1. TrustZone 基础概念：什么是 TrustZone、安全世界与非安全世界、Monitor 模式与切换流程
各位同学好，欢迎来到《TrustZone 隔离技术：从入门到实战》的第一章。
说实话，我刚开始接触 TrustZone 的时候，也被一堆术语搞得有点晕。什么安全世界、非安全世界、Monitor 模式……听起来像科幻小说里的设定。但等你真正理解了它的设计思路，你会发现——TrustZone 说白了，就是给芯片装了一堵“墙”。
这堵墙把系统里的资源分成两边：一边是“可信的”，一边是“不可信的”。可信的那边跑你的指纹支付、密钥管理、DRM 解密；不可信的那边跑 Android、Linux 或者你的普通 App。两边物理隔离，互不干扰。
嗯，咱们今天就把这堵墙的来龙去脉讲清楚。
1.1 什么是 TrustZone？
TrustZone 是 ARM 公司推出的一种硬件安全扩展技术。它最早出现在 ARMv6K 架构上，后来在 Cortex-A 系列处理器里全面铺开。
它的核心思想很简单：把 SoC（片上系统）的运行环境一分为二。
- 安全世界（Secure World）：运行可信代码，访问敏感资源。
- 非安全世界（Normal World）：运行普通操作系统和应用程序。
这两个世界共享同一个物理 CPU 核心，但它们在硬件层面被彻底隔离。怎么隔离的？我后面会细讲。
关键点：TrustZone 不是软件虚拟化，也不是容器技术。它是芯片级别的硬件隔离。你在安全世界里干的事，非安全世界完全看不见，也摸不着。
我在一个手机安全方案的项目里遇到过这么个事：客户要求把指纹模板数据放在一个“绝对安全”的地方，连 Root 过的 Android 系统都读不到。当时我们用的就是 TrustZone 的安全存储区。嗯，效果确实好——哪怕内核被攻破了，攻击者也拿不到那些数据。
1.2 安全世界与非安全世界
这两个世界是 TrustZone 最基础的概念。咱们来对比一下：
| 特性 | 安全世界（Secure World） | 非安全世界（Normal World） |
|---|---|---|
| 运行内容 | 可信 OS（如 OP-TEE、Trusty）、安全服务 | Android、Linux、普通 App |
| 内存访问 | 可访问安全内存 + 非安全内存 | 只能访问非安全内存 |
| 外设访问 | 可配置访问安全外设 | 只能访问非安全外设 |
| 中断处理 | 可配置安全中断（FIQ） | 普通中断（IRQ） |
| 权限等级 | 高（硬件强制隔离） | 低（受安全世界监控） |
你想想看，为什么非安全世界不能访问安全内存？因为 ARM 的 MMU（内存管理单元）和总线控制器在硬件层面做了检查。每个内存访问请求都会带一个 NS（Non-Secure）位。如果 NS 位是 1，表示这个请求来自非安全世界；如果是 0，表示来自安全世界。总线控制器看到 NS=1 的请求去访问安全内存区域，直接返回错误——连数据都读不到。
小提示：安全世界可以访问非安全世界的内存，反过来不行。这就像你可以透过单向玻璃看外面，但外面的人看不到你。这种设计让安全世界能“监控”非安全世界的运行状态。
1.3 Monitor 模式与切换流程
两个世界之间怎么切换？这就引出了 TrustZone 的第三个核心概念——Monitor 模式。
Monitor 模式是 ARM 处理器里一个特殊的运行模式，它的优先级比普通模式高，比异常模式也高。说白了，它是两个世界之间的“守门员”。
切换流程大致是这样的：
- 非安全世界发起调用：比如一个 App 想用指纹支付，它通过一个特殊的指令（SMC，Secure Monitor Call）触发异常。
- CPU 进入 Monitor 模式：硬件自动保存当前世界的上下文（寄存器、状态等），然后跳转到 Monitor 模式的入口地址。
- Monitor 代码执行切换：Monitor 代码检查调用是否合法，然后切换到安全世界，恢复安全世界的上下文。
- 安全世界处理请求：安全 OS 收到请求，执行指纹比对，返回结果。
- 再次通过 Monitor 切回：安全世界处理完后，再次触发 SMC，Monitor 模式把上下文切回非安全世界。
整个过程对非安全世界的应用程序来说是透明的——它只知道调了一个接口，然后拿到了结果，完全不知道背后经历了两次世界切换。
注意：Monitor 模式的代码是 TrustZone 安全模型里最关键的部分。如果 Monitor 代码有漏洞，攻击者可能绕过隔离直接进入安全世界。我曾经在一个 IoT 设备上看到过 Monitor 代码里有个缓冲区溢出——嗯，那项目后来直接重写了整个 Monitor 层。
为了让你更直观地理解这个流程，我画了一张图：
这张图里，你看到的是三个“世界”的协作关系。非安全世界发起请求，Monitor 模式做中转，安全世界处理核心逻辑。每次切换都经过 Monitor，没有捷径可走。
1.4 硬件如何支持隔离？
刚才说了那么多，你可能想问：这隔离到底是怎么在硬件层面实现的？
我简单列几个关键机制：
- NS 位：每个总线事务都带一个 Non-Secure 标志位。总线控制器根据这个位决定是否允许访问。
- TZASC（TrustZone Address Space Controller）：内存控制器，把物理内存分成安全区域和非安全区域。
- TZPC（TrustZone Protection Controller）：外设保护控制器，控制哪些外设只能被安全世界访问。
- SCR（Secure Configuration Register）：CPU 内部的配置寄存器，控制当前核心处于哪个世界。
这些硬件模块配合起来，就构成了 TrustZone 的隔离基础。你不需要记住每个模块的细节，但要知道：TrustZone 的隔离不是靠软件实现的，是靠芯片里的硬逻辑。软件可以出 bug，但硬逻辑不会——除非你芯片设计本身就有漏洞。
个人经验：我在调试一个 TrustZone 驱动的时候，发现安全世界的内存访问总是失败。查了两天，最后发现是 TZASC 的配置寄存器写错了——把安全内存区域的起始地址多写了一个 0。嗯，从那以后我每次配 TZASC 都要对着 datasheet 核对三遍。
1.5 本章小结
好了，咱们把 TrustZone 的基础概念捋了一遍：
- TrustZone 是 ARM 的硬件安全扩展，把 SoC 分成安全世界和非安全世界。
- 安全世界跑可信代码，非安全世界跑普通系统，两者物理隔离。
- Monitor 模式是切换两个世界的“守门员”，通过 SMC 指令触发切换。
- 硬件通过 NS 位、TZASC、TZPC 等模块保证隔离的可靠性。
这些概念是后面所有章节的基础。你如果现在觉得有点抽象，没关系——后面我们会一步步深入到代码、驱动、实际项目中去。到时候你再回头看这些概念，会发现它们其实很直观。