📚 课程目录第3章 TPM与TEE技术

3. TPM 与 TEE 技术：硬件信任的左右手

聊到远程证明，很多人第一反应就是“加密算法”。但说实话，算法只是工具。真正让证明可信的，是执行证明的硬件环境。今天我们就来拆解两个最核心的硬件信任根：TPM 和 TEE。

我个人习惯把 TPM 比作“保险柜”，TEE 比作“防弹玻璃房”。一个负责静态存储，一个负责动态执行。两者配合，才能构建真正的可信环境。

3.1 TPM 工作原理：从启动到证明

TPM 本质上是一个独立的密码协处理器。它有自己的 CPU、存储、随机数发生器，甚至还有耐篡改的封装。我当年第一次拆开 TPM 芯片时，发现它居然有独立的晶振——嗯，这玩意儿确实不好骗。

3.4.1 核心功能模块

功能	说明	我的经验
平台配置寄存器（PCR）	存储系统启动过程中的度量值，只能扩展（extend），不能重置	曾经调试过 PCR 值对不上的问题，最后发现是 BIOS 版本升级导致的
背书密钥（EK）	TPM 出厂时烧录的唯一身份密钥，不可导出	EK 泄露基本等于芯片报废，所以远程证明一般用 AIK
身份密钥（AIK）	由 EK 派生，用于签名证明请求	每个应用应该生成独立的 AIK，避免交叉污染
非易失性存储（NVRAM）	存储密钥、证书等敏感数据	注意 NVRAM 写入次数有限，别在循环里写

3.1.2 信任链传递过程

TPM 的可信启动是一个链式验证过程。说白了，就是从第一行代码开始，每一级都验证下一级的完整性。

CRTM（核心信任根）：固化在 BIOS 中的不可修改代码，是信任的起点
BIOS/UEFI：CRTM 度量 BIOS 固件，将哈希值扩展到 PCR[0]
Boot Loader：BIOS 度量 Boot Loader，扩展到 PCR[1]
OS Kernel：Boot Loader 度量内核，扩展到 PCR[2]
应用层：内核度量关键应用，扩展到 PCR[3]

关键点：PCR 的扩展操作是 H(PCR || new_value)，这意味着你无法通过逆向计算得到之前的状态。任何篡改都会导致最终 PCR 值与预期不符。

3.1.3 远程证明流程

TPM 的远程证明，本质上就是“我证明我的 PCR 值是对的”。具体流程如下：

验证者（Verifier）发送一个随机数 Nonce 给设备
设备上的 TPM 用 AIK 对当前 PCR 值 + Nonce 进行签名
设备将签名结果和 PCR 引用值（Quote）返回给验证者
验证者用设备的 AIK 公钥验证签名，并比对 PCR 值是否与预期一致

避坑指南：我曾经遇到过 Nonce 重用的问题。如果 Nonce 不随机，攻击者可以重放旧的 Quote 响应。所以 Nonce 必须每次不同，且不可预测。

3.2 TEE 介绍：安全世界的隔离技术

TPM 擅长静态度量，但无法保护运行时的代码和数据。这时候就需要 TEE 出场了。TEE 在 CPU 内部创建了一个隔离的执行环境，与普通操作系统（REE）完全隔离。

你想想看，就算你的 Linux 被攻破了，攻击者也看不到 TEE 里的内存。这就是硬件隔离的威力。

3.2.1 TEE 与 REE 的对比

特性	REE（普通世界）	TEE（安全世界）
操作系统	Linux、Android 等通用 OS	轻量级安全 OS（如 OP-TEE）
内存访问	只能访问非安全内存	可访问安全内存和非安全内存
外设访问	受限制	可独占安全外设（如指纹传感器）
调试接口	开放	通常禁用或受保护
典型应用	用户界面、网络通信	密钥管理、支付、DRM

