借助Hypervisor强化TrustZone对非安全世界的监控能力

来源：软件学报杂志2018年第8期北京时间：

作者：章张锴,李舟军,夏春和,马金鑫,崔津华

单位：章张锴，北京航空航天大学 计算机学院, 北京 10019111,李舟军，北京航空航天大学 计算机学院, 北京 10019102,夏春和，北京航空航天大学 计算机学院, 北京 10019103,马金鑫，中国信息安全测评中心, 北京 10008504,崔津华，Singapore Management University, Singapore 178895, Singapore05

摘要：ARM TrustZone技术已经在Android手机平台上得到了广泛的应用，它把Android手机的硬件资源划分为两个世界——非安全世界（non-secure world）和安全世界（secure world）.用户所使用的Android操作系统运行在非安全世界，而基于TrustZone对非安全世界监控的系统（例如KNOX，Hypervision）运行在安全世界.这些监控系统拥有高权限，可以动态地检查Android系统的内核完整性，也可以代替Android内核来管理非安全世界的内存.但是由于TrustZone和被监控的Android系统分处于不同的世界，world gap（世界鸿沟）的存在导致处于安全世界的监控系统不能完全地监控非安全世界的资源（例如Cache）.TrustZone薄弱的拦截能力和内存访问控制能力也弱化了它对非安全世界的监控能力.提出了一种可扩展框架系统HTrustZone，能够结合Hypervisor来协助TrustZone抵御利用world gap的攻击，增强其拦截能力和内存访问控制能力，从而为非安全世界的操作系统提供更高的安全性保障.并在Raspberry Pi2开发板上实现了HTrustZone的原型系统，实验结果表明，HTrustZone的性能开销仅仅增加了3%左右.

关键词：TrustZone;Hypervisor;监控系统;虚拟化

基金资助：国家重点研发计划（2016QY04W0802）；国家高技术研究发展计划（863）（2015AA016004）；国家自然科学基金（61370126，61672081，61502536，U1636208）