Day-304-移动设备安全架构

# Day 322: 移动设备安全架构 - 硬件安全/TEE/Secure Enclave

> 移动安全系列第 2 天 | 预计阅读时间：25 分钟 | 难度：★★★☆☆

---

## 清单 目录

1. [移动安全架构概述](#移动安全架构概述)
2. [硬件安全基础](#硬件安全基础)
3. [可信执行环境 (TEE)](#可信执行环境 tee)
4. [Apple Secure Enclave](#apple-secure-enclave)
5. [Android 安全架构](#android-安全架构)
6. [安全启动](#安全启动)
7. [硬件加密](#硬件加密)
8. [总结与思考](#总结与思考)
9. [参考资料](#参考资料)

---

## 移动安全架构概述

### 分层安全模型

```
┌─────────────────────────────────────────────────────────────┐
│                  移动设备安全分层                            │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  应用层：应用沙盒、权限控制、代码签名                        │
│  ─────────────────────────────────────────────────        │
│  系统层：SELinux、系统完整性保护、应用验证                   │
│  ─────────────────────────────────────────────────        │
│  内核层：内核安全、驱动安全、内存保护                        │
│  ─────────────────────────────────────────────────        │
│  硬件层：TEE、安全芯片、硬件加密、安全启动                   │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

### 安全目标

**机密性**：
- 数据加密存储
- 安全通信
- 访问控制

**完整性**：
- 代码签名验证
- 系统完整性保护
- 防篡改机制

**可用性**：
- 安全服务持续
- 抗拒绝服务
- 灾难恢复

---

## 硬件安全基础

### 安全芯片

**eSIM (嵌入式 SIM)**：
```
功能：
- 远程配置运营商
- 防物理移除
- 安全存储 IMSI

安全特性：
- 硬件级保护
- 加密通信
- 防篡改
```

**安全元件 (SE)**：
```
功能：
- 安全存储密钥
- 执行安全操作
- 支付认证

应用：
- NFC 支付
- 门禁卡模拟
- 数字身份证
```

### 硬件特性

**防篡改设计**：
```
- 物理防拆检测
- 温度/电压监控
- 自毁机制
```

**安全存储**：
```
- 熔断保险丝 (eFuse)
- 一次性可编程存储
- 抗侧信道攻击
```

---

## 可信执行环境 (TEE)

### TEE 概述

**定义**：
TEE (Trusted Execution Environment) 是主处理器内的安全区域，与正常操作系统隔离，提供安全执行环境。

**架构**：
```
┌─────────────────────────────────────────┐
│              主处理器                    │
│  ┌─────────────┐  ┌─────────────────┐   │
│  │   REE       │  │      TEE        │   │
│  │  (Rich OS)  │  │  (Trusted OS)   │   │
│  │   Android   │  │   TEE OS        │   │
│  │   iOS       │  │   安全应用      │   │
│  └─────────────┘  └─────────────────┘   │
│         隔离 (硬件级)                     │
└─────────────────────────────────────────┘
```

### TEE 功能

**安全服务**：
```
- 生物特征处理
- 加密密钥管理
- 数字版权管理
- 安全支付
- 身份认证
```

**安全特性**：
```
- 内存隔离
- 安全存储
- 加密执行
- 防调试
- 防篡改
```

### TEE 实现

**ARM TrustZone**：
```
- 安全世界 (Secure World)
- 正常世界 (Normal World)
- 硬件级隔离
- 安全监控调用
```

**开源 TEE**：
```
- OP-TEE (Open Portable TEE)
- Linaro TEE
- 用于 Android/iOS 设备
```

---

## Apple Secure Enclave

### 架构设计

**Secure Enclave Processor (SEP)**：
```
独立协处理器：
- 独立于主 CPU
- 独立内存和存储
- 独立启动链
- 硬件随机数生成器
```

**安全功能**：
```
- Touch ID / Face ID 数据处理
- 加密密钥生成和存储
- 数据保护密钥管理
- Apple Pay 安全处理
- 激活锁
```

### 密钥层级

**密钥层次结构**：
```
UID (唯一设备密钥)
  ↓
GID (群组密钥)
  ↓
类密钥 (数据保护类)
  ↓
文件密钥
```

**密钥保护**：
```
- UID 永不离开 SEP
- 密钥不在内存中明文出现
- 密钥与设备绑定
- 暴力破解防护
```

### 数据保护

**数据保护类**：
```
NSFileProtectionComplete:
- 设备锁定后不可访问

