今日成果2024-6-7 TrustZone TEE安全SDK开发指南

news2024/11/8 9:26:37

Rockchip Vendor Storage Application Note.pdf OK

开机下，可以实现Vendor Storage的读写。

0ms时同步RTC时间 OK

Rockchip_Developer_Guide_TEE_SDK_CN.pdf

什么是TrustZone

此系统方法意味着可以保护安全内存、加密块、键盘和屏幕等外设，从而可确保它们免
遭软件攻击。
可信应用程序采用基TrustZone技术的SoC（运行可信执行环境），与主OS分开，可防止软件/恶意软件
攻击。TrustZone可切换到安全模式，提供硬件支持的隔离。可信应用程序通常是可集装箱化的，如允
许不同支付公司的可信应用程序共存于一台设备上。处理器支持ARM TrustZone技术是所有Cortex-A类
处理器的基本功能，是通过ARM架构安全扩展引入的。这些扩展可在供应商、平台和应用程序中提供一
致的程序员模型，同时提供真实的硬件支持的安全环境。

TrustZone软硬件架构

在这里插入图片描述

在这里插入图片描述

TrustZone与TEE

《Rockchip TEE安全SDK开发指南》
主要介绍Rockchip TEE安全相关固件说明、TEE环境搭建、CA/TA开发测试、TA调试方法、TA签名方法以及注意事项。

