【机密计算顶会解读】10：WAVEN——用于 Enclaves 的 WebAssembly 内存虚拟化

导读：抖音集团安全研究团队和南方科技大学可信系统安全实验室合作的研究论文《WAVEN: WebAssembly Memory Virtualization for Enclaves》，于近日入选信息安全领域国际顶会NDSS 2025。本次入选的研究论文聚焦于为运行在可信执行环境（TEE）内的WebAssembly（Wasm）运行时设计一套适合机密计算的内存管理方案，以实现机密计算环境中Wasm模块之间的高效数据共享，并支持细粒度的内存访问控制。

原文链接：WAVEN: WebAssembly Memory Virtualization for Enclaves - NDSS Symposium

一、研究背景

可信执行环境（TrustedExecution Environments, TEEs）是一种硬件扩展，为机密应用程序提供了名为飞地（enclave）的安全容器，能够有效保护私有数据及计算的机密性和完整性。英特尔SGX是目前广泛部署的TEE之一，其成功极大地推动了机密计算范式的发展，并为WebAssembly（Wasm）带来了新的机遇。

Wasm是一种新的可移植、轻量级的二进制格式，也是许多高级语言（如C、C++和Rust等）的编译目标。用其他语言编写的程序首先被编译成Wasm格式，然后可以在Wasm运行时中作为模块执行。通过强制每个模块只能访问其自己的内存区域，Wasm为不受信任的代码提供了一个安全的沙箱执行环境，这是其最显著的安全特性。由于机密计算平台需要同时执行来自多个用户的不可信代码，因此需要在飞地内实现多租户和隔离功能，而这正是Wasm所提供的。

Wasm和TEE的结合实现了飞地内多租户隔离，使得这一搭配非常适合机密计算场景。