📚 课程目录第4章 TrustZone硬件机制

4、TrustZone硬件机制：安全中断、可信内存保护、安全外设隔离、总线过滤与TrustZone保护控制器（TZPC）配置

TrustZone技术的核心价值在于通过硬件强制隔离，为安全世界（Secure World）与普通世界（Normal World）提供物理级别的执行环境分离。在前一章节中，我们已理解处理器内核的虚拟化地址空间切换（NS位）与安全监控器（Monitor）的桥接作用。然而，仅靠CPU内核的隔离远不足以构建可信执行环境（TEE）。若中断、内存、外设或总线层面存在旁路攻击或非法访问路径，攻击者依然可以穿透安全边界。本章将深入剖析TrustZone硬件机制的四大支柱：安全中断路由、可信内存保护、安全外设隔离与总线过滤，并重点讲解TrustZone保护控制器（TZPC）的配置逻辑与实战要点。

上图展示了TrustZone硬件隔离机制的整体架构。从CPU内核的安全状态扩展，到GIC中断控制器、内存保护单元、外设隔离与总线过滤，每一层都承担着不可替代的防护职责。下面我们将逐一深入剖析这些机制的工作原理与工程实现。

4.1 安全中断机制：GIC与FIQ路由

4.1.1 核心原理：中断分组与安全路由

在TrustZone架构中，通用中断控制器（GIC，Generic Interrupt Controller）是中断管理的核心硬件。ARM GIC（特别是GIC-400及之后的版本）支持将中断源划分为两个安全组：Group 0（安全中断）和Group 1（非安全中断）。这种分组机制决定了中断信号如何被路由到CPU的IRQ或FIQ引脚。

Group 0 中断：始终作为安全中断处理，通常路由到FIQ。即使在普通世界（Normal World）执行时，Group 0中断也能触发安全监控器（Monitor）介入，将CPU切换到安全世界处理。典型应用包括安全定时器、安全调试接口、TEE内部通信中断。
Group 1 中断：作为普通中断处理，路由到IRQ。当CPU处于安全世界时，Group 1中断会被屏蔽或延迟处理，确保安全上下文不被普通中断打扰。

GIC还支持中断优先级与抢占逻辑。安全中断的优先级通常高于非安全中断，且安全中断可以抢占正在处理非安全中断的CPU。这种设计保证了安全关键事件（如密钥运算完成、安全存储读写）能够获得及时响应。

4.1.2 判断方法与配置流程

在实际开发中，配置安全中断需要遵循以下操作流程：

确定中断源类型：查阅芯片手册，确认目标中断是SGI（软件生成中断）、PPI（私有外设中断）还是SPI（共享外设中断）。
配置GICD_IGROUPRn寄存器：将需要作为安全中断的中断号对应位设置为0（Group 0）。
设置中断优先级：通过GICD_IPRIORITYRn寄存器分配优先级，安全中断建议设置为最高优先级（数值最小）。
使能中断：通过GICD_ISENABLERn寄存器使能对应中断。
配置CPU接口：在GICC_CTLR中设置FIQ使能（FIQEn=1），并确保安全中断路由到FIQ。

// 伪代码示例：配置安全中断
#define GICD_BASE 0x2C001000
#define GICD_IGROUPR0 (*(volatile uint32_t *)(GICD_BASE + 0x080))
#define GICD_ISENABLER0 (*(volatile uint32_t *)(GICD_BASE + 0x100))

// 将中断号31配置为Group 0（安全中断）
GICD_IGROUPR0 &= ~(1U << 31);
// 使能中断31
GICD_ISENABLER0 |= (1U << 31);

经验提示：在安全世界初始化阶段，务必先配置GIC的安全分组，再使能中断。若顺序颠倒，可能导致非安全中断在安全世界初始化期间被触发，造成不可预知的行为。

4.1.3 案例拆解：安全定时器中断处理

假设某TEE应用需要每10ms执行一次安全状态检查。我们选择SPI中断号32作为安全定时器中断。初始现象是：普通世界Linux内核频繁触发定时器中断，导致TEE响应延迟。分析发现，定时器中断被配置为Group 1，无法在安全世界被及时处理。

操作步骤：

将中断32配置为Group 0，路由到FIQ。
在Monitor模式中增加FIQ handler，直接切换到安全世界。
安全世界中的TEE内核处理定时器事件后，通过SMC指令返回普通世界。

结果对比：配置后，TEE的定时器响应时间从平均120μs降低到15μs，且不再受普通世界中断负载影响。风险点在于：FIQ处理路径必须极短，避免在Monitor中执行复杂逻辑导致中断延迟。

4.2 可信内存保护：TZASC与TZMA

4.2.1 核心原理：内存区域安全属性划分

可信内存保护通过TrustZone地址空间控制器（TZASC，TrustZone Address Space Controller）和TrustZone内存适配器（TZMA，TrustZone Memory Adapter）实现。TZASC通常用于控制DRAM等大容量内存，而TZMA用于控制片内SRAM。

特性	TZASC	TZMA
控制对象	外部DRAM	片内SRAM
区域划分	支持8-16个独立区域	通常支持2-4个区域
粒度	可配置到MB级别	可配置到KB级别
安全属性	每个区域可独立设置安全/非安全	每个区域可独立设置安全/非安全
典型应用	安全堆栈、安全数据缓冲区	安全OS内核镜像、密钥存储

TZASC通过AXI总线上的地址解码逻辑，拦截所有内存访问事务。当普通世界发起对安全内存区域的访问时，TZASC会返回错误响应（DECERR或SLVERR），阻止数据泄露。