  • TrustZone简介
    • 什么是TrustZone：ARM TrustZone技术是系统范围的安全方法，针对高性能计算平台上的大量应用，包括安全支付、数字版权管理（DRM）、企业服务和基于Web的服务。
    • TrustZone软硬件架构：硬件架构旨在提供安全框架，从而使设备能够抵御将遇到的众多特定威胁；软件架构是专用安全区域操作系统；TrustZone与TEE的关系是，TEE是基于ARM TrustZone技术的设备与开放API相结合，提供了可信执行环境，开发人员需要通过一种新型软件才能实现其功能和一致性。
  • TEE环境
    • 平台说明：Rockchip平台中Android 7.1及更高版本SDK默认均支持TEE环境，Android7.1以下版本默认不支持TEE环境。Linux版本SDK默认不支持TEE环境。
    • Parameter.txt说明：Parameter.txt文件记录了各镜像及分区的位置与大小信息，Rockchip的OP-TEE目前同时支持security与rpmb两种安全存储文件系统，具体使用哪种文件系统由TA中设置storageID参数来决定。
    • TEE固件：TEE Secure OS的源码默认不开源，binary位于目录u-boot/tools/rk_tools/bin或rkbin/bin下。
    • U-Boot中TEE驱动：目前一些安全的操作需要在U-Boot这级操作，比如读取一些数据必须需要OP-TEE帮忙获取。U-Boot里面实现了OP-TEE Client代码，可以通过该接口与OP-TEE通信。
    • TEE linux kernel驱动：TEE linux kernel驱动位于security/optee_linuxdriver/与drivers/tee/中。
    • TEE库文件：TEE环境相关组件在Android工程目录vendor/rockchip/common/security或目录hardware/rockchip/optee下（包含V1与V2版本，需根据不同平台采用不同版本文件）。
  • CA/TA开发与测试
    • 环境配置：若编译报错No module named Crypto.Signature，这是开发电脑没有安装python的算法库导致的，执行如下命令即可：pip uninstall Crypto pip uninstall pycrypto pip install pycrypto。
    • Android：目录介绍、编译开发说明、运行测试TEE环境、开发CA/TA。
    • Linux：目录介绍、编译开发说明、运行测试TEE环境、开发CA/TA。
  • TA签名
    • 原理：在编译TA时，编译脚本将自动使用rk_tee_user工程export-user_ta/keys目录或者export-ta_arm32/keys目录下的密钥对TA应用进行签名，该密钥为pem格式的2048长度RSA密钥，最终生成.ta格式的TA文件。
    • 替换公钥：为防止开发者A的TA应用运行在开发者B的板子上，建议开发者替换公钥。
  • 内置TA到安全存储
    • 原理：CA端读取非安全文件系统中的TA文件，再把TA数据发送给OP-TEE OS，OP-TEE OS接收到TA数据会先校验TA的合法性，若TA是合法的则随机生成TA加密密钥，使用TA加密密钥对TA数据进行加密，再将密文TA数据和TA加密密钥进行安全存储，安全存储所使用的密钥由硬件唯一密钥派生，每台设备都不同。
    • 参考实现：以下为CA端代码，开发者可以先读取TA文件，然后通过install_ta函数把TA数据发送到OP-TEE OS。
  • 加密TA
    • 加密TA方法：开发者需在export-ta_arm32/mk/link.mk中开启CFG_ENCRYPT_TA宏，同时修改TA_ENC_KEY为开发者自己的加密密钥，开启该宏后开发者在编译TA应用时脚本会自动对TA进行签名和加密。
    • 烧写TA encryption key：开发者使用SDK工程RKTools目录下RKDevInfoWriteTool工具（版本号大于等于1.2.8）烧写TA encryption key。
    • 解密并运行TA：加密TA与明文TA在使用上完全一致，OP-TEE OS在加载TA过程会自动识别到TA是加密的，OP-TEE OS会自动读取OTP中TA encryption key并解密运行TA，该过程由OP-TEE OS自动完成。
  • REE FS TA防回滚
    • 使用TA防回滚：REE FS的TA防回滚功能始终开启，开发者可通过在Makefile定义TA的版本号来使用防回滚功能。
  • TA调试方法
    • optee v1平台：TA出现异常时会打印如下信息。
    • optee v2平台：TA出现异常时会打印如下信息。
    • 查看调用栈：若开发者调试代码时不仅仅要查看程序异常地址，还想查看整个函数调用栈，optee v2平台提供了脚本export-ta_arm32\scripts\symbolize.py脚本实现该功能。
  • 内存相关说明
    • OP-TEE V1：ARMv8架构芯片中TEE内存分配情况如下：2M TEE RAM，24M TA RAM，4M SHMEM。
    • OP-TEE V2：各平台大小不固定，并且运行大小可能会调整，这里就不统一说明了。
  • 安全存储
    • 分区：安全存储是OPTEE OS重要的功能之一，一般用于存储用户重要数据，数据经过OPTEE OS加密存储于security分区或者rpmb分区或者REE文件系统，具体存储于哪个分区由CA传递参数告知TA，由TA负责存储。
    • 性能测试：OPTEE V1平台，RK3399 Linux平台，CPU定频1200000，DDR定频200000000，进行测试。
  • TA API说明
    • 概述：RK提供以下TA API，有两个目的：供开发者参考常用的GlobalPlatform TEE Internal Core API的用法；供开发者直接使用API。
    • API的返回值：API的返回值有：TEE_SUCCESS：成功；TEE_ERROR_BAD_PARAMETERS：参数错误；其他错误：见tee_api_defines.h。
    • API说明：Crypto API、TRNG API、OTP API。
  • 相关资料扩展：ARM官方TrustZone、GlobalPlatform官网。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1813667.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

c++中string用法详解

c++中string用法详解

目录 二、案例需求 三、案例实现 1.首先获取strData中的角色数量 2.创造结构体数组，定义两个索引值 3.循环遍历对结构体User中的Id和Exp进行赋值 4.对结构体数组userArr进行排序 5.展示结果以及最终代码 ​四、最后 一、前言 在C中，std::string …
阅读更多...
可视化剪辑，账号矩阵管理，视频分发，聚合私信多功能一体化营销工具 源代码开发部署方案

可视化剪辑，账号矩阵管理，视频分发，聚合私信多功能一体化营销工具 源代码开发部署方案

可视化剪辑，账号矩阵管理，视频分发，聚合私信多功能一体化营销工具 源代码开发部署方案 可视化剪辑： 可视化剪辑开发是一种通过图形化界面和拖放操作，以可视化的方式进行影片剪辑和编辑的开发方法。它可以让非专业用户…
阅读更多...
什么是校园抄表系统？

