應(yīng)用案例簡(jiǎn)述 - ARMv8-M平臺(tái)開發(fā)安全軟件的建議

概念3：跨域調(diào)用

ARMv8-M為實(shí)現(xiàn)Cortex-M的性能專門設(shè)計(jì)，具備確定性實(shí)時(shí)運(yùn)行功能。換言之，只要遵守以預(yù)先設(shè)定的安全狀態(tài)接入點(diǎn)為基礎(chǔ)的特定規(guī)則，任何狀態(tài)下的任何功能都可以直接調(diào)用其他狀態(tài)下的任何其他功能。此外，每個(gè)狀態(tài)都有一個(gè)獨(dú)特的堆棧集和對(duì)應(yīng)的堆棧指示器，用來(lái)保護(hù)安全域資產(chǎn)。由于無(wú)需使用API層管理調(diào)度，成本大幅減少?；陬A(yù)先設(shè)定的接入點(diǎn)，調(diào)度可以直接讀取被調(diào)函數(shù)。

跨域調(diào)用

應(yīng)用案例簡(jiǎn)述

如下圖表介紹了一個(gè)使用案例簡(jiǎn)述。該環(huán)境下，用戶應(yīng)用和I/O驅(qū)動(dòng)都處于非安全狀態(tài)，而系統(tǒng)的啟動(dòng)代碼和通訊堆棧則處于安全狀態(tài)。用戶應(yīng)用調(diào)度并轉(zhuǎn)入通訊堆棧以傳輸、接收數(shù)據(jù)，而該堆棧將使用非安全狀態(tài)的I/O驅(qū)動(dòng)來(lái)完成界面上的數(shù)據(jù)傳輸和接收。

所有相似系統(tǒng)環(huán)境下，示例軟件配置都可以得益于TrustZone技術(shù)的安全狀態(tài)功能：

非安全應(yīng)用不能接入安全資源，除非通過(guò)事先定義好的安全服務(wù)功能接入點(diǎn)

安全固件既可以接入安全存儲(chǔ)，也可以進(jìn)入非安全存儲(chǔ)

安全和非安全代碼可以用不同的定時(shí)器制定獨(dú)立的時(shí)間進(jìn)度

每根中斷線都可以設(shè)置為安全或非安全。安全軟件和非安全軟件的中斷向量表也可以分開。

盡管處理器硬件可以為安全軟件提供核心保護(hù)，但安全軟件依然需要謹(jǐn)慎的編寫，才能確保整個(gè)系統(tǒng)的安全。以下是軟件開發(fā)商在設(shè)計(jì)安全軟件時(shí)必須牢記的三個(gè)內(nèi)容：

使用最新的ARM C語(yǔ)言拓展（ACLE）技術(shù)

驗(yàn)證非可信指示

為異步非安全存儲(chǔ)修改專門設(shè)計(jì)

建議1：使用最新的ARM C語(yǔ)言拓展技術(shù)

經(jīng)過(guò)優(yōu)化，ARMv8-M的TrustZone技術(shù)引入了全新指令，支持安全狀態(tài)轉(zhuǎn)換。軟件開發(fā)商再也無(wú)需創(chuàng)建封裝器來(lái)生成這些指令了，他們現(xiàn)在可以使用ARM C語(yǔ)言拓展功能（ACLE）中定義的全新編譯器，讓軟件工具理解上述功能的安全使用，并生成所需的最佳代碼。ACLE功能由多家編譯器廠商實(shí)現(xiàn)并支持，代碼非常便捷易用。

比如說(shuō)，在創(chuàng)建可以從非安全狀態(tài)調(diào)度的安全API時(shí)，應(yīng)該使用一個(gè)名為“cmse_nonsecure_entry”的全新功能屬性來(lái)做函數(shù)聲明。安全狀態(tài)調(diào)度功能使用結(jié)束時(shí)，處理器中的寄存器仍可能保留一些秘密信息。憑借正確的功能屬性，編譯器便可自動(dòng)插入代碼，清空R0-R3、R12和應(yīng)用程序狀態(tài)寄存器（APSR）中仍保留秘密信息的寄存器，但是寄存器將結(jié)果返還給非安全軟件的情況除外。寄存器R4到R11有不同的處理方式，因?yàn)樗鼈兊膬?nèi)容在函數(shù)邊界保持不變。如果它們的值在函數(shù)執(zhí)行過(guò)程中改變，那么就必須在返還非安全調(diào)度功能之前改回原值。

