TEE&TrustZone

一、TEE(Trusted Execution Environment)

1 A look back

1）2009 OMTP(Open Mobile Terminal Platform)，首次定义了TEE：“一组软硬件组件，可以为应用程序提供必要的设施”。 

2）商业TEE推出 

3）2010 GSMA(Global System for Mobile Communications Alliance) 开始主持OMTP标准及TEE。 

4）2010 GSMA宣布自己的TEE标准，构成了目前TEE的基础。包括TEE client API、TEE internal API、一整套TEE系统体系。 

        TEE Client API Specification，规范主OS的应用与TEE的可信应用如何通信。 

         TEE Internal API Specification，规范如何开发能在TEE内部运行的可信应用。 

         其 他：TEE Systems Architecture、TEE Secure Element API Specification、Trusted User Interface API Specification、TEE TA Debug Specification。

2 What is a TEE?

它是移动设备主处理器上一个安全区域，与移动OS并行存在，提供一个隔离的执行环境，保证隔离执行、可信应用的完整性、可信数据的机密性、安全存储等。

3 相关技术 

    硬件隔离技术：保护其不受REE环境的用户Apps影响。

    内部的软件/密码隔离技术：保护每个TA不相互影响。

    核心技术：TrustZone。 

        TEE是将TrustZone技术进行标准化的结果。

        TEE是基于TrustZone技术构建的可信运行环境，包含软件和硬件部分。

4 Application 

    1） Premium content protection：高清视频/高清电影防盗版。 

    2） Authentication：指纹传感器、面部识别、声音授权。 

        “三步曲”：TEE存储模板——》提取镜像（扫描指纹）——》匹配引擎进行镜像与模板的匹配 

    3） 移动金融：P2P支付、移动电子钱包、NFC支付、使用移动设备作为PoS机等。 

    4） 企业与政府

5 HUAWEI TEE

6 指纹

    所有指纹相关数据的处理（采图、处理、模板生成、模板存储、验图等），均在TEE内完成。外部Android系统和应用都无法访问。

二、TrustZone

1 该技术出现在ARM中，将一些安全性要求高的代码放在该区域里执行。

2 硬件级别的安全、芯片级别的隔离。

它将系统隔离成两个世界：安全世界TEE/非安全世界REE。

    1）TEE可看到REE，REE看不到TEE； 

    2）REE进入TEE严格控制； 

    3）之间切换通过Monitor模式； 

    4）REE与TEE通过share memory进行数据交互； 

    5）REE与TEE关系：C/S架构 

    6）REE与TEE采用分时机制，共用单个物理处理器。

3 系统架构

4 安全启动

TEE进行系统的安全启动，保证系统启动安全+信任链传递起点的可信； 

对将要加载运行的镜像进行完整性校验，防止系统软件被恶意篡改。

三、TA&CA

    TA：Trusted Application

    CA：Client Application

    交互流程如下：