【CA-TA实战系列一】如何创建一个CA

已于 2023-01-19 21:34:58 修改
阅读量1.1k 收藏 5
点赞数 2
分类专栏： TEE-OS 文章标签： ATF 系统安全 TEEOS
于 2023-01-19 21:34:39 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/weixin_45264425/article/details/128737442
版权
本文是CA-TA实战系列的第一篇，主要介绍了如何创建一个CA，讲解了GlobalPlatform（GP）规范下的TEE GP API，包括TEE Client API（CA->TA）和TEE OS API（TA->TEEOS）。CA开发基于GP规范，使用libteec库中的接口与TA通信，详细阐述了CA工作流程、接口功能，并给出了一个简单的CA开发实例。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

这个系列计划分为三篇：

  • 1、如何创建一个CA
  • 2、如何创建一个TA
  • 3、拆解CA与TA交互的过程

之前其实一直打算做这个系列，但是因为不是强相关，就把这个事情拖沓了。这次倒是安排的任务基于之前的老代码就能实现，然后我就是增加一些维测手段，定位问题修改即可。但是对这个CA和TA的学习还是停靠在之前学习《手机安全和可信应用开发指南:TrustZone与OP-TEE技术详解 》这本书的内容，这个专栏的内容也大多数是来自与这本书和一些前辈们的优秀blog。

尽量今年今晚能把这个系列写出来，实在不行先写个浅入版本，后续再整个源码版本。

1、开发CA的基础概念

开发CA的时候，CA调用的接口是经过统一规范的，谁规范的？GlobalPlatform。这就是为什么你经常看到关于CA开发的时候，就会说这个CA的开发API接口是符合GP规范的。

