背景与目的：氧化机架中有多种类型的密钥。在系统底层，我们有存储在Ro T上的Device Id和Alias密钥，分别用于平台身份和用于证明的签名[RFD 36]。这些密钥加上第三个存储在Ro T上的密钥对，用于认证临时Diffie-Hellman协议，从而使sled能够为应用层消息形成安全的sprocket会话[sprocket 238]。这些sprocket会话为每个sled提供了通过点对点方式机密共享信息的能力，其中消息的完整性受到保护，端点的真实性得到保证，其运行软件的证明也得到保证。为了提供机架级安全保证，确保攻击者无法带走一部分sled或驱动器并恢复任何有用信息，我们设计了一个Trust Quorum[RFD 238]。Trust Quorum的主要保护机制是 Shamir 秘密共享。一种用于派生其他用于保护静态存储键的密钥派生源的机架级秘密。该秘密由经销商过程拆分为N个唯一的密钥分片，并通过sprocket会话分发给每个引导代理，同时还包括N个Trust Quorum成员的唯一平台身份。这些平台身份被烘烤在Ro T上的公钥证书中，以允许验证实体就是他们声称的那样。在分发此信息后，引导代理可以建立与其他引导代理的sprocket连接，通过交换的证书验证组内的成员资格，并从其他代理检索K-1个分片，以便重构机架秘密。重要的是，在获取K个分片之前，无法了解关于机架秘密的任何信息。如[RFD 238]所述，单个分片以未加密的形式存储在每个sled的M.2驱动器上。攻击者必须至少盗取K个驱动器才能重构机架秘密，这在没有显著时间和物理访问中断的情况下是不可行的。未来我们计划“封存”这些秘密，借助我们的根信任(Ro T)，确保它们仅在sled启动时解密。封存的意思是攻击者必须盗取K个完整的sled并能够启动它们以恢复机架秘密。K个sled的重量使得对普通攻击者具有威慑作用。