01
TEE基础概念
什么是TEE、TEE与REE的区别、典型应用场景：移动支付、DRM、身份认证
概念入门
02
主流TEE方案对比
ARM TrustZone · Intel SGX · AMD SEV · RISC-V Keystone 架构差异与选型
对比架构
03
安全启动原理
信任链、根信任、度量启动 vs 安全启动，核心概念精讲
原理信任链
04
硬件准备
开发板选型：Raspberry Pi 4 / HiKey960 / QEMU，HSM简介
硬件选型
05
开发环境搭建
Ubuntu 22.04 LTS · 交叉编译工具链 · 依赖库安装
环境工具链
06
OP-TEE项目概览
架构：TEE内核 / Supplicant / Client API · 源码目录解析
OP-TEE架构
07
OP-TEE源码编译
下载源码 · repo同步 · 完整编译流程
编译构建
08
构建文件系统
Buildroot构建根文件系统 · 内核TEE驱动配置
Buildroot文件系统
09
QEMU虚拟化环境搭建
安装QEMU · 虚拟网络 · 编译ATF/U-Boot/OP-TEE固件
QEMU虚拟化
10
启动OP-TEE
QEMU上启动 · 观察日志 · 验证TEE内核加载
启动验证
11
安全启动密钥管理
生成RSA密钥对 · OpenSSL证书管理 · 密钥存储策略
密钥PKI
12
签名与验签流程
OpenSSL签名镜像 · 验签原理 · SHA-256/SHA-512
签名哈希
13
U-Boot安全启动配置
配置U-Boot支持安全启动 · 添加公钥 · 验证签名
U-Boot安全启动
14
ARM Trusted Firmware (ATF) 配置
ATF启动流程 · BL1/BL2/BL31/BL32/B33 · 集成OP-TEE
ATF固件
15
设备树 (Device Tree) 配置
修改设备树支持TEE · reserved memory节点 · 中断配置
设备树DTS
16
TEE内核驱动开发
Linux TEE驱动框架 (drivers/tee) · 注册设备 · IOCTL接口
驱动内核
17
TEE客户端API开发
libteec · 用户空间程序 · 打开会话 · 调用TA命令
API用户态
18
可信应用 (TA) 开发入门
TA入口函数 · 命令处理 · TEE Internal API 安全存储
TA开发
19
TA签名与部署
sign_ta.py · 打包到文件系统 · 加载TA到TEE
签名部署
20
安全存储实现
RPMB / SFS · TEE Internal API 数据读写 · 密钥管理
安全存储RPMB
21
远程证明 (Remote Attestation) 原理
证明机制 · 签名报告 · 验证平台身份
远程证明安全
22
OP-TEE日志与调试
配置日志级别 · JTAG调试 · crash dump分析
调试日志
23
性能优化
减少上下文切换 · 优化TA内存 · 硬件加密加速
优化性能
24
安全启动故障排查
签名错误 · 密钥不匹配 · 硬件故障 · 日志分析
故障排查
25
固件更新与回滚保护
安全固件更新 · anti-rollback计数器 · 防回滚攻击
更新防回滚
26
TEE与Linux内核安全模块集成
IMA · SELinux/AppArmor 协同工作
集成LSM
27
多TEE方案混合部署
OP-TEE + Trusty 同平台运行 · 资源隔离策略
混合部署
28
TEE安全测试
TA fuzzing · 渗透测试 · 侧信道攻击防护
测试安全
29
生产环境部署
开发板→量产硬件 · 密钥注入 · 工厂配置
量产部署
30
案例实战：移动支付安全方案
基于OP-TEE的端到端安全启动流程演示
实战移动支付