该论文关注机密虚拟机（Confidential VM，CVM）场景下既有 TLS 服务的会话证明（session attestation）难题。当把现有服务迁移进可信执行环境（TEE）后，若要向对端证明这条 TLS 连接确实终止于一个经过远程证明的可信环境，传统做法往往需要改动应用程序、替换 TLS 实现或重新签发证书，迁移成本高且兼容性差。作者提出 SessionLatch，目标是在完全不修改应用、TLS 库与证书三者的前提下提供会话级证明。其核心洞察是：只要能可信地观测到服务器本地生成的临时公钥（ephemeral public key），再结合 TLS 标准的密钥确认（key confirmation）流程，就足以建立 TEE 端点保证，而无需访问或导出任何 TLS 会话机密。基于此，作者把证明集成下沉到操作系统层：设置一个临时 latch 暂存客户端的加密记录，使证据交换与应用自身的 TLS 握手并行重叠，验证完成后 latch 自行移除，连接随即回到原生 TLS 数据路径，不引入额外的载荷加密，并完整保留企业原有的服务认证机制。双向证明复用同一构造，两端并行生成证据。作者完成了 Linux 与 Windows 集成，并在真实 Hygon CSV 证明环境上评估，交错 Linux/Windows 实验中短上传平均时延相较 TNG 分别降低 63.1% 与 23.0%。结果说明，会话证明可以在不把永久代理塞进数据路径的前提下增强既有机密服务。