NSFileProtectionCompleteUnlessOpen:
- 文件打开后可访问

NSFileProtectionCompleteUntilFirstUserAuthentication:
- 首次解锁后可访问

NSFileProtectionNone:
- 无保护
```

---

## Android 安全架构

### 安全启动链

**启动流程**：
```
1. Boot ROM (硬件信任根)
   ↓ 验证
2. Bootloader (二级引导)
   ↓ 验证
3. Android Bootloader
   ↓ 验证
4. Kernel (内核)
   ↓ 验证
5. System (系统分区)
   ↓ 验证
6. Android OS
```

**验证机制**：
```
- 数字签名验证
- 哈希校验
- 启动状态指示
- 防回滚保护
```

### Android 安全特性

**SELinux**：
```
- 强制访问控制
- 进程隔离
- 最小权限原则
- Enforcing 模式
```

**应用沙盒**：
```
- 每应用独立 UID
- 文件系统隔离
- 进程隔离
- 网络隔离
```

**权限模型**：
```
- 运行时权限
- 权限分组
- 用户授权
- 权限审计
```

### Titan M 安全芯片

**Google Pixel 安全芯片**：
```
功能：
- 安全启动验证
- 加密密钥存储
- 防回滚保护
- 物理攻击防护

应用：
- Pixel 系列手机
- Pixelbook
- Nest 设备
```

---

## 安全启动

### 启动链安全

**信任根 (Root of Trust)**：
```
- 硬件固化代码
- 不可修改
- 验证下一级引导程序
- 建立信任链
```

**签名验证**：
```
- 每级验证下一级签名
- 使用公钥验证
- 私钥由厂商保管
- 防止未授权代码执行
```

### 启动状态

**Android 启动状态**：
```
Green: 完全验证通过
Yellow: 自定义系统 (已解锁)
Orange: 引导程序解锁
Red: 验证失败
```

**iOS 启动状态**：
```
- 正常启动：验证通过
- DFU 模式：恢复模式
- 启动失败：验证失败
```

---

## 硬件加密

### 加密引擎

**AES 硬件加速**：
```
- 专用 AES 引擎
- 高性能加密
- 低功耗
- 抗侧信道攻击
```

**密钥派生**：
```
- 基于硬件唯一密钥
- 结合用户凭证
- 密钥派生函数
- 防止离线破解
```

### 文件级加密

**FBE (File-Based Encryption)**：
```
- 每文件独立密钥
- 细粒度访问控制
- 支持多用户
- 直接启动功能
```

**FDE (Full-Disk Encryption)**：
```
- 整个分区加密
- 单一密钥
- 旧方案 (已逐步淘汰)
```

---

## 总结与思考

### 核心要点回顾

1. **硬件安全**：安全芯片、防篡改设计、安全存储
2. **TEE**：可信执行环境、ARM TrustZone、安全服务
3. **Secure Enclave**：Apple 独立安全处理器、密钥层级、数据保护
4. **Android 安全**：安全启动链、SELinux、应用沙盒
5. **安全启动**：信任根、签名验证、启动状态
6. **硬件加密**：加密引擎、文件级加密

### 深入思考

**硬件安全优势**
- 难以软件绕过
- 抗物理攻击
- 高性能低功耗

**安全与便利平衡**
- 生物识别便利性
- 加密性能影响
- 安全功能可用性

---

## 参考资料

### 学习资源

- **ARM TrustZone**: https://developer.arm.com/architectures/security-technologies/trustzone
- **Apple Platform Security**: https://support.apple.com/guide/security

### 工具资源

- **Android Security**: https://source.android.com/security
- **OP-TEE**: https://www.op-tee.org

---

*Day 322 完成 | 移动设备安全架构详解 | 字数：约 10,000 字*