3.2.2 TEE 的远程证明

TEE 的证明与 TPM 不同。TEE 证明的是“当前运行的程序是可信的”，而不是“系统启动过程是可信的”。

具体来说，TEE 会生成一个证明令牌（Token），包含：

TA（可信应用）的哈希值
TA 的元数据（版本号、作者等）
平台的安全属性（是否已打补丁等）
用 TEE 私钥签名的 Nonce

注意：TEE 的私钥通常由芯片厂商在产线中注入。如果私钥泄露，整个平台的可信性都会崩塌。所以，选择有良好密钥管理实践的芯片厂商很重要。

3.3 Intel SGX 与 ARM TrustZone

目前主流的 TEE 技术有两个阵营：Intel 的 SGX 和 ARM 的 TrustZone。我两个都折腾过，各有千秋。

3.3.1 Intel SGX：应用级隔离

SGX 允许应用在内存中创建“飞地”（Enclave）。飞地内的代码和数据对操作系统和其他应用完全不可见。即使系统被攻破，飞地内的秘密依然安全。

核心特点：

粒度细：每个应用可以创建多个飞地
内存加密：飞地内存使用 MEE（内存加密引擎）加密
远程证明：Intel 提供 Attestation Service 验证飞地身份

// SGX 飞地创建示例（伪代码）
sgx_enclave_id_t enclave_id;
sgx_status_t status;

// 加载飞地
status = sgx_create_enclave("enclave.signed.so", 
                            SGX_DEBUG_FLAG, 
                            &enclave_id, 
                            NULL);

// 调用飞地内的安全函数
status = trusted_function(enclave_id, &secret_data);

// 销毁飞地
sgx_destroy_enclave(enclave_id);

我的经验：SGX 的飞地大小有限制（通常 128MB-256MB）。如果你需要处理大量数据，记得分块处理。我曾经因为一次性加载了 200MB 数据到飞地，结果直接 OOM 了。

3.3.2 ARM TrustZone：系统级隔离

TrustZone 将 CPU 分为两个世界：普通世界（Normal World）和安全世界（Secure World）。通过硬件总线级别的隔离，安全世界可以访问普通世界的内存，但反过来不行。

核心特点：

粒度粗：整个安全世界共享一个安全 OS
性能好：上下文切换开销小（约 20 个时钟周期）
生态成熟：OP-TEE、Trusty 等开源实现

对比维度	Intel SGX	ARM TrustZone
隔离粒度	应用级（飞地）	系统级（安全世界）
内存保护	硬件加密（MEE）	总线隔离（TZASC）
证明方式	Intel Attestation Service	厂商自定义（如 Trusted Firmware-M）
适用场景	云端、PC 端	移动端、IoT 端
开发难度	较高（需要 SDK）	中等（OP-TEE 有完善文档）

3.3.3 如何选择？

说实话，没有银弹。我的建议是：

如果你的设备是 x86 架构的服务器或 PC，选 SGX
如果你的设备是 ARM 架构的嵌入式或移动设备，选 TrustZone
如果你需要保护单个敏感函数，SGX 更灵活
如果你需要保护整个安全子系统，TrustZone 更省心

避坑指南：我曾经在 TrustZone 上踩过一个坑——安全世界和普通世界共享中断控制器。如果配置不当，普通世界的中断可能会打断安全世界的敏感操作。记得在安全世界入口处禁用所有非安全中断。

3.4 本章小结：TPM + TEE 的协同

TPM 和 TEE 不是替代关系，而是互补关系。TPM 提供静态信任根，TEE 提供动态信任根。在 IoT 远程证明中，我通常这样组合：

使用 TPM 度量系统启动过程，确保固件和 OS 未被篡改
使用 TEE 保护证明过程中的密钥和签名操作
TPM 的 PCR 值可以作为 TEE 证明的输入，形成完整的信任链

说白了，TPM 是“你从哪里来”，TEE 是“你现在是谁”。两者结合，才能回答“你值得信任吗”这个问题。