什么是校园抄表系统？

1.校园抄表系统的简述 校园抄表系统是当代高校管理中的一个重要组成部分，主要运用于全自动搜集、管理方法与分析校园里的电力能源使用数据，如水电煤等。它通过先进的方式方法，完成了对能源消耗的实时监控系统，提升了电力能源管理…
阅读更多...
maven基本操作和配置（idea版基础版）

maven基本操作和配置（idea版基础版）

写在前面：为一位朋友写的一个博客，有需要都可以查看！ 一、maven是什么？ 一句话：管理依赖工具，统一项目结构便于开发，把项目开发和管理的过程抽象成对象模型来管理（pom模型&#xf…
阅读更多...
@JsonValue和@JsonCreator使用

@JsonValue和@JsonCreator使用

当实体类中的属性为枚举类型时，将其序列化成json字符串传给前端，传递的应该是有效的值而不是枚举常量。 1. Get-Started Data public class Student {private Long id;private String userName;private String telephone;private String email;private …
阅读更多...
C语言 | Leetcode C语言题解之第145题二叉树的后序遍历

C语言 | Leetcode C语言题解之第145题二叉树的后序遍历

题目&#xff1a; 题解&#xff1a; void addPath(int *vec, int *vecSize, struct TreeNode *node) {int count 0;while (node ! NULL) {count;vec[(*vecSize)] node->val;node node->right;}for (int i (*vecSize) - count, j (*vecSize) - 1; i < j; i, --j)…
阅读更多...
【C语言】12.C语言内存函数

【C语言】12.C语言内存函数

文章目录 1.memcpy使用和模拟实现2.memmove使用和模拟实现3.memset函数的使用4.memcmp函数的使用 memcpy&#xff1a;内存拷贝 memmove&#xff1a;内存移动 memset&#xff1a;内存设置 memcmp&#xff1a;内存比较 1.memcpy使用和模拟实现 memcpy&#xff1a;内存拷贝 void…
阅读更多...
【python】OpenCV—Background Estimation（15）

【python】OpenCV—Background Estimation（15）

文章目录 中值滤波中值滤波得到图像背景移动侦测 学习来自 OpenCV基础&#xff08;14&#xff09;OpenCV在视频中的简单背景估计 中值滤波 中值滤波是一种非线性平滑技术&#xff0c;主要用于数字信号处理&#xff0c;特别是在图像处理中去除噪声。 一、定义与原理 定义&am…
阅读更多...
如何使用Python在word文档中创建表格

如何使用Python在word文档中创建表格

如何使用Python在word文档中创建表格 介绍效果代码 介绍 本文将介绍如何使用Python库python-docx在Word文档中创建表格。 效果 插入表格前的word文档&#xff1a; 插入表格后的word文档&#xff1a; 代码 from docx import Document# 加载现有的Word文档 doc Document(…
阅读更多...
利安科技上市首日股价大涨：2023营收净利润下滑，募资金额大幅缩水

利安科技上市首日股价大涨：2023营收净利润下滑，募资金额大幅缩水

《港湾商业观察》施子夫 6月7日&#xff0c;宁波利安科技股份有限公司&#xff08;以下简称&#xff0c;利安科技&#xff09;正式在深交所创业板挂牌上市&#xff0c;股票简称为利安科技&#xff0c;股票代码300784。 上市当天&#xff0c;利安科技股价大涨348.76%。 2022年…
阅读更多...
高考志愿填报，如何识别兴趣和擅长？

高考志愿填报，如何识别兴趣和擅长？

一年一度的高考落下帷幕&#xff0c;是不是就意味着放松了&#xff1f;解放了&#xff1f; 高考志愿填报的重要性&#xff0c;依旧重要&#xff0c;考得好不如报的好。 考分高低固然是关键&#xff0c;而填报高考志愿&#xff0c;才是真正决定人生的一次选择&#xff0c;这一…
阅读更多...
vue3 defineComponent + 渲染函数h + 全局注册​

vue3 defineComponent + 渲染函数h + 全局注册​

defineComponent 是 Vue 3 中的一个函数&#xff0c;用于定义一个组件。它是 Vue 3 的组合式 API 的一部分&#xff0c;提供了一种更加灵活和组织化的方式来定义组件。在 Vue 2 中&#xff0c;我们通常使用一个对象来定义组件&#xff0c;而在 Vue 3 中&#xff0c;defineCompo…
阅读更多...
Python深度学习基于Tensorflow（17）基于Transformer的图像处理实例VIT和Swin-T

