Contexto e Propósito: Há muitos tipos de segredos dentro de um rack Oxide. Na base do sistema temos as chaves Device Id e Alias armazenadas no Ro T e usadas para identidade de plataforma e assinatura de ateste respectivamente [RFD 36]. Estas chaves juntamente com um terceiro par de chaves Ro T hospedado usado para autenticar acordo Diffie-Hellman efêmero fornecem aos sleds a capacidade de formar sessões sprockets seguras para mensagens da camada de aplicação [RFD 238].

Estas sessões sprockets fornecem a cada sled a capacidade de compartilhar informações de forma ponto a ponto, onde a integridade das mensagens é protegida, a autenticidade do ponto final é garantida e a atestação de seu software em execução é garantida. Para fornecer garantias de segurança a nível de rack de modo que um atacante não possa andar de um subconjunto de sleds ou drives e recuperar qualquer informação útil, projetamos um Trust Quorum [RFD 238]. O mecanismo de proteção principal por trás do trust quorum é o compartilhamento secreto de Shamir.

Um segredo a nível de rack usado como fonte de derivação de outras chaves usadas para proteger armazenamento em repouso. O segredo a nível de rack é dividido em N shares únicas por um processo de dealer e distribuído sobre sessões sprockets a cada agente de bootstrap juntamente com as identidades de plataforma únicas dos N membros do trust quorum. Estas identidades de plataforma são gravadas nos certificados de chave pública no Ro T para permitir a verificação de que uma entidade é quem diz que é.

Após a distribuição dessa informação, os agentes de bootstrap podem estabelecer conexões sprockets com outros agentes de bootstrap, verificar a membresia do grupo (via certificados trocados), e recuperar K-1 shares de outros agents de modo que possam reconstruir o segredo a nível de rack de K shares. Importante, sem obter K shares, nenhuma informação sobre o segredo a nível de rack pode ser aprendida. Como descrito em [RFD 238], shares individuais são armazenados não criptografados nos M.2 drives de cada sled.

Um atacante teria que roubar pelo menos K desses drives para reconstruir o segredo a nível de rack, o que é infatigável sem um tempo significativo e interrupção física durante o acesso. No futuro planeamos "selar" esses segredos com a ajuda de nosso root of trust (Ro T) de modo que eles só sejam descriptos na inicialização do sled. Selar significaria que um atacante teria que roubar K sleds completos e ser capaz de iniciá-los para recuperar o segredo a nível de rack.

O peso de K sleds torna isso proibitivo para um atacante casual.