Lib.rs

EifSectionSignature中的CBOR数据的总体结构可以描述如下，其中>>>>和<<<<描述嵌套序列化CBOR数据的入口和出口边界

Array(1) {
    Map(2) {
        [0] {
            Text(19)                                                 // key = "signing_certificate"
            Array<Uint8>(len(cbor_serialize(cert)))                  // value = CBOR serialized certificate
        },
        [1] {
            Text(9)                                                  // key = "signature"
            Array<Uint8>(len(cbor_serialize(cose_sign1))             // value = CBOR serialized COSE_Sign1 object
            >>>>
                Array(4) {
                    [0] ByteString(len(cbor_serialize(protected))),  // CBOR serialized COSE protected header
                    >>>>
                        Map(1) {
                            unsigned(1)                              // key = 1 (alg)
                            negative(<val>)                          // value = Signing Algorithm (-7 for ES256, -35 for ES384, -36 for ES512)
                        }
                    <<<<
                    [1] Map(0),                                      // CBOR serialized COSE unprotected header (empty)
                    [2] BytesString(len(cbor_serialize(payload))),   // CBOR serialized COSE_Sign1 payload
                    >>>>
                        Map(2) {
                            [0] {
                                Text(14)                             // key = "register_index"
                                Unsigned(<idx>)                      // value = <idx> (Index of which PCR got signed)
                            },
                            [1] {
                                Text(14)                             // key = "register_value"
                                Array<Uint8>(48)                     // value = PCR<idx> value bytes
                            },
                        }
                    <<<<
                    [3] BytesString(len(<signature>))                // Signature bytes
                }
            <<<<
        }
    }
}

关于COSE Sign1的背景及其在EIF中的使用

COSE Sign1提供了一个签名结构，以便由单个签名者对消息进行签名

+-------------------------+-----------------+-------------------+
|      COSE Headers       |     Payload     |     Signature     |
+- - - - - - - - - - - - -+- - - - - - - - -+- - - - - - - - - -+
| protected | unprotected |    plaintext    |  signature bytes  |
+-------------------------+-----------------+-------------------+

COSE头部分为两个桶，受保护的桶包含签名层的元数据，该层是待签名数据的一部分（被签名所覆盖/保护），而未受保护的桶包含不参与签名的元数据。每个桶都是键值对的映射。有效载荷是待签名的明文数据。签名包含签名字节。

对于在EIF中的使用，COSE Sign1对象不同部分包含的数据如下

• COSE头部的受保护桶只包含一个键值对，用于标识所使用的签名算法。
• COSE头部的未受保护桶为空。
• 有效负载包含一个元组，描述了一个用于 EIF 文件的平台配置寄存器（PCR），具体来说是一个包含 PCR 索引及其值的二元组。（关于 PCR 的更多详细信息，请参见下文“EIF 测量”部分EIF 测量）。
• 签名包含使用以下 ECDSA 变体之一（ES256、ES384 和 ES512）对受保护的头和有效负载进行椭圆曲线数字签名算法（ECDSA）签名的签名。

EifSectionMetadata

在文件格式版本 4 中，将 EifSectionMetadata 部分引入为必选部分。该部分数据包含 JSON，描述了根据以下 JSON 模式生成 enclave 图像文件的构建环境。

{
    "$schema": "https://json-schema.fullstack.org.cn/draft/2020-12/schema",
    "$id": "https://github.com/aws/aws-nitro-enclaves-image-format",
    "title": "EIF Metadata Content",
    "description": "Format Content of EIFSection of type EifSectionMetadata",
    "type": "object",
    "properties": {
        "ImageName": {
            "type": "string",
            "description": "Name of the EIF image"
        },
        "ImageVersion": {
            "type": "string",
            "description": "EIF version for this image file"
        },
        "BuildMetadata": {
            "type": "object",
            "description": "Metadata on the build environment",
            "properties": {
                "BuildTime": {
                    "type": "string",
                    "description": "Time the image was build at"
                },
                "BuildTool": {
                    "type": "string",
                    "description": "Name of the tool that produced the image"
                },
                "BuildToolVersion": {
                    "type": "string",
                    "description": "Version of the tool that produced the image"
                },
                "OperatingSystem": {
                    "type": "string",
                    "description": "Name of the OS the image was build on"
                },
                "KernelVersion": {
                    "type": "string",
                    "description": "Kernel version of the build host"
                }
            },
            "required": [ "BuildTime", "BuildTool", "BuildToolVersion", "OperatingSystem", "KernelVersion" ]
        },
        "DockerInfo": {
            "type": "object",
            "description": "Metadata on the docker image this EIF was based on, as produced by `docker image inspect`"
        },
        "CustomMetadata": {
            "type": "object",
            "description": "Optional custom metadata to annotate the EIF with"
        }
    },
    "required": [ "ImageName", "ImageVersion", "BuildMetadata", "DockerInfo" ]
}

