如何获取Intel SGX Root Key以实现SGX签名的长期公开验证

首先明确核心前提：Intel SGX Root Key对应的根私钥存储在Intel离线硬件安全模块中，永远不会对外公开，公开可获取的只有与该私钥配对的根公钥，该公钥封装在标准X.509格式的SGX根CA证书内，不存在单独发布裸公钥文本的官方入口，正规获取路径如下：

• 随Intel官方发布的SGX DCAP（数据中心认证基元）组件、SGX SDK安装包分发：安装官方原版DCAP组件后，SGX根CA证书会默认部署到系统可信证书存储目录、以及DCAP自带的信任证书目录下。Intel会在公开的SGX安全规范文档中公示该根证书的SHA-256指纹、公钥哈希值，你可以交叉比对校验拿到的证书是否被篡改。
• 不需要手动硬编码根公钥值实现校验：Intel官方开源的Quote Verification Library（Quote验证库）已经内置了根证书的可信校验逻辑，你只要使用经过完整性校验的官方原版验证库，就能自动完成从根CA到中间层密钥（K1、K2…）、一次性密钥Y，再到声明X签名的全链路校验。手动实现证书链校验很容易引入逻辑漏洞，不推荐自行开发。

你描述的信任链结构如下：

R -> K1 -> K2 -> ... -> Y -> X ("operation = A ; result = B")

针对你提到的1年期独立存储、离线验证的场景，有两个关键注意事项：

不要只单独存储声明X，否则后续大概率会出现验证失败的问题。你需要把以下材料和X绑定存储，才能保证长期离线可验证：

• 生成声明时对应的完整SGX Quote二进制内容
• 生成Quote时刻的完整SGX PKI证书链（从根CA到签名密钥Y的所有中间层证书）
• 对应时段Intel发布的SGX证书吊销列表（CRL）
• 一次性密钥Y对声明X的签名值

• SGX根CA证书是长期有效的，但中间层CA证书会定期轮换，也存在因安全问题被吊销的可能。如果只存X不存当时的完整证书链和吊销列表，1年后验证时旧的中间证书可能已经被官方轮换下线，就算拿到最新的根证书也没法完成信任链回溯校验。

内容的提问来源于stack exchange，提问作者stanislav-iablokov