建議2：驗(yàn)證非可信指標(biāo)

有時(shí)候，非安全代碼會(huì)提供錯(cuò)誤的設(shè)計(jì)指示，試圖接入安全存儲(chǔ)。為了徹底杜絕這一可能，ARMv8-M引入了一個(gè)全新指令——測(cè)試目標(biāo)（TT）指令。TT指令可以將一個(gè)地址的安全屬性返還，安全軟件即可由此判斷該指示指向安全還是非安全地址。

為了提高指示檢查效率，每個(gè)存儲(chǔ)區(qū)都有一個(gè)安全配置定義的區(qū)域號(hào)。軟件可以用區(qū)域號(hào)判斷相鄰的存儲(chǔ)區(qū)是否具有類似的安全屬性。

TT指令將來(lái)自地址值的安全屬性和區(qū)域號(hào)（還有MPU的區(qū)域號(hào)）返還原軟件。如果在存儲(chǔ)段的起始和終止地址上使用TT指令，并確定兩個(gè)地址都處于同一個(gè)區(qū)域號(hào)內(nèi)時(shí)，軟件便可迅速判斷存儲(chǔ)范圍（如數(shù)據(jù)陣列或數(shù)據(jù)結(jié)構(gòu)）是否完全位于非安全空間。

檢查指示是否指向安全的區(qū)域邊界

使用上述機(jī)制，憑借API調(diào)度進(jìn)安全側(cè)的安全代碼即可判斷，非安全軟件區(qū)域發(fā)起的指示請(qǐng)求是否具備符合該API的安全屬性。通過(guò)這種方法，我們可以阻止非安全軟件在安全軟件中使用API來(lái)讀取或破壞安全信息。

建議3：為異步非安全存儲(chǔ)修改專門設(shè)計(jì)

非安全中斷服務(wù)程序可以修改正在被安全軟件處理的非安全數(shù)據(jù)。因此，已經(jīng)通過(guò)安全API驗(yàn)證的輸入數(shù)據(jù)可以在經(jīng)過(guò)驗(yàn)證之后被一個(gè)非安全的ISR更改。避免這種情況的一個(gè)方法就是在安全存儲(chǔ)中為那份輸入數(shù)據(jù)建立一個(gè)本地副本，并用安全副本進(jìn)行處理（包括輸入數(shù)據(jù)的驗(yàn)證）以避免非安全存儲(chǔ)讀取；無(wú)法創(chuàng)建該副本時(shí)（如在特定存儲(chǔ)區(qū)域中處理大量數(shù)據(jù)），則可以選擇另一種方法，即對(duì)安全屬性單元進(jìn)行編程，以確保該存儲(chǔ)區(qū)域的安全。

總結(jié)

確保整個(gè)系統(tǒng)的安全性并阻止安全數(shù)據(jù)泄漏至非安全側(cè)，是安全軟件開發(fā)商的責(zé)任。為實(shí)現(xiàn)這一目標(biāo)，我們向安全軟件開發(fā)商介紹TrustZone 技術(shù)3大關(guān)鍵理念與3個(gè)重要使用建議——保護(hù)調(diào)度函數(shù)寄存器數(shù)據(jù)的ACLE技術(shù)、驗(yàn)證指示的TT指令；最后一點(diǎn)開發(fā)商也必須牢記，非安全側(cè)可能會(huì)通過(guò)干擾安全側(cè)來(lái)修改數(shù)據(jù)。欲知更多詳情，請(qǐng)點(diǎn)此瀏覽，為協(xié)助您在ARMv8-M處理器上開發(fā)安全固件，我們精選了相關(guān)文件以供參考。