EifSectionMetadata 部分不是任何 enclave 测量的组成部分，并且 hypervisor 不会对其进行验证，仅检查其存在性，条件是文件格式版本为 4 或更高。

EIF 测量

Nitro Enclaves 包含证明其身份并与其他服务建立信任的认证机制。作为这些测量的组成部分，enclave 公开了一组平台配置寄存器（PCRs），每个 PCR 提供了有关 enclave 配置和代码的识别数据的哈希集合。对于 EIF 文件，有四个 PCR 描述了它。它们是 PCR0、PCR1、PCR2 和 PCR8。

PCR0                                  PCR1  PCR2  PCR8*
  |     +-------------------------+     |     |     |
  |     |        EifHeader        |     |     |     |
  |     +-------------------------+     |     |     |
  |     |   EifSectionHeader 0    |     |     |     |
  |     +-------------------------+     |     |     |
  +----<|      Kernel Image       |>----+     |     |
  |     +-------------------------+     |     |     |
  |     |   EifSectionHeader 1    |     |     |     |
  |     +-------------------------+     |     |     |
  +----<|      Kernel Cmdline     |>----+     |     |
  |     +-------------------------+     |     |     |
  |     |   EifSectionHeader 2    |     |     |     |
  |     +-------------------------+     |     |     |
  +----<|      Ramdisk (init)     |>----+     |     |
  |     +-------------------------+           |     |
  |     |   EifSectionHeader 3    |           |     |
  |     +-------------------------+           |     |
  +----<|     Ramdisk (user0)     |>----------+     |
  |     +-------------------------+           |     |
  |     |   EifSectionHeader 4    |           |     |
  |     +-------------------------+           |     |
  +----<|     Ramdisk (user1)     |>----------+     |
        +-------------------------+                 |
        |   EifSectionHeader 5    |                 |
        +-------------------------+                 |
        |      Signature Data     |>----------------+
        +-------------------------+
        |   EifSectionHeader 6    |
        +-------------------------+
        |         Metadata        |
        +-------------------------+

所有特定的 EIF PCR 都在包含固定初始状态和 EIF 特定部分的摘要的多级方案中计算。它们作为 sha384 消息摘要（在 RFC6234 中描述）计算，内容是 initial_digest 和 content_digest 的连接。

PCRX = sha384sum( initial_digest.content_digest )

initial_digest 对于所有 PCR 都是相同的，由 48 个零字节组成。而 content_digest 包含有关 EIF 不同部分的根据 PCR 的数据。

PCR0

PCR0 包含了影响 EIF 中代码运行的所有数据的测量。它包括对 EifSectionKernel、EifSectionCmdline 和 enclave 图像文件中按顺序出现的所有 EifSectionRamdisk 部分的连续数据的 sha384 消息摘要。对于 PCR0，这意味着 content_digest 的计算如下

content_digest[PCR0] = sha384sum( data(EifSectionKernel).data(EifSectionCmdline).data(EifSectionRamdisk[..]) )

注意：该计算中元素的顺序取决于 EIF 中部分的顺序。仅包含每个部分的计算，不包括头。

PCR1

PCR1 包含了影响 EIF 中引导和内核的所有数据的测量。它包括对 EifSectionKernel、EifSectionCmdline 和 enclave 图像文件中按顺序出现的第一个 EifSectionRamdisk 部分的连续数据的 sha384 消息摘要。对于 PCR1，这意味着 content_digest 的计算如下

content_digest[PCR1] = sha384sum( data(EifSectionKernel).data(EifSectionCmdline).data(EifSectionRamdiks[0]) )

注意：该计算中元素的顺序取决于 EIF 中部分的顺序。仅包含每个部分的计算，不包括头。

PCR2

PCR2 包含了影响 EIF 中用户应用程序的所有数据的测量。它包括对 excluding the first EifSectionRamdisk 部分的所有 EifSectionRamdisk 部分的连续数据的 sha384 消息摘要。对于 PCR2，这意味着 content_digest 的计算如下

content_digest[PCR2] = sha384sum( data(EifSectionRamdisk[1..]) )

注意：该计算中元素的顺序取决于 EIF 中部分的顺序。仅包含每个部分的计算，不包括头。

PCR8

PCR8 只有当 EifSectionSignature 部分是 enclave 图像文件的一部分时才会填充。在这种情况下，PCR8 包含了用于签名 PCR0 并包含在 EifSectionSignature 中的证书的 DER 表示形式的度量。对于 PCR8 这意味着 content_digest 的计算方法如下：

content_digest[PCR8] = sha384sum( signing_certificate_in_DER )