65、TZ - SSAP：安全敏感应用程序保护方案解析

TZ - SSAP：安全敏感应用程序保护方案解析

1. 引言

在当今数字化时代，安全敏感应用程序（SSApp）的保护至关重要。为了保障 SSApp 的代码和数据的完整性与机密性，我们引入了 TZ - SSAP 方案。该方案基于 ARM TrustZone 硬件扩展，提供了一个硬件辅助的隔离环境，能有效抵御各种攻击。

2. 威胁模型与假设

我们的目标是保护 SSApp，为此做出了一系列假设：
- SSApp 自身特性 ：
- SSApp 具有较强的自我保护意识，会使用加密技术保护衍生数据，如在写入磁盘前加密文件内容，并使用安全的 I/O 路径方案保护外设使用的 I/O 数据。
- SSApp 为静态编译，不与其他进程共享标准库代码，避免因标准库代码被篡改而受到攻击。同时，可加载内核模块（LKM）不在当前工作范围内。
- SSApp 的基础代码无漏洞，经过精心设计和测试，具备较高的安全可信度。
- 硬件与系统环境 ：
- 硬件实现了 TrustZone 扩展，无特洛伊木马电路和总线流量拦截等安全隐患。
- 常规操作系统（ROS）和可信操作系统（TOS）通过可信引导安全加载，但 ROS 内核存在已知漏洞，运行时安全无法完全保证。攻击者可能利用 PTMA 攻击、Iago 攻击和地址映射操纵攻击等手段破坏 SSApp。
- 用户相关 ：用户建立了一个关于 SSApp 的白名单，使用 TOS 在相对安全的环境中对其进行加密和哈希处理，TOS 每次启动时会解密白名单并检查哈希值，防止攻击者修改。 <