4. 硬件准备
好，咱们进入实战环节的第一步——选硬件。
说实话，很多初学者一上来就纠结「到底买哪块板子」。我当年也一样，看着淘宝上五花八门的开发板，头都大了。其实没那么复杂，关键看你手头有什么、想做什么。
我个人习惯是：先定目标，再选工具。你想想看，如果只是为了学TEE的基本概念，QEMU虚拟化环境完全够用。但如果你想做底层驱动开发、或者要跟真实硬件交互，那还是得上实体板子。
4.1 三款主流方案对比
我挑了三款最常见的方案，分别对应不同场景。直接上表格，一目了然：
| 开发板 | SoC/架构 | TEE支持 | 价格区间 | 适合场景 |
|---|---|---|---|---|
| Raspberry Pi 4 | BCM2711 (Cortex-A72) | Optee (需自行移植) | ¥300-500 | 入门学习、原型验证 |
| HiKey960 | Kirin 960 (Cortex-A73/A53) | 官方支持Optee | ¥800-1200 | 标准TEE开发、驱动调试 |
| QEMU虚拟化 | 模拟ARMv8-A | 完整Optee模拟 | 免费 | 学习验证、CI/CD集成 |
我的建议：如果你是第一次接触TEE，先别急着买板子。用QEMU跑一遍完整的Optee启动流程，成本为零，还能反复折腾。等把概念搞清楚了，再考虑入手实体硬件。
4.2 Raspberry Pi 4——性价比之选
树莓派4，大家都很熟了。它用的是BCM2711芯片，四核Cortex-A72。嗯，这里要注意——树莓派本身没有硬件TEE支持，但我们可以通过Optee项目来「软件模拟」安全世界。
我在项目中遇到过一个问题：树莓派的GPU固件是闭源的，它其实有自己的安全世界（VideoCore）。这就导致我们在做TEE移植时，得小心避开GPU占用的内存区域。说白了，就是不能跟它抢地盘。
树莓派4的优势很明显：
- 社区资源丰富，遇到问题好找人问
- GPIO引出方便，可以外接安全外设
- 价格便宜，折腾坏了不心疼
但缺点也有：
- 没有原生的TrustZone支持，只能跑「模拟版」Optee
- 性能有限，不适合做性能测试
小技巧：用树莓派4跑Optee时，记得把CPU频率锁定在1.5GHz。我之前没注意，结果跑着跑着CPU降频，TEE的响应时间忽高忽低，排查了半天才发现是散热问题。
4.3 HiKey960——标准TEE开发板
HiKey960是Linaro 96Boards系列的一员，用的是华为麒麟960芯片。这块板子我用了两年多，算是比较有发言权的。
为什么推荐它？因为它原生支持TrustZone。麒麟960的Cortex-A73大核和A53小核都实现了ARM TrustZone技术，而且海思官方提供了完整的TEE固件支持。
我记得第一次在HiKey960上跑通Optee时，那种感觉——嗯，就像你组装了一台电脑，按下电源键，屏幕亮了。虽然只是打印了一行"Hello Secure World"，但那种成就感，没做过底层的人体会不到。
HiKey960的核心优势：
- 官方支持Optee，移植工作量小
- 有独立的TEE内存区域（Secure RAM）
- 支持硬件随机数生成器（TRNG）
- 调试接口齐全（JTAG、UART）
注意：HiKey960的启动流程比较特殊。它用的是UEFI + GRUB的方式，跟树莓派的设备树加载方式完全不同。我第一次烧录时，因为没注意分区表格式，直接把boot分区写坏了。嗯，后来老老实实看了三遍官方文档才搞定。
4.4 QEMU虚拟化环境——零成本入门
如果你手头紧，或者只是想先看看TEE长什么样，QEMU绝对是最佳选择。
QEMU可以模拟完整的ARMv8-A平台，包括TrustZone扩展。Optee官方就提供了QEMU的启动脚本，你只需要装好依赖，一条命令就能跑起来。
我个人习惯用QEMU做两件事：
- 快速原型验证——写个TA（Trusted Application），先在QEMU上跑通，再部署到真机上
- 自动化测试——把QEMU集成到CI流水线里，每次提交代码自动跑一遍TEE测试用例
QEMU的启动命令其实很简单：
# 克隆Optee项目
git clone https://github.com/OP-TEE/optee_os.git
cd optee_os
# 编译并启动QEMU
make -j4 run你看，就这么几行。我第一次跑的时候，看到终端里刷出"Welcome to OP-TEE"的字样，说实话，比在真机上跑通还兴奋。因为这意味着——你不用花一分钱，就能拥有一个完整的TEE开发环境。
避坑指南：我曾经在QEMU上折腾了一整天，发现TA加载总是失败。后来排查发现，是QEMU的虚拟内存配置跟我的宿主机不兼容。解决办法很简单——给QEMU分配至少2GB内存。你想想看，TEE本身就要占用一部分安全内存，再加上普通世界的开销，512MB根本不够用。
4.5 硬件安全模块（HSM）简介
聊完开发板，咱们再简单说说HSM。
HSM，全称Hardware Security Module，说白了就是一个专门干密码学活儿的硬件盒子。它跟TEE的区别在于：TEE是SoC内部的安全执行环境，而HSM是一个独立的外部设备。
我在做金融支付项目时，客户要求密钥必须存储在HSM里，不能碰CPU内存。为什么？因为HSM有物理防护——你拆开它，里面的密钥会自动销毁。TEE虽然也安全，但毕竟跟普通世界共享同一颗芯片，理论上存在侧信道攻击的风险。
常见的HSM产品：
- YubiHSM——USB接口，适合开发测试
- Thales Luna——企业级，支持FIPS 140-2 Level 3
- SoftHSM——软件模拟，适合学习
不过说实话，咱们做TEE开发，前期基本用不上HSM。等你真正要部署到生产环境，或者要处理金融级别的密钥管理时，再考虑引入HSM也不迟。
我的经验：如果你只是想学习TEE的安全启动流程，QEMU + Optee的组合已经足够了。等你能熟练地在QEMU上完成TA的开发、签名、加载、运行这一整套流程，再考虑入手HiKey960或者树莓派4。一步一步来，别贪多。
4.6 本章知识体系
最后，我用一张图总结一下本章的核心逻辑。这张图展示了从硬件选型到安全启动的完整链路：
这张图其实就说明了一件事：选硬件不是目的，目的是搭建一个能跑TEE安全启动的环境。不管你选树莓派、HiKey960还是QEMU，最终都要落到TrustZone + Optee这条技术栈上。