TEE(Trusted Execution Environment)，可信執(zhí)行環(huán)境，該環(huán)境可以保證不被常規(guī)操作系統(tǒng)干擾的計(jì)算，因此稱為”可信”。這是通過創(chuàng)建一個(gè)可以在TrustZone的”安全世界”中獨(dú)立運(yùn)行的小型操作系統(tǒng)實(shí)現(xiàn)的，該操作系統(tǒng)以系統(tǒng)調(diào)用(由TrustZone內(nèi)核直接處理)的方式直接提供少數(shù)的服務(wù)。另外，TrustZone內(nèi)核可以安全加載并執(zhí)行小程序”Trustlets”，以便在擴(kuò)展模型中添加”可信”功能。Trustlets程序可以為不安全(普通世界)的操作系統(tǒng)(如Android)提供安全的服務(wù)。

TEE通常用于運(yùn)行關(guān)鍵的操作：(1)、移動(dòng)支付：指紋驗(yàn)證、PIN碼輸入等；(2)、機(jī)密數(shù)據(jù)：私鑰、證書等的安全存儲(chǔ)；(3)、內(nèi)容包括：DRM(數(shù)字版權(quán)保護(hù))等。

TEE已經(jīng)成為生物識(shí)別設(shè)備的標(biāo)配：使用TEE來隔離指紋的采集、存儲(chǔ)、驗(yàn)證等過程。即使手機(jī)被越獄或Root，攻擊者也無法獲取指紋數(shù)據(jù)。

TEE內(nèi)部運(yùn)行一個(gè)完整的操作系統(tǒng)，與REE(如Android)隔離運(yùn)行，TEE與REE通過共享內(nèi)存進(jìn)行交互：OS間/應(yīng)用間。

TEE內(nèi)部也分為內(nèi)核態(tài)與用戶態(tài)，TEE的用戶態(tài)可以運(yùn)行多個(gè)不同的安全應(yīng)用(TA)。

TEE包含：Secure SO+ 中間件 + 安全應(yīng)用 + 外部交互。

TEE三層架構(gòu)：TA(Trusted Application)層：可信錢包、TUI；TEE層：安全操作系統(tǒng)，對(duì)上層TA提供的庫；硬件層：CPU狀態(tài)隔離、內(nèi)存隔離、外設(shè)隔離，如下圖：

TEE并不僅僅是指紋保護(hù)，指紋目前是TEE推廣的強(qiáng)大動(dòng)力，解鎖、手機(jī)支付是主要應(yīng)用場(chǎng)景。

TEE并不僅僅在手機(jī)端，從手機(jī)端到云端都有TEE：ARM：TrustZone; X86: VT-x和SGX。TEE并不是全新的概念，本質(zhì)就是一種基于硬件的隔離。

TEE并不是100%都安全，關(guān)于TEE的CVE開始出現(xiàn)，各家實(shí)現(xiàn)的TEE良莠不齊。

TEE的目的是增強(qiáng)移動(dòng)設(shè)備的安全特性，包括軟件編程接口、硬件IP在內(nèi)的一整套方案。芯片在軟件和硬件上，有REE和TEE兩個(gè)區(qū)域，分別對(duì)應(yīng)富執(zhí)行環(huán)境和可信執(zhí)行環(huán)境。其主要思想就是在同一個(gè)CPU芯片上，通過硬件配置方式實(shí)現(xiàn)不同IP組件的訪問控制，從而提供一個(gè)完全隔離的運(yùn)行空間。ARM在芯片IP設(shè)計(jì)中已經(jīng)全面支持了TEE，包括高通、聯(lián)發(fā)科、三星、海思、展訊等都紛紛采用，成為基于硬件安全的主流方案。

TEE是和REE(Rich Execution Environment)相對(duì)應(yīng)的，一般稱TEE和REE為Secure World和Normal World。Linux跑在Normal World上，但是有些安全性要求比較高的行為，例如指紋的比對(duì)，支付時(shí)候用私鑰簽名的動(dòng)作等，需要放到Secure World里面去。

