一、引言多域密文协作中的密钥协同难题联邦学习的核心约束是数据不动模型动——各参与方在自己的可信域内持有原始数据只交换模型梯度或中间参数。机密计算进一步把运算放进可信执行环境TEE让明文仅在硬件隔离区内短暂出现。两类技术叠加后安全假设从网络边界升级为芯片边界。但正是这种升级把密钥管理的复杂度推到一个新量级。问题不在于单点加密而在于多方之间的密钥如何协同。我们可以把痛点拆成四个具体问题。第一密钥释放的对象是谁。在普通数据中心密钥服务信任的是进程身份在 TEE 里密钥服务必须信任的是一段经过验证的代码镜像——也就是远程证明remote attestation给出的度量值measurement。如果密钥仍然按 IP 或证书粒度释放攻击者拿到同一台物理机的另一个进程就能骗取密钥。第二根密钥不能集中。联邦学习的参与方彼此不互信没有哪一方愿意把主密钥交到别人手里。于是密钥必须以分片形式分散持有任何单一参与方都无法独立完成解密只有达到门限threshold的多方协作才能重建或使用密钥。第三解密结果要可验证。多方协作解密后协作方之一或聚合方可能提交错误的部分解密导致最终明文被悄悄篡改而不被发现。可验证解密verifiable decryption要求每一份部分解密都附带零知识证据组合方可以先验后合。第四跨域授权要可撤销、可界定作用域。一方向另一方临时授权用密钥做一次聚合运算不等于把密钥交出去授权必须有明确的作用域、有效期与用途约束且到期或出事能立刻收回。把这四个问题合在一起就是多方密文协作下的密钥协同。下面从原理到工程逐步拆解。二、原理剖析2.1 机密计算与 TEE 远程证明TEE 提供一组硬件保障隔离的执行容器、对容器初始状态的度量和签名、以及只有容器内代码才能解密的密封sealing“密钥。远程证明让远程方比如密钥服务确认我正在和一个运行了特定代码的干净环境对话”。以 Intel SGX 为例证明流程包含三层度量MRENCLAVE : enclave 代码与初始数据哈希代码身份 MR SIGNER : 签名者公钥哈希发布者身份 MISCSELECT: 扩展属性位 证明链 enclave 生成 report含 MRENCLAVE - quoting enclave 用 EREPORT 换 quote - quote 由 CPU 固化密钥签名 - 远程方用 Intel 根 CA 校验 quote 合法性密钥服务真正校验的是MRENCLAVE是否落在白名单里。也就是说密钥释放不是发给某台机器而是发给某段已验证的代码。一旦代码被改动度量值变化证明失败密钥不释放。这是机密计算区别于传统远程接入授权的根本点信任锚从网络位置转移到代码度量。2.2 密钥随工作负载释放workload-bound key release传统密钥分发把密钥加密后推送给客户端客户端在自己进程里解密使用。这在 TEE 场景下有隐患明文密钥会短暂出现在不可信的客户端内存。更优的做法是密钥随工作负载释放——密钥服务在验证 TEE 度量后只把会话密钥以密封形式下发密封绑定到该 enclave 的MRENCLAVE与MRSIGNER落到别的进程或别的代码版本上无法解封。// 伪代码密钥服务侧校验远程证明后释放密封密钥funcReleaseSealedKey(quote[]byte,policy AttestationPolicy)(sealedKey[]byte,errerror){report,err:verifyQuote(quote)// 校验 quote 签名链iferr!nil{returnnil,err}if!policy.AllowMRENCLAVE(report.MRENCLAVE){// 白名单比对returnnil,ErrUntrustedEnclave}rawKey:hsm.UnwrapSessionKey(report.SessionHandle)// HSM 内解出会话密钥// 用 enclave 公钥密封仅该 enclave 可解sealedKey,errsealWithEnclavePubKey(rawKey,report.MRENCLAVE)returnsealedKey,err}注意上面hsm.UnwrapSessionKey根密钥始终留在 HSM 内密钥服务只是请 HSM 完成解封—再密封的域内运算根密钥从不以明文离开硬件。这与HSM 密钥永不明文导出的底线一致。2.3 门限密钥分片threshold secret sharing联邦学习中常见的做法是把主密钥按 Shamir 门限方案分成 n 份任意 t 份即可重建(t,n) 门限。