4.2.2 配置流程与判断方法

配置TZASC需要以下步骤：

确定安全内存区域：根据系统内存映射，规划哪些地址范围属于安全世界。
配置TZASC区域寄存器：设置每个区域的基地址、大小和安全属性。
使能区域：将区域使能位设置为1。
验证配置：通过安全世界访问测试，确认非安全访问被正确拒绝。

// TZASC配置示例（基于ARM PL380）
#define TZASC_BASE 0x2A000000
#define TZASC_REGION_CTRL(base, region) (*(volatile uint32_t *)(base + 0x100 + region*0x10))
#define TZASC_REGION_BASE(base, region) (*(volatile uint32_t *)(base + 0x104 + region*0x10))
#define TZASC_REGION_ATTR(base, region) (*(volatile uint32_t *)(base + 0x108 + region*0x10))

// 配置区域0：基地址0x80000000，大小256MB，安全属性
TZASC_REGION_BASE(TZASC_BASE, 0) = 0x80000000;
TZASC_REGION_CTRL(TZASC_BASE, 0) = (255 << 8) | 0x1; // 256MB，使能
TZASC_REGION_ATTR(TZASC_BASE, 0) = 0x1; // 安全区域

风险提示：TZASC配置错误可能导致系统启动失败。例如，若将安全世界代码所在区域错误配置为非安全，CPU在安全状态取指时会触发异常。务必在修改TZASC配置前，确保安全世界代码已加载到安全区域。

4.2.3 实战场景：安全密钥存储保护

某移动支付方案需要在DRAM中存储RSA私钥。初始设计将密钥存储在普通内存区域，通过软件加密保护。分析发现，DMA攻击可以绕过CPU直接读取内存。解决方案是使用TZASC划分一块128MB的安全内存区域，将密钥明文存储在该区域。

实施过程：

在系统启动早期（BootROM阶段）配置TZASC，划分安全区域。
安全OS将密钥加载到安全区域，并清除普通世界对该区域的映射。
普通世界任何访问该区域的尝试都会触发总线错误。

结果：即使攻击者获得普通世界root权限，也无法通过DMA或CPU访问密钥。代价是安全内存区域不可被普通世界复用，造成一定的内存浪费。

4.3 安全外设隔离与总线过滤

4.3.1 核心原理：TZPC与总线防火墙

安全外设隔离通过TrustZone保护控制器（TZPC，TrustZone Protection Controller）实现。TZPC负责控制外设的安全属性信号，决定外设是归属于安全世界还是普通世界。每个受保护的外设都有一个对应的安全状态信号（通常称为SPID或SEC信号），TZPC通过配置寄存器控制这些信号的电平。

总线过滤则通过AXI-to-AXI防火墙（如CoreLink SMMU或专用TrustZone防火墙）实现。防火墙位于总线主设备（如DMA控制器）与从设备（如内存、外设）之间，根据事务的NS位和地址范围进行过滤。

4.3.2 判断方法与配置流程

TZPC配置流程如下：

识别受保护外设：查阅芯片手册，确认哪些外设连接到TZPC。
配置TZPC寄存器：通过TZPCR0BASE等寄存器设置外设的安全属性。
设置外设安全信号：将需要安全隔离的外设对应位设置为1（安全）。
验证隔离效果：从普通世界尝试访问安全外设，确认访问被拒绝。

// TZPC配置示例
#define TZPC_BASE 0x2B000000
#define TZPCR0BASE (*(volatile uint32_t *)(TZPC_BASE + 0x000))
#define TZPCR1BASE (*(volatile uint32_t *)(TZPC_BASE + 0x004))

// 将外设0-3设置为安全外设
TZPCR0BASE |= 0x0F;
// 将外设4-7设置为非安全外设
TZPCR1BASE &= ~0x0F;

4.3.3 案例拆解：安全UART与调试接口隔离

某安全启动方案需要将UART0作为安全调试接口，而UART1作为普通世界日志输出。初始配置中，两个UART均为非安全外设，导致安全世界调试信息泄露到普通世界。

分析过程：通过TZPC寄存器配置，将UART0设置为安全外设。普通世界访问UART0时，总线返回错误。安全世界可以正常使用UART0输出调试信息。

实施步骤：

在安全启动阶段，配置TZPC将UART0对应的位设置为1。
安全OS初始化UART0驱动，并验证读写功能。
普通世界Linux内核尝试访问UART0时，触发总线错误，驱动初始化失败。

复盘经验：外设隔离不仅限于UART，还包括GPIO、SPI、I2C等。设计时应根据安全需求，合理划分外设归属。过度隔离会导致普通世界功能受限，隔离不足则存在安全风险。

4.4 常见误区与总结复盘

误区	后果	正确做法
仅配置CPU安全状态，忽略GIC分组	安全中断无法及时响应	同步配置GIC Group 0/1
TZASC区域重叠或未对齐	内存访问异常或数据损坏	严格按芯片手册对齐地址
TZPC配置后未验证	外设隔离失效	编写测试用例验证访问控制
忽略总线过滤	DMA攻击绕过内存保护	配置总线防火墙，限制DMA访问
安全中断处理路径过长	FIQ延迟导致实时性下降	FIQ handler只做必要处理，快速切换

TrustZone硬件机制是TEE安全的基石。安全中断确保关键事件及时处理，可信内存保护防止数据泄露，外设隔离控制设备访问权限，总线过滤阻断旁路攻击。在实际开发中，必须从系统层面统筹设计，确保各机制协同工作。建议在项目初期就完成硬件安全配置的验证，避免后期返工。安全配置的每一步都应记录在案，形成可审计的安全启动链。