RSS订阅信息安全技术跟踪与研究:技术、平台、会议、论文、产业
你现在的位置:首页 / 学术研究 / 正文

可信执行环境总结:Trusted Execution Environment Survey

0 学术研究 | 2015年1月13日
转载申明:本站原创,欢迎转载。但转载时请保留原文地址。
原文地址:http://www.vonwei.com/post/TEESurvey.html

可信执行环境TEE是可信计算和移动设备安全方面最近比较热门的研究,下面主要从TEE历史、TEE标准、TEE用途、TEE的商业和开源实现等方面进行一个整体的总结。

         可信执行环境TEETrusted Execution Environment)是移动设备(包含智能手机、平板电脑、机顶盒、智能电视等)主处理器上的一个安全区域,其可以保证加载到该环境内部的代码和数据的安全性、机密性以及完整性。TEE提供一个隔离的执行环境,提供的安全特征包含:隔离执行、可信应用的完整性、可信数据的机密性、安全存储等。总体来说,TEE提供的执行空间比常见的移动操作系统(如IoSAndroid等)提供更高级别的安全性;比安全元素SESecure Element,如智能卡、SIM卡等)提供更多的功能。

         移动设备上,TEE环境与移动OS并行存在,为丰富的移动OS环境提供安全功能。运行在TEE的应用称为可信应用(即TATrusted Apps),其可以访问设备主处理器和内存的全部功能,硬件隔离技术保护其不受安装在主操作系统环境的用户Apps影响。而TEE内部的软件和密码隔离技术可以保护每个TA不相互影响,这样可以为多个不同的服务提供商同时使用,而不影响安全性。

         工业联盟GlobalPlatform和可信计算工作组TCG近年来都在开展TEE方面的工作,前者以制定TEE的标准规范为主[1],后者试着将TEE规范与其可信平台模块规范进行结合以加强移动设备的安全和可信,形成的最新规范为TPM 2.0 Mobile [2]

         服务提供商、移动运营商、操作系统和应用开发者、设备厂商、平台提供者以及硅供应商等全部都是TEE的利益相关者,都对TEE的标准化感兴趣,都会为TEE的标准化提供力量并且都能从中获利。

         这里推荐关于TEE的一个不错教程(ACM CCS 2013 tutorial):http://www.cs.helsinki.fi/group/secures/CCS-tutorial/tutorial-slides.pdf

 

简单历史回顾

         开放移动终端平台OMTPOpen Mobile Terminal Platform)最早在2009年其OMTP TR1 [3]中定义了TEE,定义为“一组软硬件组件,可以为应用程序提供必要的设施”,需要满足两种定义的安全级别中的一种。第一个安全级别(Profile 1)目标是应对软件攻击,第二个安全级别(Profile 2)目标是同时应对软件和硬件攻击。

         符合OMTP TR1标准的商业TEE随后推出来了,主要基于ARM TrustZone安全扩展技术进行实施,如Trusted Logic开发的Trusted Foundations [4]。目前该软件已经变成Trustonic合资公司的一部分,并且与GlobalPlatform TEE规范兼容[5]

         OMTP的标准工作在2010年中旬结束,工作组转变到大规模应用社区WACWholesale Applications Community)。OMTP的标准,包含其定义的TEE,由全球移动通信系统联盟GSMAGlobal System for Mobile Communications Alliance)主持。

         20107月份,GlobalPlatform首次宣布了它们自己的TEE标准,首先关注TEE client API(与TEE交互的接口),后来扩展到包含TEE internal API,以及一整套TEE系统体系,主要参考[1]GlobalPlatformTEE规范构成现在TEE环境的基础,任何商业或者开源产品一般都会参考该规范,并按照其定义的各种功能接口进行规范实现。GlobalPlatform包含的规范总结如下:

         1TEE Client API Specification,规范主OS的应用与TEE的可信应用如何通信;

         2TEE Systems ArchitectureTEE下的软硬件体系结构描述;

         3TEE Internal API Specification,规范如何开发能在TEE内部运行的可信应用;

         4TEE Secure Element API Specification,规定TEE安全元素API的语法语义,适合开发可信apps的软件开发者,为客户端应用提供一个外部可视接口;

         5Trusted User Interface API Specification,规范可信GUI,用户能配置,TEE能安全控制;

         6TEE TA Debug Specification,规范GlobalPlatform TEE debug接口和协议。

TEE的用途

         之前介绍的Trustonic公司,其提供的基本产品就是TEE,已经描述了很多实用TEE的安全应用。下面简单的总结一下:

         内容保护机制(Premium content protection:智能手机和电视等的一些高质量内容需要保护,如高清视频、高清电影等,这些内容越接近发布时价值越高,但是这些内容又容易被盗版使用,使用TEE可以在各种移动设备上保护这些高价值的内容,如使用TEE加密保护和传送,只有拥有特定密钥的TEE环境才能解密使用这些内容。

         移动金融服务:随着移动电子商务的飞速发展,更多更强的移动安全标准是需要的。如移动电子钱包、P2P支付、NFC支付、使用移动设备作为PoS机等应用都属于移动金融领域。通过与NFC以及安全元素SEs等合作,TEE可以保证移动设备的安全性,消费者可以在其设备的安全可信环境中放心的执行任何金融交易。为了与用户进行友好的交互,TEE还可以提供可信GUI用户接口,供用户验证TEE环境。

