1. TrustZone 技术概述

1.1 历史背景：从移动安全到泛物联网安全

ARM TrustZone 技术最早于 2003 年随 ARMv6 架构引入，最初目标是为功能手机和早期智能手机提供硬件级隔离的安全执行环境。在 TrustZone 出现之前，嵌入式系统的安全方案主要依赖软件层面的 安全操作系统 或 独立安全芯片（Secure Element, SE），前者容易被特权软件绕过，后者则增加 BOM 成本和 PCB 面积。

随着 2010 年后移动支付、DRM（数字版权管理）、生物识别认证等敏感业务爆发，TrustZone 从 ARM Cortex-A 系列处理器逐步扩展到 Cortex-M 系列（ARMv8-M），覆盖从高端应用处理器到低功耗微控制器的全谱系。2020 年后，工业物联网、车联网、智能家居设备对固件防篡改和密钥保护的需求激增，TrustZone 已成为嵌入式安全固件部署的事实标准硬件基础。

1.2 核心设计理念：硬件强制隔离与安全世界

TrustZone 的核心思想是在处理器硬件层面将系统划分为两个独立的执行环境：

• 安全世界（Secure World）：运行安全操作系统、可信应用（Trusted Application, TA）、密钥管理、安全存储等敏感代码。
• 非安全世界（Normal World）：运行普通操作系统（如 Linux、RTOS）、用户应用、网络协议栈等非可信代码。

两个世界通过 Monitor Mode（监控模式） 进行上下文切换，切换过程由硬件强制完成，非安全世界无法直接访问安全世界的物理内存、外设和寄存器。这种隔离粒度是 系统级 的，而非进程级或虚拟地址级。

1.3 与普通安全方案的对比优势

下表从多个维度对比 TrustZone 与纯软件安全方案、独立安全芯片（SE）方案的差异：

1.4 TrustZone 在固件安全中的核心价值

对于嵌入式固件部署而言，TrustZone 提供了三个不可替代的能力：

1. 安全启动（Secure Boot）：固件镜像在安全世界进行哈希校验和签名验证，确保只有经过签名的固件才能执行。非安全世界无法篡改启动流程。
2. 安全固件更新（Secure Firmware Update）：固件更新包在安全世界解密和验证，防止恶意固件注入。即使非安全世界被攻破，也无法伪造合法更新。
3. 运行时隔离（Runtime Isolation）：固件中的敏感模块（如密钥派生、加密引擎、设备身份认证）运行在安全世界，非安全世界的漏洞无法影响这些模块的执行和内存。

1.5 典型应用场景

• 移动支付与数字钱包：指纹、人脸等生物特征在安全世界处理，支付密钥存储在安全世界，防止恶意应用窃取。
• 数字版权管理（DRM）：解密密钥和解码流程在安全世界执行，防止高清视频内容被截取。
• 车联网（V2X）：车辆身份证书、V2X 消息签名在安全世界完成，防止伪造车辆身份。
• 工业物联网（IIoT）：设备固件防回滚、安全 OTA 更新、传感器数据真实性验证。
• 智能门锁与安防：开锁密钥、用户凭证存储在安全世界，防止物理拆解后提取密钥。