TEE具有其自身的執(zhí)行空間，也就是說在TEE的環(huán)境下也要有一個(gè)操作系統(tǒng)。TEE環(huán)境比Rich OS(普通操作系統(tǒng))的安全級(jí)別更高，但是比起安全元件(SE，通常是智能卡)的安全性要低一些;另一方面，加入TEE的成本增加比較低，SE的成本則更高。TEE所能訪問的軟硬件資源是與Rich OS分離的。TEE提供了授權(quán)安全軟件(TrustApp可信應(yīng)用，簡稱TA)的安全執(zhí)行環(huán)境，同時(shí)也保護(hù)TA的資源和數(shù)據(jù)的保密性、完整性和訪問權(quán)限。為了保證TEE本身的可信根，TEE在安全啟動(dòng)過程中是要通過驗(yàn)證并且與Rich OS隔離的。在TEE中，每個(gè)TA是相互獨(dú)立的，而且不能在未授權(quán)的情況下互相訪問。簡而言之就是在TEE環(huán)境的操作系統(tǒng)上同樣有相應(yīng)的應(yīng)用程序(TA)，除了TEE的運(yùn)行環(huán)境與普通操作系統(tǒng)相互獨(dú)立外，TEE里的每一個(gè)TA也是需要授權(quán)并相互獨(dú)立運(yùn)行的。

基于TEE環(huán)境的操作系統(tǒng)由不同的企業(yè)在推行，例如華為海思有自己的TrustZone的操作系統(tǒng)，高通的QSEE、ARM的Trustonic、還有Linaro開源的OPTEE等。

TEE最早出于OMTP規(guī)范，ARM是TEE技術(shù)的主導(dǎo)者之一，其TrustZone即是支持TEE技術(shù)的產(chǎn)品。

2006年，OMTP (Open Mobile Terminal Platform，開放移動(dòng)終端平臺(tái))工作組智能終端的安全率先提出了一種雙系統(tǒng)解決方案：即在同一個(gè)智能終端下，除了多媒體操作系統(tǒng)外再提供一個(gè)隔離的安全操作系統(tǒng)，這一運(yùn)行在隔離的硬件之上的隔離安全操作系統(tǒng)用來專門處理敏感信息以保證信息的安全。該方案即TEE的前身。

基于OMTP的方案，ARM公司(嵌入式處理器的全球最大方案供應(yīng)商，它們架構(gòu)的處理器約占手機(jī)市場(chǎng)95%以上的份額)于2006年提出了一種硬件虛擬化技術(shù)TrustZone及其相關(guān)硬件實(shí)現(xiàn)方案。TrustZone即是支持TEE技術(shù)的產(chǎn)品，TrustZone是所有Cortex-A類處理器的基本功能，是通過ARM架構(gòu)安全擴(kuò)展引入的，而ARM也成為了TEE技術(shù)的主導(dǎo)者之一。

ARM后將其TrustZoneAPI提供給GlobalPlatform，該API已發(fā)展為TEE客戶端API。GlobalPlatform(全球最主要的智能卡多應(yīng)用管理規(guī)范的組織，簡稱為GP)是Visa、MasterCard等國際銀行卡組織主導(dǎo)的國際標(biāo)準(zhǔn)化組織，從2011年起開始起草制定相關(guān)的TEE規(guī)范標(biāo)準(zhǔn)，并聯(lián)合一些公司(ARM等)共同開發(fā)基于GP TEE標(biāo)準(zhǔn)的可信操作系統(tǒng)。因此，如今大多數(shù)基于TEE技術(shù)的Trust OS都遵循了GP的標(biāo)準(zhǔn)規(guī)范。

移動(dòng)設(shè)備使用TrustZone的最主要的原因之一是它可以提供”可信執(zhí)行環(huán)境(TEE)”。2003年，ARM公司提出TrustZone。

ARM TrustZone技術(shù)：(1)、ARMv6版本開始的安全硬件特性，包括ARM11及Cortex A系列，目前大部分手機(jī)芯片均有該硬件特性。(2)、同時(shí)運(yùn)行一個(gè)安全的OS和一個(gè)普通的OS：兩個(gè)系統(tǒng)之間互相隔離運(yùn)行，安全的OS具有更多的權(quán)限。(3)、TrustZone是一個(gè)全系統(tǒng)級(jí)別的安全架構(gòu)：處理器、內(nèi)存和外設(shè)的安全隔離。

