2、可信执行环境(TEE)基础：TEE架构、与REE的区别、GlobalPlatform标准

好，咱们开始聊TEE。说实话，我第一次接触TEE这个概念是在做一款金融平板的时候。客户要求指纹数据必须“硬件隔离”，我当时第一反应是——加个独立的安全芯片不就行了？后来发现，成本、功耗、体积都不允许。嗯，TEE就是在这种背景下走进我视野的。

2.1 什么是TEE？说白了就是“隔离”

TEE，全称Trusted Execution Environment，可信执行环境。你想想看，我们平时用的Android或Linux系统，跑着各种App，权限乱飞，谁能保证你的指纹、支付密码不被偷？TEE就是干这个的——它在主处理器内部划出一块“安全飞地”。

这块飞地有自己的操作系统、内存、存储和外设访问权限。普通系统（我们叫它REE，Rich Execution Environment）根本碰不到里面的数据。我习惯把TEE比作“银行金库”，REE就是外面的营业大厅。营业员可以接待客户，但金库只有授权人员才能进。

2.2 TEE架构长什么样？

咱们拆开来看。一个典型的TEE架构包含这几层：

• 硬件层：CPU提供安全扩展指令，比如ARM的TrustZone技术。这是TEE的根基。
• TEE内核：一个微型的操作系统，比如OP-TEE、Trusty、QSEE。它负责管理安全内存、中断、加密引擎。
• TEE内部API：提供给安全应用（TA，Trusted Application）调用的接口，比如加解密、密钥管理。
• 安全应用（TA）：运行在TEE里的程序，比如指纹比对、支付令牌生成。
• REE侧驱动与客户端API：普通App通过这个接口与TA通信。

我在项目中遇到过最头疼的问题，就是REE侧驱动和TEE侧TA的通信缓冲区没对齐。你传一个指针过去，TEE那边直接崩溃。后来我养成了一个习惯——所有共享内存必须按页对齐，而且大小必须是4KB的整数倍。

2.3 REE vs TEE：到底差在哪？

咱们直接上表格，一目了然：

对比项	REE（普通环境）	TEE（可信环境）
操作系统	Android、Linux、iOS（功能完整）	微型RTOS或专用内核（功能精简）
安全级别	低，易受Root、恶意App攻击	高，硬件隔离，防篡改
内存访问	可访问所有非安全内存	只能访问安全内存区域
外设访问	大部分外设可用	仅限安全外设（如指纹传感器、安全键盘）
网络连接	完整网络栈	通常无网络，或受限网络
开发复杂度	低，生态成熟	高，调试困难，工具链有限
典型应用	浏览器、游戏、办公软件	指纹支付、DRM、数字钥匙

为什么会这样？说白了，REE追求的是功能和性能，TEE追求的是安全。你不可能让一个系统既开放又绝对安全。我见过有些厂商试图在REE里做软件沙箱来模拟TEE，结果呢？被攻破只是时间问题。

2.4 GlobalPlatform标准：TEE的“普通话”

早期TEE各家各搞一套，ARM有TrustZone，高通有QSEE，苹果有Secure Enclave。互不兼容，开发者要疯。GlobalPlatform（GP）组织站了出来，制定了一套TEE标准接口。

GP标准主要定义了这几块：

• TEE Client API：REE侧App如何连接和调用TEE。说白了就是几个函数：TEEC_InitializeContext、TEEC_OpenSession、TEEC_InvokeCommand。
• TEE Internal API：TA内部可以调用的安全服务，比如TEE_AllocateMemory、TEE_GenerateRandom、TEE_AEEncrypt。
• TEE Socket API：可选的网络通信接口，但实际产品中很少用，因为TEE连网会增加攻击面。
• 安全存储：定义了TA如何安全地保存数据到flash，防止被REE篡改。

我个人的习惯是，新项目选TEE方案时，先看它是否兼容GP 1.1或更高版本。不兼容的，直接pass。为什么？因为GP标准意味着你可以用通用的TA代码，换平台时只需要重新编译，不用重写。我踩过这个坑——早期用某厂商私有API写的TA，后来换芯片平台，整个重写，加班加到怀疑人生。

2.5 一个简单的TA示例（伪代码）

咱们看个GP标准的TA长什么样。这是伪代码，但结构是真实的：

// TA入口点，必须实现
TEE_Result TA_CreateEntryPoint(void) {
    // 初始化TA内部资源
    // 比如分配内存、加载密钥
    DMSG("TA已创建");
    return TEE_SUCCESS;
}

// 处理来自REE的命令
TEE_Result TA_InvokeCommandEntryPoint(
    void *sessionContext,
    uint32_t commandID,
    uint32_t paramTypes,
    TEE_Param params[4]) 
{
    switch (commandID) {
        case CMD_ENCRYPT:
            // 从params[0]获取输入数据
            // 调用TEE_AEEncrypt进行加密
            // 结果写入params[1]
            break;
        case CMD_SIGN:
            // 使用TA内部私钥签名
            break;
        default:
            return TEE_ERROR_BAD_PARAMETERS;
    }
    return TEE_SUCCESS;
}

// TA销毁时清理
void TA_DestroyEntryPoint(void) {
    // 释放内存、关闭会话
    DMSG("TA已销毁");
}

你看，结构很清晰。TA就像一个微服务，只暴露几个命令接口。REE侧App通过Client API发送命令，TA在安全世界里执行。数据不会泄露到REE。

2.6 总结一下这节课的核心

• TEE是CPU内部的安全飞地，不是独立芯片。
• REE和TEE通过硬件隔离，共享内存需要特殊机制。
• GlobalPlatform标准让TEE开发有了统一接口，换平台成本降低。
• 写TA时，记住：只暴露最小接口，所有输入必须校验长度和类型。

嗯，下一节我们会深入TrustZone的硬件原理，看看CPU是怎么在安全世界和普通世界之间切换的。到时候我会分享一个我调试过的、因为中断没处理好导致安全世界死锁的案例——那叫一个刺激。