方案基于多项式插值# 简化示意Shamir (t,n) 分片与重建importrandomdefsplit_secret(secret:int,t:int,n:int,p:int)-list:# p 为大素数构造 t-1 次随机多项式 f(0)secretcoeffs[secret][random.randrange(1,p)for_inrange(t-1)]shares[(i,sum(c*(i**k)%pfork,cinenumerate(coeffs))%p)foriinrange(1,n1)]returnsharesdefreconstruct(shares:list,p:int)-int:# 拉格朗日插值还原 f(0)secret0fori,yiinshares:num,den1,1forj,yjinshares:ifij:continuenum(num*(-j))%p den(den*(i-j))%p secret(secretyi*num*pow(den,-1,p))%preturnsecret分片的关键性质是信息论安全少于 t 份对还原密钥毫无帮助。在联邦学习里t 通常取 n 的多数如 5 方中 t3既防止单方作恶又能容忍少量参与方掉线。但分片有一个工程上极易踩的坑分片本身不等于分布式密钥使用。如果把分片在每个参与方本地重建出明文主密钥那么多方不互信的假设就被破坏了——重建出来的那份明文密钥反而成了新的单点。正确做法是把分片运算放进 MPC 或 TEE让重建这一步也永不产出明文主密钥只产出一次性的会话解密结果。2.4 可验证解密verifiable decryption多方向聚合方提交部分解密时聚合方如何确认每份都没被篡改以 ElGamal 类同态加密为例解密方对每个密文 C 提交部分解密D_i C_i^{sk_i}并附带 Chaum-Pedersen 零知识证明证明D_i确实由对应私钥份额算出且log_g(D_i) log_{C_i}(D_i^{?})关系成立。单个参与方 i 提交 partial_i Enc^{sk_i} // 部分解密 proof_i NIZK{(sk_i): g^{sk_i}pk_i ∧ C^{sk_i}partial_i} 聚合方先验证 proof_i全部通过再组合 M ∏ partial_i → 还原明文或明文份额可验证解密的价值在于把信任从参与方品德转移到密码学证据。哪怕某方提交假的部分解密聚合方在组合前就能识别并剔除不会让错误静默混入最终结果。这对联邦学习的聚合服务器尤为重要——它未必信任任何单个参与方。2.5 密文计算在不出明文的前提下完成运算机密计算与联邦学习天然契合因为二者都追求明文不离开信任边界。在 TEE 内做密文聚合时梯度或模型参数可以是同态加密密文TEE 持有解密能力后在隔离区内完成加权平均只把聚合结果或其密文传出。这里密钥的角色是运算许可没有经证明授权的 TEE密文无法被解开参与运算有了许可明文也只在硬件隔离区短暂存在落盘即密文。下表对比集中式密钥管理与门限/MPC 协同的差异便于判断何时需要后者。维度集中式密钥管理门限/MPC 密钥协同信任假设信任单一 KMS/HSM不信任任何单一方单点风险根密钥集中泄露即全局失守需 t 份才可用单点泄露无影响适用场景单组织内数据加密跨组织联邦学习、多方联合建模解密可验证性依赖服务自身保证每份部分解密附零知识证明运维复杂度低高需协调多方合规举证单点日志多方签名 证明链2.6 密钥轮转在分片体系下的特殊约束普通单点密钥轮转只需在 KMS 内换一把新密钥并重加密数据。但在门限分片体系里轮转意味着重新分片而非替换一把钥匙旧主密钥若仍有历史密文归档态密文需要长期可解就不能简单销毁而要进入归档并保留分片新主密钥则按新的 (t,n) 重新分片下发。这里最容易出错的是半轮换——部分参与方拿到了新分片另一部分仍用旧分片聚合时混用导致门限无法凑齐。规避方法是把轮转做成一个带版本号的协同事务先在密钥服务登记新密钥版本与分片映射再要求所有 n 方确认收到新份额并回执全部确认后才把旧版本标记为非活跃。任何一方的回执缺失都使轮转回滚避免分裂状态。同时归档态的旧主密钥分片应按仅历史解密的用途约束收口禁止其参与新的聚合运算防止新旧密钥作用域交叉。2.7 防重放与票据一次性跨方授权票据如果被截获并重放攻击方可能用同一票据反复触发聚合解密。由于票据绑定 enclave 度量与时效单纯重放会被时效拦截但分钟级窗口内仍存在风险。更稳妥的做法是给票据附加单调序号或一次性 nonce密钥服务维护已消费票据的集合重复提交直接拒绝。这与 3.2 策略里的max_uses: 1互为表里策略声明单次服务端状态机强制单次两者共同消除重放空间。三、架构与流程下面用文字序列与表格描述一个跨方密文聚合 TEE 密钥释放的典型流程不依赖外部图示。