android - 可信执行环境(TEE)中的客户端应用程序和可信应用程序

Question

我是 TEE(可信执行环境)的新手。有人可以帮助我解决一些基本的疑问吗？

据我所知，每个 Android 移动设备都安装了单独的 TEE 操作系统以及一些预定义的 TA(可信应用程序)来存储指纹图像、密码、 key 对等 secret 信息。

如何识别Android手机上运行的TEE操作系统？一台设备中是否有可能存在多个 TEE，例如 Trusty(来自 Google)、Kinibi(来自 Trustonic)等？

由于 Trusty 来自 Google，所有设备都会默认安装 Trust 操作系统吗？

如何列出 TEE 中现有的 TA 应用程序？如果是这样，我们可以通过手机使用CA(客户端应用程序 using Trusty API from google )连接到现有的TA吗？

Answer 1

为了使用 TrustZone 功能(TEE 操作和功能)，我们必须使用一个“安全操作系统”:Trusty OS , OP-TEE OS , SierraTEE 。从 ROM 开始的安全启动过程有几个阶段，并在“Rich OS”(不安全操作系统)之前初始化安全操作系统。一旦两者都初始化，普通世界(富操作系统)的客户端应用程序就可以使用 TEE 驱动程序与安全世界(安全操作系统)的受信任应用程序进行通信。对于你的第一个问题，我认为我们可以通过观察启动过程来观察初始化了哪个Secure OS。我的知识有限，我认为我们无法运行任何命令来发现这些信息，因为两个世界之间的通信是由 TEE 驱动程序进行的。

对于在同一设备上运行的多个 TEE 操作系统，您必须更改安全启动的执行方式，以添加安全操作系统初始化的顺序，并且您需要特定的驱动程序来与每个操作系统进行通信安全操作系统或负责与所有这些进行通信的通用驱动程序。我不知道为什么您应该希望运行多个 TEE 操作系统，但我知道您可以在安全操作系统中同时运行多个 TA(可信应用程序)。

要使用 Trusty，您必须检查 Android 版本是否支持它。此外，您还必须检查您的设备是否启用了 TrustZone(许多设备都具有该技术，但出售时已禁用该技术)。

在正常世界中，您无法列出在安全世界中运行的受信任应用程序。您可以列出在正常世界中运行的所有客户端应用程序。但这些肯定可以连接到在 Secure World 上运行的特定可信应用程序。