理することができます。

ParaTimes は、プライバシー型と非プライバシー型の 2 種類に分けられます。異なる ParaTimes は異なる仮想マシンを実行でき、許可型または許可なしのシステムとして設計できます。 Oasis は、その中核的な価値提案の 1 つとして、TEE テクノロジーと組み合わせた 2 つのプライバシースマートコントラクト、Cipher と Sapphire を立ち上げました。どちらもInte SGXのTEEテクノロジーを使用しています。暗号化されたデータとスマートコントラクトは一緒に TEE に入り、データはスマートコントラクトによって復号化されて処理され、出力されるときに再度暗号化されます。このプロセスにより、処理プロセス全体を通じてデータの機密性が維持され、ノードオペレーターやアプリケーション開発者に公開されないことが保証されます。違いは、Sapphire はプライバシー EVM 互換の ParaTime であるのに対し、Cipher は Wasm スマートコントラクトを実行するためのプライバシー ParaTime である点です。

Bool Network: MPC、ZKP、TEE のテクノロジーを組み合わせて、ビットコイン検証のセキュリティと分散化を強化します

Bool Network は、MPC、ZKP、TEE のテクノロジーを組み合わせて、外部バリデータクラスターを動的隠し委員会 (DHC) に変換し、ネットワークセキュリティを強化します。

動的隠し委員会では、検証プロセス中に外部検証ノードによるコンセンサス署名が必要になることで発生する秘密鍵露出の問題を解決するために、Bool Network は TEE 技術を導入しました。たとえば、Intel SGX テクノロジーにより、秘密鍵が TEE にカプセル化され、システム内の他のコンポーネントがデータにアクセスできない状態でノードデバイスをローカルセキュリティ領域で実行できるようになります。リモート認証を使用すると、証人ノードは実際に TEE で実行され、キーを保存していることを確認するための証拠を提示でき、他のノードまたはスマートコントラクトはこれらのレポートをオンチェーンで検証できます。

さらに、BOOL ネットワークは完全にアクセス可能であり、TEE デバイスを持つすべてのエンティティは、BOOL をステーキングすることで検証ノードになることができます。

Marlin: TEE と ZK コプロセッサを組み合わせた分散型クラウドコンピューティング

Marlin は、信頼できる実行環境と ZK コプロセッサを組み合わせて複雑なワークロードを分散型クラウドに委任する検証可能なコンピューティングプロトコルです。

Marlin には、いくつかの種類のハードウェアとサブネットワークが含まれています。 TEE テクノロジーは主にサブネットワーク Marlin Oyster で使用されます。 Oyster は、開発者が信頼されていないサードパーティのホストにカスタムコンピューティングタスクまたはサービスを展開できるようにするオープンプラットフォームです。 Oyster は現在、AWS Nitro TPM セキュリティチップに基づく信頼できる実行環境である AWS Nitro Enclaves を主に利用しています。分散化のビジョンを実現するために、Oyster は将来的にさらに多くのハードウェアサプライヤーと互換性を持つ可能性があります。さらに、Oyster を使用すると、DAO は、特定のメンバーが SSH やその他の認証キーを管理する必要なく、スマートコントラクト呼び出しを通じて直接エンクレーブを構成できます。このアプローチにより、手動操作への依存が軽減されます。

Phala Network: TEE ベースのマルチ証明システム SGX-Prover

Phala Network は、TEE を通じてデータのプライバシーと安全なコンピューティングを実現することに特化した、分散型オフチェーンコンピューティングインフラストラクチャです。現在、Phala Network は TEE ハードウェアとして Intel SGX のみをサポートしています。 Phala Network は、分散型 TEE ネットワークに基づいて、TEE ベースのマルチ証明システム Phala SGX-Prover を構築しました。具体的には、オフチェーンモジュール sgx-prover が状態遷移プログラムを実行した後、計算結果を含む TEE Proof を生成し、オンチェーン sgx-verifier に送信して検証します。

SGX の集中化に関するユーザーの懸念に対処するために、Phala Network は Gatekeeper と Worker の役割を導入しました。ゲートキーパーは、NPoS を通じて PHA トークン保有者によって選出され、ネットワークキーの管理と経済モデルの監視を担当します。ワーカーは SGX ハードウェア上で実行されます。キーローテーションメカニズムを導入することで、ゲートキーパーは TEE ネットワークのセキュリティを確保できます。

現在、Phala Network には世界中のユーザーによって登録され、運用されている TEE デバイスが 30,000 台以上あります。さらに、Phala Network は TEE ベースの高速ファイナリティソリューションも検討しています。理論的には、必要な場合にのみ ZK 証明を提供し、TEE 証明に基づいて高速なファイナリティを実現することが可能です。

まとめ

Twitter での議論に対して、Uniswap の CEO である Hayden Adams 氏も自身の見解を表明しました。彼は次のように述べました。「TEE が受けた否定的なコメントは、完璧さの追求が良い結果を妨げていることを示唆しています。すべてのことにトレードオフがあります。ブロックチェーンの保護に関しては、利用できるツールが多ければ多いほど良いのです。」

上記のユースケースの調査を通じて、プライバシーとセキュリティの問題を解決する上での TEE テクノロジーの応用可能性がわかります。たとえば、Flashbots は TEE を使用してプライベートトランザクションと分散型構築を実現し、Taiko と Scroll は TEE を使用してマルチプルーフシステムを実装し、L2 トランザクションのセキュリティを確保します。しかし、現在、ほとんどのプロジェクトは単一の集中型サプライヤーに依存しており、それが一定のリスクをもたらす可能性があります。将来的には、より多くのハードウェアベンダーと互換性を持ち、ノード比率を設定してノードが異なるハードウェア上で実行されるようにすることで、特定のサプライヤーへの過度の依存によって引き起こされる集中化のリスクをさらに軽減することが可能になる可能性があります。