escrow-box

해결하는 문제

고객은 보관된 코드가 납품된 바이너리를 재현하는지 확인해야 하고, 공급자는 합의된 사건까지 코드를 비공개로 유지해야 합니다. 검증과 공개를 분리합니다.

주요 기능

• 복호화 키를 TPM과 부팅 이미지의 측정값에 연결합니다.
• 검증기는 납품물을 다시 빌드하여 바이트 단위로 비교하며, 해시와 결과만 외부로 내보냅니다.
• 참조 공개 규칙은 회사 등록 상태와 서명된 활동 신호를 사용하며, 증거가 없으면 유예 기간을 적용합니다.
• 고정 SSH 명령으로 검사, 상태 조회, 공개를 수행하며 대화형 셸은 제공하지 않습니다.
• 봉인과 검증 후에는 사건 확인이 필요할 때까지 VM을 꺼 둘 수 있습니다. 디스크를 백업한 뒤 호스트에서 삭제하여 공간을 확보하고, 필요할 때 복원할 수 있습니다. 같은 VM과 원래 TPM 상태는 보존해야 하며, TPM 상태는 몇 킬로바이트에 불과합니다. 백업에는 이미지, 암호화된 보관물, 봉인된 키 컨테이너와 box의 저장 상태가 포함됩니다.

작동 방식

통합 커널 이미지에 암호화된 보관물, 검증 도구, 공개 규칙을 넣습니다. 측정 부팅으로 키를 해당 이미지에 연결합니다. 메모리와 TPM 상태의 비밀 보호는 선택한 플랫폼에 달려 있습니다.

provision → check → verify → status → unlock

요구 사항

• 저장소에 명시된 도구를 갖춘 Linux 빌드 호스트와 TPM 지원 가상 머신.
• 실제 보관에는 수신자가 VM 메모리와 TPM 상태를 읽을 수 없는 플랫폼 및 합의된 재시작·복구 절차가 필요합니다.
• 실제 비밀을 맡기기 전에 공개 사건, 인증된 증거, 인수 검사를 합의해야 합니다.
• 같은 VM과 TPM 상태를 보존하고, 완전한 디스크 백업을 유지하여 합의된 플랫폼 구성으로 해당 VM에 복원합니다.