安全性現在是許多嵌入式應用程序的主要要求。隨著連接設備越來越多地融入我們的生活，其安全隱患可能是災難性的——可能導致隱私、數據和財務信息的丟失，甚至在某些情況下導致死亡。

由于其行為有封閉性的特點，一般嵌入式平臺不需要考慮任何級別的安全性；然而，現在許多嵌入式設備都會聯網，并支持第三方下載軟件，這就引起人們對這些“智能”設備的安全和可信操作的密切關注。

這種“智能“超越PC和手機，由此引發了新的思考。

圖1- 不同應用間隔離的SoC平臺

現在，為了使不同應用程序的資產保護（如密碼，數據，證書等）相互隔離，必須要采用一個標準的方法，并在可移植性、可擴展性和部署方便性方面提出了挑戰。為此，行業采用在嵌入式平臺中強制執行多個受保護的環境的方法是至關重要的。保護一個或多個環境的能力使得這些應用程序的可信操作需要防止來自物理上或者互聯網的外部攻擊。

什么是TEE？它是做什么的？

TEE在連接設備中提供一個安全區域，確保敏感數據在隔離、可信的環境中存儲、處理和保護 - 通過提供隔離的、安全執行的授權軟件，實現端到端的安全。換句話說，TEE表示一個與SoC中其他模塊隔離并能夠執行可信應用程序（TAs）的區域。

圖2 -由硬件支持的虛擬化強制執行的隔離

TEE確?？蛻粼诎踩拓S富的應用程序中運行

TEE可以包括CPU和其他元件，如存儲器和IO；在許多情況下，可信應用程序需要訪問安全加速器，這些加速器也必須駐留在TEE環境中，例如GPU、顯示端口、信任根（RoT）等。

通過讓授權的應用程序在TEE中執行，平臺可以按預期可信地運行。此方法在為可信應用程序提供保護不受非可信應用程序干擾的同時，也能確保在這些區域如鍵盤、支付交易、生物識別等之間的信息交換能力。

位于嵌入式設備核心的可信執行環境必須繼續發展，超越現有的二進制方法，以保護新興設備中的可信資產和現有設備的新范式。我們認為答案在于對這些存在風險的產品采取“多重信任”的方法。

GlobalPlatform 扮演什么角色？

GlobalPlatform已經開始對多個市場/應用程序的TEE應用程序編程接口（API）進行標準化支持。這些標準的應用程序接口大大減少了應用程序開發人員的挑戰。例如，可信應用程序開發過程可以與豐富多樣的應用程序開發過程解耦。有了TEE，原本曾經緊密相連的工作，開發人員可以通過獨立創建一組通用應用程序接口來實現。這允許互操作性和易用性，并最終加速部署需要安全和可信操作的應用程序。

由GlobalPlatform定義的可信執行環境（TEE）為軟件開發人員提供了一個開源、透明的環境，可以通過一個平臺安全可靠的操作來實現對他們應用程序的保護，不受其他應用程序的危害。

TEE的今天和未來

TEE是一種在多環境共存的同時，建立起策略來保護每個環境的代碼和數據的方法。GlobalPlatform TEE的初始部署主要用于移動空間，解決諸如安全視頻路徑或安全支付等應用程序。然而，在過去的幾年中，在其他應用領域，如消費電子、智能家電、家庭網關、無人駕駛飛機等，也出現了類似的需求。

隨著行業正朝著采用異構性的可信應用程序遷移，從操作、安全要求、認證授權，更新和打補丁的頻率等不同，以及其他方面的考慮，人們對單一TEE結構下管理這些關鍵任務應用有更多的關注。需要在各自獨立的環境中保留這些可信應用程序，從而為最易受攻擊的路徑添加另一層保護。

一個多可信的TEE可以同時運行多個可信筒倉（silos），以處理混合可信應用程序，每個TA都要在自己的可信環境上執行。有了多可信TEE，驗證和LCM（生命周期管理）的易用性使部署更輕松從而加快上市時間