那么什么是GlobalPlatform-GP

1-GP

GlobalPlatform是一个由100多家成员公司推动的非营利性行业协会。

成员们共同的目标是开发GlobalPlatform的规范。这些规范现已被广泛认定为推动数字服务和设备在整个生命周期内受到信任并安全管理的国际标准。

GlobalPlatform通过制定标准和认证安全硬件/硬件组合（合称安全组件，

了解本专栏 订阅专栏 解锁全文 超级会员免费看
TEEC_AllocateSharedMemory与TEEC_RegisterSharedMemory的综述
LrFortran的博客
09-21 252
总结起来，TEEC_AllocateSharedMemory用于分配共享内存，而TEEC_RegisterSharedMemory用于将共享内存注册到TEE中。通过以上示例代码，我们可以看到TEEC_AllocateSharedMemory和TEEC_RegisterSharedMemory函数在共享内存的申请和注册方面发挥了重要作用。在嵌入式领域，TEEC_AllocateSharedMemory和TEEC_RegisterSharedMemory是两个常用的函数，它们都用于实现共享内存的分配和注册。
【CA-TA实战系列九】安全驱动OP-TEE（华为tzdriver）
叫好与叫座虽然不是对立面，但想在同一个作品中达到双重效果很难。
01-27 905
我们前面知道了整个构建TEE的执行环境的软件有REE侧部分和TEE侧部分，分别包括CA、REE侧接口库（libteec）、常驻进程（tee_supplicant）、OP-TEE驱动、OP-TEE OS、TA等部分。 这一步就是开始我们的安全驱动-REE侧OP-TEE的驱动： （华为就是那个teecd）OP-TEE驱动是REE侧与TEE侧之间进行交互的重要通道，在REE侧的CA接口以及RPC请求的接收和结果的返回最终都会被发送到驱动中，由驱动对数据做进一步的处理。OP-TEE驱动通过解析传入的参数，重新组合
CA证书接口用法
09-08
CA证书接口用法 CA证书怎么与代码结合
如何创建私有CA
weixin_33738982的博客
01-07 353
前言：对称加密解密命令行工具，单向加密工具，生成密钥对工具OpenSSL：组件：libcrypto库，libssl库主要有开发人员使用。 openssl：多用途命令行工具。openssl命令： 命令主要分为三类： （1）标准命令 ： （2）消息摘要命令（dgst子命令）：...
接口开发
caipc2005的专栏
12-11 368
private String queryInterfaceResponse(InterfaceConfig config)   {     StringBuffer sb = new StringBuffer(128);     String format = "UTF-8";     if (config == null)       return null;     if ((co
21. OP-TEE中TA与CA执行流程-------libteec介绍
shuaifengyun的专栏
06-06 1万+
历经一年多时间的系统整理合补充，《手机安全和可信应用开发指南:TrustZone与OP-TEE技术详解》一书得以出版，书中详细介绍了TEE以及系统安全中的所有内容，全书按照从硬件到软件，从用户空间到内核空间的顺序对TEE技术详细阐述，读者可从用户空间到TEE内核一步一步了解系统安全的所有内容，同时书中也提供了相关的示例代码，读者可根据自身实际需求开发TA。目前该书已在天猫、京东、当当同步...
【CA-TA实战系列二】如何创建一个TA
叫好与叫座虽然不是对立面，但想在同一个作品中达到双重效果很难。
01-26 842
TA的属性定义了该TA的运行方式、链接方式、堆栈大小、版本等信息。在GP标准中对一个TA所需要具有的属性进行了严格的定义和说明，这些属性的名称、作用、值的内容说明如表所示。TA个属性说明表OP-TEE中TA的扩展属性如表21-2所示。需要被设定的TA属性都在TA源代码的user_ta_headr_defines.h文件中被定义，gpd.ta. appID的值通常被设置成该文件中TA_UUID的值。
【CA-TA实战系列四】TA和CA的调试与使用
叫好与叫座虽然不是对立面，但想在同一个作品中达到双重效果很难。
01-26 831
调试一个TA和CA程序时最主要的手段就是在报错的地方打印。在开发TA和CA的过程中会牵扯到。关于程序编译的问题只需要根据编译报错的日志进行修改即可，若对编译过程不熟悉可在编译系统中添加打印的方式跟踪整个编译过程，然后定位编译报错的位置后进行对应的修改，一般都是函数和变量的定义问题以及相关选项的设置问题。对于应用层的调试，。为方便形成自己的调试风格，。为确定在哪一步操作地方出现了错误，读者可以在代码中添加对应的打印信息，然后根据打印的信息进行对应的修改。
【CA-TA实战系列八】CA与TA背后的故事一：华为itrustee架构下的CA和TA通信模式
叫好与叫座虽然不是对立面，但想在同一个作品中达到双重效果很难。
01-27 1388
TeeClient 向应用提供访问安全OS（TEEOS）能力，让非安全侧应用可以访问安全OS内运行的安全应用。TeeClient模块可以分为如下三大部分：TeeClient SDK层：提供TeeClient API供应用调用，标准系统提供libteec.z.so库，小型系统提供libteec_vendor.so。TeeClient 基础服务层：包括teecd、tlogcat服务，标准系统及小型系统均提供。
33. secure world对smc请求的处理------invoke command操作在OP-TEE中的实现
shuaifengyun的专栏
06-15 4641
历经一年多时间的系统整理合补充，《手机安全和可信应用开发指南:TrustZone与OP-TEE技术详解》一书得以出版，书中详细介绍了TEE以及系统安全中的所有内容，全书按照从硬件到软件，从用户空间到内核空间的顺序对TEE技术详细阐述，读者可从用户空间到TEE内核一步一步了解系统安全的所有内容，同时书中也提供了相关的示例代码，读者可根据自身实际需求开发TA。目前该书已在天猫、京东、当当同步...
