21、移动设备可信执行的安全特性与硬件原语解析

移动设备可信执行的安全特性与硬件原语解析

1. 期望的安全特性

在移动设备上实现安全执行，有一系列期望的安全特性，这些特性对于安全意识较强的应用开发者来说至关重要。这些特性的强度通常由为实现特定安全属性而需依赖的组件的规模、复杂性和攻击面来衡量，这就是所谓的可信计算基（TCB）。在许多系统中，操作系统为应用开发者提供与安全相关的 API，但这会使操作系统成为 TCB 的一部分，一旦操作系统被攻破，相关安全属性就会失效。以下是具体的安全特性：
- 隔离执行 ：
- 隔离执行使应用开发者能够让软件模块与其他代码完全隔离运行，在运行时保证该模块代码和数据的保密性和完整性。
- 如今的移动操作系统通过基于进程的隔离来保护应用的地址空间和其他系统资源，但当操作系统本身被攻破时，这些机制就可能被绕过。
- 要实现不依赖操作系统的隔离执行，需要一个不受操作系统控制的替代执行环境，比如运行在操作系统之下的一层（如管理程序），或者并行环境（如单独的协处理器）。
- 例如，用于移动设备的 Meego Linux 发行版包含隔离执行的相关规定，其移动简化安全框架（MSSF）实现了一个受保护的可信执行环境（TrEE），但该环境不向第三方开发者开放。
- 安全存储 ：
- 安全存储为软件模块静止状态下的数据提供保密性、完整性和/或新鲜度，主要是在设备关机时，也在某些软件加载的特定条件下。常见的需要安全存储的例子是访问凭证，如缓存的密码或非对称私钥。
- 大多数移动操作系统至少使用文件系统权限来提供此属性，由操作系统强制执行，但这可以通过攻破操作系统或直接访问存储介质来绕过。
- 更