1. TEE基础概念：什么是可信执行环境
大家好，我是这次课程的主讲工程师。咱们直接进入正题——TEE到底是什么？
说白了，可信执行环境就是芯片内部的一个安全隔离区。它和主操作系统（比如Android、Linux）跑在同一个硬件上，但彼此完全隔离。我当年第一次接触这个概念时，也觉得挺玄乎的。后来亲手调过几个项目，才真正理解它的价值。
你可以把TEE想象成一个保险箱。手机里跑的各种App都在客厅（REE）里活动，而TEE是一个带独立锁的密室。就算客厅里进了贼，密室里的东西也拿不走。
核心要点：TEE不是软件虚拟出来的沙箱，而是硬件强制隔离的独立执行环境。它有自己的内存、存储和外设访问权限。
1.1 TEE与REE的区别
REE（Rich Execution Environment）就是我们日常用的操作系统环境。它功能丰富，但安全性堪忧。为什么？因为攻击面太大了——成千上万的App、驱动、服务，任何一个漏洞都可能被利用。
我做过一个统计：一个典型的Android系统，内核代码量超过1500万行。你想想看，这么大的代码量，谁敢保证没有漏洞？
TEE就不一样了。它的代码量通常只有几万行，而且经过了严格的形式化验证。嗯，这里要注意——不是所有TEE都安全，关键看实现。
| 对比维度 | REE（富执行环境） | TEE（可信执行环境） |
|---|---|---|
| 操作系统 | Android、Linux、iOS | 专用微型OS（如OP-TEE、Trusty） |
| 代码量 | 数百万到上千万行 | 几万到十几万行 |
| 攻击面 | 极大 | 极小 |
| 隔离方式 | 软件隔离（MMU、进程隔离） | 硬件隔离（TrustZone、SGX、SEV） |
| 安全等级 | 低到中等 | 高 |
| 功能丰富度 | 极高 | 极低（只做安全相关操作） |
为什么REE不能直接做安全操作？我举个例子。你在手机上输入支付密码，如果密码在REE里被读取，恶意App完全可以hook住输入事件。但在TEE里，键盘驱动直接由TEE管理，REE根本看不到按键数据。
个人经验：我在做某款手机的安全启动方案时，遇到过REE侧的内存DMA攻击。攻击者通过USB设备直接读取物理内存，绕过了所有软件防护。后来我们强制把密钥材料全部放在TEE内部，才彻底解决这个问题。
1.2 TEE的典型应用场景
移动支付
这是TEE最成熟的应用场景。你的指纹数据、支付密钥、交易签名，全都在TEE里完成。REE只负责展示界面和网络通信。
我参与过某支付公司的安全架构评审。他们最初把指纹模板存在REE的文件系统里，结果被一个提权漏洞直接拿走了所有用户的指纹数据。后来迁移到TEE，类似问题再没出现过。
移动支付的典型流程是这样的：
- 用户在REE侧点击支付按钮
- REE通过安全通道通知TEE启动支付
- TEE在安全UI上显示支付金额（防止界面劫持）
- 用户输入指纹或密码（TEE直接读取传感器）
- TEE用私钥签名交易数据
- 签名结果返回给REE，发送到服务器
避坑指南：我曾经见过一个方案，TEE和REE之间用共享内存传递明文密钥。这完全违背了TEE的设计初衷。记住——TEE和REE之间的通信必须加密和认证，否则TEE就是个摆设。
DRM（数字版权管理）
你看Netflix、腾讯视频的4K内容，背后就是TEE在保护。解密密钥和解码过程都在TEE里完成，REE只能拿到已经解密的视频帧。
为什么需要TEE？因为纯软件DRM已经被攻破无数次了。我记得2017年有个著名的Widevine漏洞，攻击者通过内存dump直接拿到了解密密钥。后来Google强制要求L1级别的DRM必须跑在TEE里。
DRM的安全等级划分：
- L1（最高）：所有解密和编解码都在TEE内完成，输出到受保护的显示通道
- L2：解密在TEE，编解码在REE，但输出受保护
- L3：纯软件实现，没有硬件保护
我个人建议，如果你在做视频平台的安全方案，至少要求L2级别。L3基本等于裸奔。
物联网
物联网设备的安全问题比手机更严峻。为什么？因为设备数量多、更新困难、攻击者可以物理接触设备。
我在一个智能门锁项目里用过TEE。门锁的指纹模板、开锁密钥、固件签名验证，全放在TEE里。就算攻击者拆开设备，用JTAG读Flash，也拿不到密钥——因为TEE的密钥存储在芯片内部的efuse里，物理上不可读。
物联网场景下TEE的典型用途：
- 安全启动：验证固件签名，确保只运行可信代码
- 密钥管理：设备身份密钥、云服务认证密钥
- 安全更新：验证OTA升级包的签名
- 传感器数据保护：确保采集的数据没有被篡改
经验之谈：物联网设备做TEE时，一定要考虑功耗和成本。不是所有MCU都支持TEE。我建议优先选择ARM Cortex-M23/M33系列，它们内置TrustZone for ARMv8-M，性价比很高。
1.3 TEE的核心架构
为了让你更直观地理解TEE的架构，我画了一张图。这张图展示了一个典型的基于ARM TrustZone的TEE系统。
这张图里，你看到的是典型的双世界架构。左侧是安全世界（TEE），右侧是非安全世界（REE）。中间的安全监控模式负责切换。
为什么需要监控模式？因为CPU在同一时间只能运行在一个世界里。当REE需要调用TEE服务时，会触发一个安全中断，CPU切换到监控模式，保存REE上下文，然后进入TEE执行。执行完再切回来。
注意：这个切换过程是有性能开销的。我实测过，一次世界切换大约需要几百纳秒到几微秒。如果你的应用需要频繁调用TEE，一定要考虑这个延迟。我曾经见过一个方案，每秒调用TEE上千次，结果性能直接崩了。
好了，TEE的基础概念就讲到这里。记住三个关键词：硬件隔离、小代码量、专用安全服务。后面的章节我们会深入每个技术细节。
可可精品资料库