圖3 -多信任TEE允許同時運行多個TEE

一個多可信的TEE允許應用程序開發人員只關注他們自身應用程序的安全功能，就像他們使用一個單一的TEE一樣，而不用擔心會受到來自相鄰可信應用程序的干擾。

多可信TEE上的“安全數據路徑”示例

在一些宿主應用程序中，有一系列并發運行的、不同的輔助安全任務，支持宿主應用程序，而且越來越需要保持每個任務的自主性。一個例子是運行安全視頻流的控制路徑，并將它與相鄰的支付流隔離。每個流程都需要符合特定的認證，并且具有不同的生命周期。除了來自不同的獨立第三方的遠程管理，這種差異可能對不同任務的資產造成危害和污染。

多可信TEE提供了支持多個并發TAs的機制，不同的TA可以在各自可信任環境中獨立運行。，支持多個TEE的能力使軟件能夠更加獨立的進行補丁、更新和生命周期管理。

圖 4- 多信任TEE示例操作雙隔離DRM流程

硬件虛擬化的必要性

在嵌入式環境中，硬件虛擬化的使用是通過隔離，維持應用程序在一個潔凈的執行環境，同時防止軟件交叉污染和泄漏，以確保安全性。此外，該技術還可以將關鍵資產（如設備通信接口（軟件棧）、存儲和其他資源）隔離和保護到自己的地址空間中，并確保不能從任何其他應用程序的地址空間訪問。

每一個這些獨立的內存空間都被稱為“域”。每個系統功能只能使用自己的域，通常不能訪問其他功能所使用的域。通過擁有多個域，每一個單一功能都與其他功能和系統的其余部分相隔離。訪問在多個域之間共享的內存空間由特權級內核源代碼以編程方式進行控制。

圖5- Imagination’s OmniShield-使處理器通過隔離提供安全性

基于硬件虛擬化的架構可以提供許多好處：

? CPU 整合

? 隔離關鍵軟件

? 安全更新

? 減少QA、測試和認證

? 加速市場投放時間

GlobalPlatform兼容的MIPS Omnishield Sierra TEE

MIPS omnishield?sierraTEE 是一個GlobalPlatform兼容的TEE，用于基于Imagination Technologies 的 MIPS OmniShield-ready CPUs。

Omnishield利用硬件虛擬化技術，為支持CPU、GPU和SoC其他關鍵部件的安全異構操作提供了基礎。它超越了二進制方法，在CPU、GPU、內存和外設中創建多個安全域。在那里，每個安全/非安全應用程序可以在自己的域中獨立運行。

Sierra TEE 采用 omnishield虛擬化技術來執行硬件級的隔離，以支持單一TEE和多可信TEE運行。通過這種方式，它完全保護安全應用程序和相關外圍設備在豐富的環境中的代碼運行。這意味著，即使攻擊者設法在Rich OS中獲得完全的管理員權限，它也不能訪問安全域。

在一個具有多個域的系統中，相應的管理程序（SierraVisor）使多個并行客戶系統保持隔離。SierraVisor與SierraTEE的結合使得TEE和各自域中的豐富環境下都能夠發揮作用。

結論

隨著嵌入式的行業從專有封閉環境過渡到連接豐富的世界，現在對安全的需求成為必然。

通過采用由業界專家定義并驗證的開放標準，安全性的實現、部署和管理變得更加穩健和高效。

GlobalPlatform在引領提供一組強大的開放的TEE應用可編程接口，確保安全數據在一個隔離的、可信環境下存儲、處理和保護 - 使得可信的應用程序在一個筒倉（silo）內執行。

硬件虛擬化為通過隔離創建安全性提供了基礎 — 創建帶有強制策略的隔離域以維護可信操作。此技術可以為多可信TEE提供基礎，從而進一步隔離可信應用程序，同時改進平臺的部署和生命周期管理。

SierraTEE 在MIPS平臺上作為多可信TEE運行，為開發者提供了在防止其他交叉污染環境下的可信環境中創建應用程序的理想生態系統。