Python深度学习基于Tensorflow（17）基于Transformer的图像处理实例VIT和Swin-T

文章目录 VIT 模型搭建Swin-T 模型搭建参考 这里使用 VIT 和 Swin-T 在数据集 cifar10 上进行训练 VIT 模型搭建 导入需要的外部库 import numpy as np import tensorflow as tf import matplotlib.pyplot as plt import matplotlib.gridspec as gridspec这里我们接着使用 ci…
阅读更多...
idea开发工具清除Git凭证（含Git凭证管理策略）

idea开发工具清除Git凭证（含Git凭证管理策略）

前言 网上很多人出现这个问题&#xff0c;也有很多文章或博客来说明这个问题&#xff0c;但是几乎都没有说到点子上&#xff0c;全网几乎都说清除credential.helper配置或者清空windows凭证管理器&#xff0c;还有一些文章说清除IDEA缓存&#xff0c;其实都是不对的。 creden…
阅读更多...
我在地球学Python基础第一篇：计算机组成原理基本知识和编程语言基础知识

我在地球学Python基础第一篇：计算机组成原理基本知识和编程语言基础知识

业精于勤荒于嬉&#xff0c;行成于思毁于随。 今天开始系统记录学习Python 第一篇 计算机组成原理一、什么是计算机二、计算机是由什么组成的&#xff1f;2.1 硬件系统2.2 软件系统 三、计算机如何处理程序&#xff1f;四、编程语言 计算机组成原理 学习目标&#xff1a; 1、…
阅读更多...
【docker实战】如何上传镜像到自己的私有仓库

【docker实战】如何上传镜像到自己的私有仓库

上一篇文章讲了【docker实战】如何登陆到自己的私有仓库&#xff1f; – 经云的清净小站 (skycreator.top)。那么后面的工作就是如何上传镜像到自己的私有仓库了。 下面的操作是使用docker login命令成功之后的操作&#xff0c;没有login请先login。 我打算将本地的ubuntu:18…
阅读更多...
攻防演练之-网络安全产品大巡礼二

攻防演练之-网络安全产品大巡礼二

书接上文&#xff0c;《网络安全攻防演练风云》专栏之攻防演练之-网络安全产品大巡礼一&#xff0c;这里。 “咱们中场休息一会&#xff0c;我去接杯水哈”&#xff0c;看着认真听讲的众人&#xff0c;王工很是满意&#xff0c;经常夹在甲乙两方受气的他&#xff0c;这次终于表…
阅读更多...
在Spring Boot中使用Sa-Token实现路径拦截和特定接口放行

在Spring Boot中使用Sa-Token实现路径拦截和特定接口放行

在Spring Boot中使用Sa-Token实现路径拦截和特定接口放行 很喜欢的一段话&#xff1a;别想太多&#xff0c;好好生活&#xff0c;也许日子过着过着就会有答案&#xff0c;努力走着走着就会有温柔的着落。 春在路上&#xff0c;花在枝上&#xff0c;所有的美好都在路上&#xff…
阅读更多...
Coap协议在物联网中的实战

Coap协议在物联网中的实战

1. 前言 提到CoAP不能不提MQTT协议&#xff0c;MQTT协议可以保持长链接&#xff0c;具有一定的实时性&#xff0c;云端向客户端发送消息&#xff0c;设备端可以在最短的时间内接收并作出响应&#xff0c;所以MQTT更适合于实时控制场景&#xff0c;需要保持长连接&#xff0c;不…
阅读更多...
WDF驱动开发-I/O请求的处理(三)

WDF驱动开发-I/O请求的处理(三)

创建框架请求对象 框架请求对象表示 I/O 管理器已发送到驱动程序的 I/O 请求。 基于框架的驱动程序通过调用 框架请求对象方法来处理每个 I/O 请求。 每个 I/O 请求都包含一个 WDM I/O 请求数据包 (IRP 结构) &#xff0c;但基于框架的驱动程序通常不需要访问 IRP 结构。 大…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023