23. OP-TEE中TA与CA执行流程-------tee-supplicant（TA请求具体请求的处理）
shuaifengyun的专栏
06-08 7214
历经一年多时间的系统整理合补充，《手机安全和可信应用开发指南:TrustZone与OP-TEE技术详解》一书得以出版，书中详细介绍了TEE以及系统安全中的所有内容，全书按照从硬件到软件，从用户空间到内核空间的顺序对TEE技术详细阐述，读者可从用户空间到TEE内核一步一步了解系统安全的所有内容，同时书中也提供了相关的示例代码，读者可根据自身实际需求开发TA。目前该书已在天猫、京东、当当同步...
TEEC_RegisterSharedMemory和TEEC_AllocateSharedMemory的区别
baron-周贺贺-代码改变世界ctw
07-06 913
TEEC_AllocateSharedMemory 在Kernel中调用alloc_pages分配若干块共享内存（最小单位为page） TEEC_RegisterSharedMemory 将共享内存以page为单位，转换成物理地址后，在call到TEE中进行注册. 总结 在TEEC_OpenSession()或TEEC_InvokeCommand()调用时： 如果是tmpref(local buf、heap buf)，那么在teec_pre_process_tmpref()中会先调用TEEC_Regi
关于OP-TEE代码中对UUID的设置导致编译出错
u013921164的博客
01-08 1523
在一个完整的optee程序中，一共4处需设置uuid； 第一处 这里是引用 第二处 第三处 /* Define the UUID of this TA */ #define TA_MY_CRYPTO_VERIFY_UUID    {0x3ae0f4b5, 0x7e33, 0x4ad2, \                &nb
9.OP-TEE中CA接口调用的完整流程----系统各层面关系
shuaifengyun的专栏
05-11 9070
历经一年多时间的系统整理合补充，《手机安全和可信应用开发指南:TrustZone与OP-TEE技术详解》一书得以出版，书中详细介绍了TEE以及系统安全中的所有内容，全书按照从硬件到软件，从用户空间到内核空间的顺序对TEE技术详细阐述，读者可从用户空间到TEE内核一步一步了解系统安全的所有内容，同时书中也提供了相关的示例代码，读者可根据自身实际需求开发TA。目前该书已在天猫、京东、当当同步...
小米TEE可信执行环境安全漏洞（2022）
最新发布
键盘的起始页
06-13 1000
腾讯支付是腾讯控股有限公司旗下的一个软件平台，主要功能是提供在移动应用和远程后端服务器之间传输的支付包的验证功能。对于每个业务场景，比如支付业务、登录业务，应用都需要生成一对AuthKey，生成过程和ASK生成类似，私钥保存在TEE中，公钥上传到应用服务器，不同之处在于第三方应用需要自己使用ASK公钥来验证AuthKey的合法性。在腾讯云存储中，密钥有三层：设备密钥（ATTK）、应用密钥（ASK）、业务密钥（AuthKey），这些密钥都是RSA-2048的非对称密钥，所有密钥均受到TEE的保护和安全存储。
optee CA/TA flow
Hola_ya的博客
02-17 899
前面的执行流程相同，只是到了opteed_smc_handler函数，跳过了前面caller is secure的分支，因为我们是从secure的环境进入的，直接到了后面 switch(smc_fid) 的逻辑。执行完返回，最后调用 smc #0，触发异常，跳转到EL3。由于从secure el1返回的时候，x0带的参数是TEESMC_OPTEED_RETURN_CALL_DONE，即smc_fid = TEESMC_OPTEED_RETURN_CALL_DONE。所以我们直接看这个分支的处理函数。
OP-TEE系列之(四)实现CA_TA调用与加密算法实现
chali1314的博客
03-28 2164
本文转载自：OP-TEE系列之(四)实现CA_TA调用与加密算法实现 - 简书 OP-TEE架构分析 基本上，存在两个独立的世界：一个Normal世界，另一个是Secure世界。 每个世界都有自己的操作系统(OS）和用户应用程序，简单地说，正常世界中的用户应用程序和正常操作系统是传统的，而安全世界中的用户应用程序和正常操作系统具有专门的用途（例如数字版权管理，认证等）。 两个世界通过安全Monitor进行通信。 当受信任的OS从其非特权模式加载信任关系时，它首先检查其签名及软件完整性，以查
libteec 3
jason的笔记
06-21 1417
TEEC_RegisterSharedMemory 用于在TA和CA之前注册一个共享内存 TEEC_Result TEEC_RegisterSharedMemory(TEEC_Context *ctx, TEEC_SharedMemory *shm) {     int fd;     size_t s;     if (!ctx || !shm)         return T
数字证书及CA详解
热门推荐
lk2684753的博客
08-30 8万+
文章目录1. 证书1.1 证书的应用场景1.2 证书标准规范X.5091.2.1 证书规范1.2.2 证书格式1.2.3 CA证书1.3 公钥基础设施（PKI）1.3.1 什么是公钥基础设施1.3.2 PKI的组成要素用户认证机构（CA）仓库1.3.3 各种各样的PKI2.Fabric - ca2.1 简介2.2 基本组件2.3 安装2.4 初始化&快速启动2.5 服务端配置文件解析2.6...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

TrustZone_

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值