手機(jī)內(nèi)部分為硬件、操作系統(tǒng)、應(yīng)用軟件三層。安全技術(shù)和解決方案的演進(jìn)順序依次為應(yīng)用軟件層安全技術(shù)、操作系統(tǒng)層安全技術(shù)和硬件層安全技術(shù)。從抗攻擊的角度來講，越是基于底層的安全防護(hù)越是抗攻擊。目前很多手機(jī)廠商推出的指紋，都是基于硬件的安全方案來進(jìn)行保護(hù)的，通過一個(gè)硬件隔離區(qū)來保護(hù)指紋數(shù)據(jù)和敏感操作，這種硬件隔離技術(shù)就是TEE技術(shù)。TEE是存在于智能手機(jī)(或任何移動(dòng)設(shè)備)主處理器內(nèi)的安全區(qū)，確保敏感數(shù)據(jù)在可信的環(huán)境里得到存儲(chǔ)、處理和保護(hù)。TEE有能力對(duì)經(jīng)授權(quán)的安全軟件(所謂的”可信應(yīng)用程序”)進(jìn)行安全的執(zhí)行，因此可通過實(shí)施保護(hù)、保密性、完整性和數(shù)據(jù)訪問權(quán)限，提供端到端的安全性。目前在國內(nèi)市場(chǎng)蘋果、華為、三星等手機(jī)共同選擇了TEE技術(shù)。

目前，ARM在芯片IP設(shè)計(jì)中已全面支持了TEE，包括高通、聯(lián)發(fā)科、三星、海思、展訊等企業(yè)已采用，成為基于硬件安全的方案。

可信終端具有以下三個(gè)基本的安全功能：

(1)、基于硬件隔離的安全執(zhí)行環(huán)境：TEE提供了基于硬件隔離的安全世界來保護(hù)敏感數(shù)據(jù)的安全和程序正確執(zhí)行。實(shí)現(xiàn)TEE需要將設(shè)備的硬件和軟件資源全部劃分成安全世界和非安全世界，兩個(gè)世界具有獨(dú)立的系統(tǒng)資源，包括寄存器、物理內(nèi)存和外設(shè)，不能隨意進(jìn)行數(shù)據(jù)交換。安全世界中的代碼和資源受到嚴(yán)格的訪問控制策略保護(hù)，非安全世界的進(jìn)程禁止訪問安全世界，以保證存儲(chǔ)在安全世界的敏感資源不被非法訪問或竊取，能夠有效減少安全系統(tǒng)漏洞的披露、外界的攻擊和病毒的入侵。

(2)、基于信任鏈的平臺(tái)完整性：為了保證整個(gè)系統(tǒng)的安全，TEE從系統(tǒng)引導(dǎo)啟動(dòng)開始逐步驗(yàn)證以保證TEE平臺(tái)的完整性。設(shè)備加電后，加載ROM中的安全引導(dǎo)程序，并利用根密鑰驗(yàn)證其完整性。然后，該引導(dǎo)程序進(jìn)入TEE 初始化階段并啟動(dòng)安全操作系統(tǒng)，逐級(jí)核查安全操作系統(tǒng)啟動(dòng)過程中的各個(gè)階段的關(guān)鍵代碼以保證安全操作系統(tǒng)的完整性，同時(shí)防止未授權(quán)或經(jīng)過惡意篡改軟件的運(yùn)行；安全操作系統(tǒng)啟動(dòng)后，運(yùn)行非安全世界的引導(dǎo)程序并啟動(dòng)普通操作系統(tǒng)。至此基于信任鏈，完成了移動(dòng)終端整個(gè)系統(tǒng)的安全啟動(dòng)，能夠有效抵御TEE啟動(dòng)過程中的非法篡改、代碼執(zhí)行等惡意行為。

(3)、基于安全存儲(chǔ)的數(shù)據(jù)機(jī)密性：用戶的身份、密鑰和證書等敏感信息需要高度保護(hù)，TEE依靠加密和完整性保護(hù)技術(shù)來保護(hù)數(shù)據(jù)和密鑰。TEE將用戶的身份、密鑰和證書等敏感信息存儲(chǔ)在安全區(qū)域中，這些敏感信息只能由TEE授權(quán)的可信應(yīng)用訪問或修改，并且TEE為這些敏感信息的操作處理提供了加密和完整性保護(hù)機(jī)制。同時(shí)，可利用TEE中存儲(chǔ)的密鑰對(duì)普通執(zhí)行環(huán)境下用戶的信息，如通訊錄、短信等敏感信息進(jìn)行加密，保證存儲(chǔ)在普通執(zhí)行環(huán)境下敏感信息的安全性。

注：以上內(nèi)容均整理自網(wǎng)絡(luò)。

總結(jié)

以上是生活随笔為你收集整理的TEE(Trusted Execution Environment)简介的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。