TEE系统架构

一、介绍

二、TEE设备系统架构

1、传统芯片集架构

2、硬件架构

①可信数据只能被可信程序访问

②用REE不能控制的硬件机制实现

③TEE必须用安全引导来实例化，并且同REE隔离开

④REE中的软件不能直接调用那个TEE Function或者 Trusted Core Framework

2.1 TEE源文件

① Primary TEE resources – In-package resource：受到物理保护

② Secondary TEE resources – Off-package resource：外部非易失性和可信易失性存储需要用加密保护，只有TEE可以解密。

③ Tertiary TEE resources – exposed or partially exposed resources：保证复制的时候不被REE software攻击，提供一个空间给可信的银幕框架（与REE隔离），使用密码。

2.2 REE和TEE资源共享

①REE只能通过一些API访问TEE（TEE Client API），但这并不能阻止REE传递buffer给TEE，反过来也是。

三、TEE软件接口

1、TEE软件架构  

 

     REE到TEE的接口：TEE Functional API 、TEE Client API

     TEE OS组成：可信核心框架、Tursted Functions（TEE communication Agent是一个Trusted Core Framework function API的特例，和 REE Communication Agent交换信息）

     可信应用：通过Trusted API访问系统的其他东西，所有的 Trusted Application instances内存都是独立的

     内存共享：通过API

2、 TEE Client API Architecture（和Trusted Application通信）

     更高的协议层次比如可信存储、加密等

• The Client Applications, which make use of the TEE Client API.

• The TEE Client API library implementation.

• The REE Communication Agent,

3、 TEE Internal API Architecture（更好的使用TEE的能力）

     更高的协议层次比如可信数据管理，金融服务、数字版权管理

• The Trusted Applications, which make use of the TEE Internal API.

• The TEE Internal API library implementation.

• The Trusted OS Components

包括以下的一些API：

四、可用的TEE API

TEE和它的能力与REE以及设备的状态紧密相关，所以REE和Rich OS显得非常重要。

1、设备状态

2、引导环境：需要一个初始的TEE环境来保证安全性

     引导队列：

3、实时环境

Rich OS和Trusted OS是相互独立的；

TEE functionality是可用的，只要 REE Client Applications可用。