3.1 一次联邦聚合回合的密钥协同序列参与方A/B/C 聚合/密钥服务 HSM集群 TEE(enclave) | | | | |--训练本地模型, 梯度加密---| | | | 密文梯度到达聚合服务 | | |--请求释放聚合密钥--------| | |--密封会话密钥(绑MRENCLAVE)| | |--------密封密钥----------| 推送给 TEE | | | |--解封, 在隔离区内解密梯度 | | | |--加权聚合(明文仅存于隔离区) | |--聚合结果密文------------| |--聚合结果密文(各自可分片解密)----------| |--提交部分解密份额证明--| | | |--验证每份证明, 组合解密--| |------------最终全局模型(密文/明文)-----|流程里有两个信任交汇点一是密钥服务只在 TEE 度量校验通过后释放密封密钥二是聚合结果的跨方解密采用分片 可验证证明任何单方无法独自还原任何单方作伪都能被识破。3.2 密钥分片授权策略示例跨方授权不应是把密钥给对方而是给对方一个带约束的使用票据。下面用一段配置描述门限授权策略policy:key_id:fed-agg-root-2026threshold:3# 需要至少 3 份份额total_shares:5# 总共 5 方持有purpose:federated_aggregate# 用途限定scope:allowed_enclave_mrenclave:[ab12...,cd34...]allowed_operation:[partial_decrypt,aggregate]constraints:max_uses:1# 单次授权仅用一次not_before:2026-05-27T00:00:00Znot_after:2026-05-27T02:00:00Zrevocable:true# 可撤销approval:required_signers:3# 至少 3 方管理员签名这段策略把谁、在什么 enclave、能做什么、做几次、到什么时候、能否撤回全部显式化。授权票据由多方签名生效密钥服务在每次调用时回验作用域与时效越界即拒。四、落地实践4.1 与 HSM 协同为 TEE 释放密钥当业务把聚合运算放进 TEE密钥服务不能沿用传统的按证书放行。实际落地时要把根密钥锁在 HSM 内密钥服务只做验证证明 请 HSM 域内运算 下发密封结果三件事。以安当KSP为例其以 HSM 为基座的商用密码基础设施密钥生成、存储、激活、更新、归档、注销、销毁的全生命周期都在硬件信任根内闭环根密钥永不明文导出。在 TEE 释放场景里KSP 接收远程证明 quote比对MRENCLAVE白名单再请 HSM 完成解封会话密钥—以 enclave 公钥重密封的域内动作最终下发的只是一段绑定代码度量的密封密文。即便传输链路被截获落到非授权进程上也解不开。这种密钥随工作负载释放的闭环把机密计算的信任锚从网络位置收敛到芯片度量。4.2 跨方密钥分片授权多家机构联合建模时没有一方愿意交出主密钥。实践上采用 (t,n) 门限把聚合主密钥在 KSP 的 HSM 内完成分片分片运算本身不出硬件各参与方仅持有份额句柄真正的重建只在 MPC 或 TEE 内发生且永不产生明文主密钥只产出一次性聚合解密结果。以安当KSP为例其支持国密 SM2/SM3/SM4 与国际 AES/RSA/ECC/SHA并预留后量子密码PQC Kyber/Dilithium算法密钥分片与门限运算可在这几类算法间统一调度多租户隔离保证各参与方的密钥份额在命名空间层面彼此不可见避免一方份额泄露波及他方。配合 RESTful API 与 Java/Go/C 多语言 SDK参与方可以在自己的可信域内以原生代码调用分片授权与部分解密接口无需把密钥材料搬运出域。4.3 远程接入场景下的通道约束跨机构的密钥协同往往涉及远程接入参与方在各自机房经认证网关访问密钥服务的接口。这里的重点是证明在前、密钥在后——任何远程调用都必须先提交有效的 TEE 证明或机构签名票据密钥服务才执行域内运算。通道本身采用双向认证与传输加密但信任判定不依赖通道而依赖证明与策略。如此即便远程接入路径发生中间人攻击者也拿不到可用密钥。五、关键参数、性能与合规5.1 典型参数与选型参数建议取值说明门限 (t,n)(3,5) 或 (4,7)容忍少数方掉线或作恶度量白名单MRENCLAVE MRSIGNER精确到代码镜像与发布者密封算法SM4/RSA-OAEP enclave 公钥绑定隔离区身份授权时效分钟级单次回合越短越安全避免票据滞留零知识证明Chaum-Pedersen / 等价结构用于部分解密可验证密钥生命周期符合 GM/T 0051 七态生成→存储→激活→更新→归档→注销→销毁5.2 性能考量门限解密的主要开销在两部分零知识证明的生成与验证以及 MPC/TEE 内的协同通信。