         认证TEE本身可以作为一个天然的ID,如面部识别、指纹传感器和声音授权等,比PIN码和passwords形式更加安全。一般基于TEE的认证可以划分为三个步骤:提取一个镜像(例如扫描一个指纹或者捕获一个声音样本);在设备TEE存储一个参考模板,供与提取的镜像对比;TEE的一个匹配引擎用于对比镜像和模板,进行身份认证。由此可见,TEE是存储匹配引擎以及认证用户的相关进程的一个理想空间,其可以与移动设备的主OS相互隔离,保证安全运行。FIDO联盟正在和GlobalPlatform合作,一起制定使用TEE作为天然ID实现的规范。

         企业和政府:政府和企业可以使用TEE,在移动设备上进行机密信息的处理。可以防止移动OS的软件攻击,以及控制对机密信息的访问权限。这样,政府和企业可以让雇员使用他们自己的移动设备(满足BYOD),不过需要保证机密信息和操作的处理在安全可信的TEE环境中进行。

TEE的实现(硬件、软件与开源)

         虽然TEE已经发展比较成熟了,但是对于一般开发者或者研究人员,想要真正体会TEE的功能却是一件比较困难的事件。下面总结关于TEE的一些实现,供参考,可以方便TEE的上手实验与操作。

支持TEE的嵌入式硬件技术包含如下:

         1AMDPSPPlatform Security Processor)处理器

                   http://www.amd.com/en-us/innovations/software-technologies/security

         https://classic.regonline.com/custImages/360000/369552/TCC%20PPTs/TCC2013_VanDoorn.pdf

         2ARM TrustZone技术(支持TrustZone的所有ARM处理器)

                   http://www.arm.com/zh/about/events/globalplatform-trusted-execution-environment-trustzone-building-security-into-your-platform.php

         3Intel x86-64指令集:SGX Software Guard Extensions

                   Intel软件保护扩展:https://software.intel.com/sites/default/files/329298-001.pdf

         4MIPS:虚拟化技术Virtualization

                   http://www.imgtec.com/mips/architectures/virtualization.asp

 

几个TEE的软件实现(提供开源工具或者基于TEE开发的SDK)如下:

         1Trustonic公司的t-base,是一个商业产品,已经得到GlobalPlatform的授权认可

                   https://www.trustonic.com/products-services/trusted-execution-environment/

         2Solacia公司的securiTEE,也是一个商业产品,并且得到了GlobalPlatform的授权认可

         http://www.sola-cia.com/en/securiTee/product.asp

         3OP-TEE开源实现,来自STMicroelectronicsBSD授权支持下的开源

         开源地址:https://github.com/OP-TEE

         4TLK开源实现,来自NvidiaBSD授权支持下的开源

         开源地址:http://nv-tegra.nvidia.com/gitweb/?p=3rdparty/ote_partner/tlk.git;a=summary

         6T6,开源实现,GPL授权下的开源研究,主要是上海交大的,是国内开展TEE研究比较早的

         地址:http://www.liwenhaosuper.com/projects/t6/t6_overview.html

         7Open TEE开源实现,来自芬兰赫尔辛基大学的一个研究项目,由Intel提供支持,在Apache授权下提供支持

         开源地址:https://github.com/Open-TEE/project

         8SierraTEE,来自Sierraware公司的实现,拥有双重属性,一半开源一半商业性质

         地址:http://www.openvirtualization.org/

 

         商业的TEE实现,如Trustonict-baseSolaciasecuriTEE不花钱肯定是无法使用的。而T6SierraTEE貌似都必须购买相应的硬件开发板才能使用其开源的TEE软件,而且硬件开发板也不便宜。OP-TEETLKOpen TEE是完全开源实现,值得去学习体验一下TEE环境,博主接下来会分别体验一下这三个开源TEE后再来作评价,是否好用,是否依赖特定硬件,现在还不得而知,只等后面体验后更新吧。

 

主要参考

[0] 维基百科,http://en.wikipedia.org/wiki/Trusted_execution_environment#cite_note-10

 

其它参考

[1] GlobalPlatform Device Specifications: Trusted Execution Environment. http://www.globalplatform.org/specificationsdevice.asp

[2] Trusted Computing Group. Committee Specification-TPM 2.0 Mobile Reference Architecture (an intermediate draft), April 4, 2014

[3] OMTP Ltd. Advanced Trusted Environment: OMTP TR1. 2009. http://www.gsma.com/newsroom/wp-content/uploads/2012/03/omtpadvancedtrustedenvironmentomtptr1v11.pdf

[4] TRUSTED LOGIC‘s TRUSTED FOUNDATIONS? SOFTWARE complies with OMTP latest

security requirements. http://www.trusted-logic.com/IMG/pdf/TRUSTED_LOGIC_TRUSTED_FOUNDATIONS_OMTP_FINAL.pdf

[5] Trusted Foundations? first to incorporate the latest GlobalPlatform TEE Specification. 2011. http://tlmobility.com/IMG/pdf/Trusted_Foundations_FINAL.pdf


  • ------------------分隔线----------------

  • 如果感兴趣,欢迎关注本站微信号,跟踪最新博文信息,手机微信扫一扫下面的二维码,即可关注!
  • 微月信公众号
  • 推荐您阅读更多有关于“ 可信计算  可信执行环境TEE  移动安全  虚拟智能卡   ”的文章

    请填写你的在线分享代码
    上一篇:移动电子商务:五个技术标准与Trustonic TEE解决方案下一篇:2014十大移动安全产品

    猜你喜欢

    评论列表:

    发表评论

    必填

    选填

    选填

    必填,不填不让过哦,嘻嘻。

    记住我,下次回复时不用重新输入个人信息

    本站介绍
    最近发表
    本年最热文章
    本月最热文章
    网站分类
    文章归档