Linux虚拟机TCB状态查询、版本查看及启用方法咨询

1. 检查TCB是否已启用 #

TCB的启用状态与SGX组件的正常运行强绑定，可通过以下方式验证：

• 使用Intel官方工具sgx-detect直接检测：

  sgx-detect
  

  输出中若出现SGX TCB Status: Up-to-date或类似确认TCB生效的内容，即为已启用；若提示TCB未配置、组件缺失，则未启用。
• 检查SGX设备节点：

  ls /dev/sgx*
  

  若存在/dev/sgx_enclave和/dev/sgx_provision，说明SGX硬件层面已就绪，TCB的软件组件可正常运行。
• 确认虚拟机已获得SGX透传：

  cat /proc/cpuinfo | grep sgx
  

  输出包含sgx标识，说明宿主机已将SGX功能透传到虚拟机（这是虚拟机启用TCB的核心前提）。

2. 查看TCB版本 #

TCB版本由其包含的驱动、固件、SDK等组件版本共同构成，可通过以下命令查看：

• 用sgx-detect查看完整TCB信息：

  sgx-detect --verbose
  

  详细输出会列出TCB各组件的具体版本号。
• 查看SGX驱动版本：

  modinfo sgx_enclave
  

  输出中的version字段即为驱动版本，属于TCB核心组件。
• 查看SGX固件版本：

  dmesg | grep SGX
  

  日志中会显示类似SGX firmware version: x.x.x的内容。

3. 未启用时的安装与启用步骤 #

TCB是硬件、固件、软件的集合，需按以下步骤完成配置：

前置：宿主机SGX透传配置 #

虚拟机无法单独启用SGX，必须先在宿主机完成以下操作：

1. 进入宿主机BIOS，在Security菜单中开启SGX（选项通常为Enabled或Software Controlled）。
2. 宿主机加载SGX驱动：

   sudo modprobe sgx_enclave sgx_provision
   

3. 配置虚拟机透传SGX：
   • 若使用KVM，在虚拟机XML配置中添加：

     <cpu mode='host-passthrough' check='partial'>
       <feature policy='require' name='sgx'/>
     </cpu>
     

   • 或通过virt-manager图形界面，在CPU配置页勾选SGX选项。

虚拟机内安装SGX组件（TCB软件部分） #

以Ubuntu系统为例：

1. 添加Intel SGX官方软件源：

   echo "deb [arch=amd64] https://download.01.org/intel-sgx/sgx_repo/ubuntu $(lsb_release -cs) main" | sudo tee /etc/apt/sources.list.d/intel-sgx.list
   wget -qO - https://download.01.org/intel-sgx/sgx_repo/ubuntu/intel-sgx-deb.key | sudo apt-key add -
   sudo apt update
   

2. 安装SGX驱动、SDK及DCAP工具：

   sudo apt install sgx-dkms sgx-sdk sgx-dcap-quoting-libs sgx-detect
   

3. 加载SGX驱动：

   sudo modprobe sgx_enclave sgx_provision
   

4. 验证：执行sgx-detect，确认TCB状态显示为已启用。

内容的提问来源于stack exchange，提问作者sama