TEE-OS学习轨迹第一篇：什么是可信执行环境？

• 内核权限过高：Linux内核运行在最高特权级，任何一个内核漏洞都能让攻击者获得整个系统的控制权
• 隔离机制薄弱：应用之间、应用与内核之间的隔离都是软件级别的，很容易被绕过
• 敏感数据暴露：你的指纹、支付密码、银行卡信息、加密密钥都存储在普通内存中，内核漏洞可以直接读取
• 恶意软件防不胜防：即使你安装了杀毒软件，它也和恶意软件运行在同一个环境中，无法获得更高的权限

• 如果指纹验证在Android系统中进行，攻击者可以通过内核漏洞注入恶意代码
• 恶意代码可以截获你的指纹图像，或者直接绕过验证，伪造支付结果
• 即使银行APP做了再多的加固，也无法对抗一个已经获得root权限的攻击者

• 非安全世界(NS World)：运行Android/Linux系统，也就是我们平时使用的环境
• 安全世界(S World)：运行TEE-OS，一个专门为安全设计的极简操作系统

• CPU的每一个核心都被物理上划分成了两个"虚拟核心"
• 安全世界和非安全世界拥有完全独立的寄存器、内存、中断和外设
• 非安全世界的代码无法访问安全世界的任何资源，甚至无法感知安全世界的存在
• 两个世界之间只能通过一个严格控制的接口（SMC指令）进行通信

• TEE内核只提供最必要的功能，没有多余的驱动和服务
• 每个可信应用(TA)都运行在自己独立的沙箱中，互相隔离
• TA只能访问自己被授权的资源，无法访问其他TA的数据
• 即使一个TA被攻破，攻击者也无法获得TEE内核的权限，更无法访问其他TA的数据

• TEE内核的镜像在加载前会被BootROM验证签名
• 每个TA在加载前都会被TEE内核验证签名
• 只有经过厂商签名的代码才能在TEE中运行
• 任何被篡改的代码都会被拒绝执行

EL3（最高特权级）
└── Secure Monitor（安全监控器）
    ├── 安全世界 EL1
    │   └── TEE内核
    │       └── 可信应用(TA) EL0
    └── 非安全世界 EL1
        └── Linux内核
            └── 普通应用 EL0

• EL3：最高特权级，只运行Secure Monitor，负责两个世界之间的切换
• 安全世界 EL1：运行TEE内核，管理安全世界的资源
• 安全世界 EL0：运行可信应用(TA)，执行具体的安全操作
• 非安全世界 EL1：运行Linux内核
• 非安全世界 EL0：运行普通应用

1. Secure Monitor：运行在EL3，是两个世界之间的唯一网关，负责处理SMC调用和世界切换
2. TEE内核：运行在安全世界EL1，提供内存管理、线程调度、驱动、加密服务等基础功能
3. 可信应用(Trusted Application, TA)：运行在安全世界EL0，是执行具体安全任务的程序
4. 客户端应用(Client Application, CA)：运行在非安全世界EL0，是普通应用，通过TEE客户端API与TA通信

1. CA调用TEE客户端API，向TEE发送请求
2. TEE客户端驱动通过SMC指令切换到安全世界
3. Secure Monitor将请求转发给TEE内核
4. TEE内核加载对应的TA并执行请求
5. TA执行完成后，将结果返回给TEE内核
6. TEE内核通过Secure Monitor切换回非安全世界
7. TEE客户端驱动将结果返回给CA