21、5G网络中可信执行环境即服务（TEEaaS）平台的设计与应用

5G网络中可信执行环境即服务（TEEaaS）平台的设计与应用

1. TEE背景

TEE（Trusted Execution Environment）是一种运行在分离内核上的防篡改处理环境技术。它能让不同安全级别的系统在同一平台共存，可抵御软件攻击、对系统主内存的物理攻击，还能避免利用后门安全漏洞或系统脆弱性的攻击。

从功能上看，TEE将系统划分为隔离的可信和不可信分区，分区间通过安全接口通信，防止不可信分区被攻破时的横向移动。目前，安全接口主要通过以下三种机制实现：
- GlobalPlatform TEE Client API
- 可信语言运行时的安全远程过程调用（RPC）
- 双操作系统系统的实时RPC

TEE实现通常分为三类：
|类型|描述|示例|
| ---- | ---- | ---- |
|硬件级TEE|利用CPU内置的强制隔离机制。|Arm TrustZone技术，其扩展可保护内存区域，使可信应用能访问主处理器、资源和内存，硬件隔离保护其免受主操作系统上不可信应用的影响。|
|软件级TEE|在设备固件层提供正常和安全分区，内核和操作系统采用强加密机制保护数据和应用。|OP - TEE（Open - Portable Trusted Execution Environment），与硬件级TEE不同，它不提供硬件资源保护方案，应用只能依赖可信内核。|
|软硬件集成TEE|结合硬件和软件级TEE，提供多层安全保护。|Trustonic，允许设备嵌入可信身份，结合安全操作系统和硬件安全环境，适用于移动、汽车、银行和物联网等领域。|

2. TEE在5G中的相关应用工作