一、Tee介绍
TEE (Trusted Execution Environment) 被定义为运行于一个信任环境中的小型操作系统，它采用硬件安全模块 (HSM) 来增强其安全性能。TEE 专注于安全，支持安全的数据和代码处理，允许保存和共享客户数据，确保其完整性，防止其被篡改或泄漏。
TEE 在 Android 平台上被广泛应用，它的主要功能之一是实现加密安全方案。TEE 作为 CPU 的一个副本运行，只分配少量的 RAM 和存储空间。该技术的目的是提供一种安全的执行环境，同时保证代码和数据安全，这对于需要进行敏感操作和数据的应用程序非常重要。
二、Tee的实现方式
在 Android 平台上，有两种 Tee 的实现方式，分别是 Global Platform Tee 和 Trusty Tee。
1. Global Platform Tee
Global Platform Tee 是由硬件厂商实现的 TEE，它通过硬件提供安全保证，比如 ARM Trustzone 或高通 QSEE 等。全球范围内，许多厂商已经生产了支持 ARM Trustzone 的处理器，这使得它成为实现 Global Platform Tee 的理想选择。
// 示例代码
int open_session()
{
uint32_t ret = 0;
TEEC_Result result = TEEC_ERROR_GENERIC;
TEEC_UUID uid = GP_TEE_UUID;
result = TEEC_InitializeContext(NULL, &ctx);
if (result != TEEC_SUCCESS) {
LOGD("TEEC_InitializeContext failed with code 0x%x", result);
return -1;
}
memset(&sess, 0, sizeof(sess));
result = TEEC_OpenSession(&ctx, &sess, &uid,
TEEC_LOGIN_PUBLIC, NULL, NULL, &ret);
if (result != TEEC_SUCCESS) {
LOGD("TEEC_OpenSession failed with code 0x%x", result);
goto out;
}
out:
TEEC_FinalizeContext(&ctx);
return ret;
}
2. Trusty Tee
Trusty Tee 是 Android 平台上的TEE，它是通过软件实现的，可以在不同的处理器上以用户应用程序的形式运行，不需要独立芯片，使得 TEE 的实现更加简单和灵活。
与硬件实现TEE相比，Trusty Tee 不依赖于芯片硬件支持，因此它可以在许多不支持硬件 TEE 的设备上运行。另一方面，它的安全性可能会受到威胁。
// 示例代码
int open_session()
{
int fd;
fd = open("/dev/trusty-ipc-dev0", O_RDWR);
if (fd < 0) {
LOGD("failed to open trusty device.\n");
return -1;
}
return fd;
}
三、基本操作
在使用 TEE 前，需要进行一些常见操作，包括初始化 TEE 环境、打开会话等。下面示例代码中的 GP_TEE_UUID 指的是 Global Platform Tee 上的 TEE UUID，这里通过它来打开会话。对于 Trusty Tee，可以通过 /dev/trusty-ipc-dev0 这个设备节点来打开会话。
// 示例代码
int open_session()
{
uint32_t ret = 0;
TEEC_Result result = TEEC_ERROR_GENERIC;
TEEC_UUID uid = GP_TEE_UUID;
// 初始化 TEE 上下文
result = TEEC_InitializeContext(NULL, &ctx);
if (result != TEEC_SUCCESS) {
LOGD("TEEC_InitializeContext failed with code 0x%x", result);
return -1;
}
memset(&sess, 0, sizeof(sess));
// 打开会话
result = TEEC_OpenSession(&ctx, &sess, &uid,
TEEC_LOGIN_PUBLIC, NULL, NULL, &ret);
if (result != TEEC_SUCCESS) {
LOGD("TEEC_OpenSession failed with code 0x%x", result);
goto out;
}
out:
// 结束 TEE 上下文
TEEC_FinalizeContext(&ctx);
return ret;
}
四、Tee的数据读写
TEE 可以使用共享内存机制，在 TEE 和 Android 应用程序之间进行数据读写，实现数据的保护。共享内存可以通过类似 mmap 的调用来实现，在 Android 系统中，这个过程可以通过 C++ 接口分别在客户端和 TEE 中完成。
// 示例代码
int read_data()
{
uint32_t ret;
TEEC_Result result = TEEC_ERROR_GENERIC;
TEEC_Operation operation;
// 共享内存
TEEC_SharedMemory shared_mem;
// 分配共享内存空间
int mem_size = 1024;
char* mem = new char[mem_size];
shared_mem.buffer = mem;
shared_mem.size = mem_size;
// 进行读操作
memset(&operation, 0, sizeof(operation));
operation.paramTypes = TEEC_PARAM_TYPES(
TEEC_MEMREF_WHOLE,
TEEC_NONE,
TEEC_NONE,
TEEC_NONE);
operation.params[0].memref.parent = &shared_mem;
result = TEEC_InvokeCommand(&sess, CMD_READ_DATA, &operation, &ret);
if (result != TEEC_SUCCESS) {
LOGD("TEEC_InvokeCommand failed with code 0x%x", result);
goto out;
}
// 读取共享内存数据
char* buffer = (char *)shared_mem.buffer;
int buffer_size = get_buffer_size(buffer);
char* buffer_data = get_buffer_data(buffer);
...
// 操作完成，释放内存
out:
delete[] mem;
return ret;
}
五、TEE与Android应用程序的交互
TEE 通过执行非安全 TAs（Trust Applications）来处理应用程序发起的请求。TA 是一个无法直接调用的库文件，它可以加载到 TEE 并访问 TEE 的安全功能。Android 应用程序可以通过 TEE 的 IPC 机制与 TA 进行交互。
在 Android 系统中，TA 可以是一个动态链接库（.so 文件），它可以被 Android 应用程序调用。如果需要访问诸如加解密之类的安全功能，需要使用 TEE 来实现。
// 示例代码 #include#include int ta_send_cmd(uint32_t cmd, void *in_buf, uint32_t in_size, void *out_buf, uint32_t out_size) { ipc_msg_t msg = { 0 }; ipc_msg_info_t msg_info = { 0 }; int rc = -1; /* send message */ msg.hdr.cmd = cmd; msg.hdr.num_out_objs = (out_size > 0) ? 1 : 0; msg.hdr.num_in_objs = (in_size > 0) ? 1 : 0; msg.data = in_buf; msg.len = in_size; if (ipc_send(trusty_channel, &msg) < 0) { LOGD("failed to send ipc message to %s\n", TA_NAME); return rc; } ...... }
六、总结
通过 TEE，可以实现安全的数据和代码处理，允许保存和共享客户数据，确保其完整性和防止其被篡改或泄漏。Android 平台上的 TEE 有两种实现方式，分别是 Global Platform Tee 和Trusty Tee。TEE 可以使用共享内存机制，实现客户端和TEE之间的数据读写。此外，TEE 还支持通过 TA 和 Android 应用程序进行交互操作，进行安全保障。Tee 使得安全敏感的应用程序在 Android 平台上更加安全，让企业和用户能够放心地使用。