单份 Chaum-Pedersen 证明在普通服务端验证约亚毫秒级验证全部份额的耗时随参与方数量线性增长TEE 内的解密与聚合受 enclave 内存与页换出限制大体积梯度建议先做量化压缩再入隔离区。工程上常用边聚合边验证的流水线掩盖证明验证延迟使加解密不再是回合瓶颈。5.3 合规视角密钥全生命周期满足 GM/T 0051 的七态迁移使销毁、归档、注销等动作可记录、可追踪。国密算法SM1/SM2/SM3/SM4覆盖对称、非对称与摘要配合国际算法与后量子算法的并存能够应对密评合规对算法合规性与长期安全性的双重要求。多方分片授权天然满足密钥不集中于单一方的隔离诉求在跨机构场景下减少了密钥集中托管带来的合规阻力。六、常见坑与排查坑一把分片在本地重建明文主密钥。这是最典型的分片形同虚设。排查方法审计参与方代码确认是否存在reconstruct(shares)后把结果落内存或落盘的逻辑。正确做法是分片运算只发生在 MPC/TEE 内重建结果即一次性产物不回写。坑二远程证明只校验一次。部分实现在连接建立时校验 quote之后长期复用会话。一旦 enclave 被重启或代码更新度量变化却未被重新校验。排查检查密钥释放路径是否在每次使用密钥前都重新走证明而非只在建连时走一次。坑三授权票据无时效或时效过长。持久票据一旦泄露攻击窗口很大。排查检查策略里的not_after是否为单次回合级别且max_uses是否限制为 1。坑四部分解密未附证明就直接组合。这会丧失可验证性错误静默混入。排查聚合服务应拒绝任何缺少proof_i的份额并在组合前统一验证验证失败即剔除并告警。坑五跨租户命名空间混淆。多方共用一套密钥服务时若份额句柄未带租户命名空间可能越权。排查确认密钥标识带tenant/keyId前缀且 HSM 槽位做逻辑隔离抽样验证一方份额无法在他方域解密。坑六忽略后量子过渡。长期存储的密文若只用传统算法未来面临量子破解风险。排查评估是否对留存期长的数据启用 PQC 算法或混合密钥避免密钥协同链路出现算法短板。七、小结要点把上述机制串起来多方密文协作下的密钥协同可以归纳为三条主线信任锚从网络位置转移到 TEE 度量根密钥通过 HSM 永不落明文的域内运算参与分片与释放跨方解密靠门限 零知识证明实现可协作且可验证。这三条线共同解决了数据不出域却要联合建模下的密钥如何安全协同这一核心问题。方案参考多方密文协作下的密钥协同本质是把跨组织互信难题转化为密码学证据 硬件信任根的工程问题。落地时可遵循一套与具体产品形态无关的通用方法论第一先确定信任锚。在机密计算场景密钥释放应绑定 TEE 度量MRENCLAVE/MRSIGNER而非网络位置或简单证书做到发给代码而非发给机器。每次使用密钥前重新校验远程证明避免建连一次性校验的漏洞。第二把根密钥锁进硬件信任根。根密钥应在 HSM 内生成与存储永不明文导出密钥服务只负责验证策略与请 HSM 完成域内运算。分片、释放、重密封等敏感动作都应在硬件边界内闭环收敛泄露面。第三用门限方案替代密钥集中。对不互信的多方采用 (t,n) 分片使单点泄露无影响但分片运算要放进 MPC 或 TEE避免本地重建出明文主密钥而前功尽弃。第四让解密可验证。要求每一份部分解密附带零知识证明聚合方先验后合把信任从参与方品德迁移到密码学证据防止错误静默混入最终结果。第五授权显式化、可撤销。跨方授权以带约束的票据表达——用途、作用域、 enclave 白名单、次数、时效、可撤销均由策略描述并在每次调用回验杜绝授权即交出密钥的粗放做法。第六密钥全生命周期与合规对齐。遵循 GM/T 0051 的七态迁移使生成、存储、激活、更新、归档、注销、销毁各阶段可记录国密与国际算法并存并预留后量子过渡满足密评对算法合规与长期安全的要求。第七多租户与远程接入隔离。密钥标识带租户命名空间HSM 槽位逻辑隔离确保一方密钥操作不波及他方跨机构经认证网关远程接入时坚持证明在前、密钥在后信任判定不依赖传输通道。安当KSP 作为以 HSM 为基座的商用密码基础设施提供了密钥全生命周期管理与 TDE、KADP、KTM、DBG、RDM、CA、SMS、CKMS 等八类加密组件支持国密与国际及后量子算法、多语言 SDK 与多租户隔离可作为上述方法论在工程侧的承载底座之一。但方法论本身是通用的无论采用哪套密钥管理产品只要守住度量信任锚、硬件信任根、门限分片、可验证解密、显式授权五条原则就能在联邦学习与机密计算的密文协作中建立起可举证、可追责的密钥协同体系。