MIPS-VZ與ARMv8-M CMSE安全大比拼 - 全文

概述

ARMv8-M安全特性擴(kuò)展（CMSE）是基于Trust-zone（TZ）技術(shù)。類(lèi)似于其他基于TZ的系統(tǒng)，他們都存在一個(gè)安全的空間和一個(gè)不安全的空間。這意味著所有受保護(hù)的代碼必須相互信任，因?yàn)樗鼈兊膱?zhí)行會(huì)共享同一段同屬安全區(qū)域的地址空間。

MIPS-VZ采用的是基于硬件的CPU虛擬化技術(shù)，可以實(shí)現(xiàn)多個(gè)執(zhí)行域，每個(gè)域都是獨(dú)立的且是彼此間受保護(hù)的。這樣就有一個(gè)好處，即受保護(hù)的代碼不需要信任其他代碼，因?yàn)樗鼈兌紦碛兴接袌?zhí)行域。MIPS-VZ架構(gòu)最多支持255個(gè)獨(dú)立的域，某些特定的CPU可能實(shí)現(xiàn)較少數(shù)目的域。

執(zhí)行模式

ARMv8-M CMSE和MIPS-VZ增加了新的執(zhí)行模式來(lái)區(qū)分對(duì)待不同的代碼，對(duì)于絕對(duì)信任的代碼則賦予更多權(quán)限，對(duì)于其他非信任代碼則使用較低的執(zhí)行權(quán)限。

ARMv8-M在NonSecure-Handler和NonSecure-Thread（較低信任度）狀態(tài)的基礎(chǔ)上增加了Secure-Handler和Secure-Thread（較高信任度）執(zhí)行模式。

與之相似的是MIPS-VZ在Guest-Kernel和Guest-User（信任度最低）模式的基礎(chǔ)上增加了Root-Kernel（信任度最高）和Root-User執(zhí)行模式。

對(duì)于A(yíng)RMv8-M CMSE和MIPS-VZ模型我們可以等價(jià)來(lái)看：
MIPS架構(gòu)同樣設(shè)置了一個(gè)安全域，除此之外還提供多個(gè)“正常(Normal)”執(zhí)行域，各個(gè)域彼此相互隔離。

內(nèi)存管理

ARMv8-M CMSE采用兩個(gè)模塊來(lái)解決內(nèi)存訪(fǎng)問(wèn)問(wèn)題，即SAU（Security Attribute Unit,安全屬性單元）和MPU（Memory Protection Unit,內(nèi)存保護(hù)單元），分別作為安全分區(qū)和非安全分區(qū)。SAU解決了安全/非安全模式下內(nèi)存訪(fǎng)問(wèn)問(wèn)題，然后MPU單元負(fù)責(zé)各自安全模式訪(fǎng)問(wèn)特權(quán)級(jí)問(wèn)題。

MIPS-VZ采用MMU（Memory Management Unit,存儲(chǔ)器管理單元），并有兩種配置方式：

1對(duì)于大型系統(tǒng)采用二級(jí)TLB設(shè)置。
a. Guest TLB用于Guest OS（訪(fǎng)客模式）
b. Root TLB用于Root-Kernel模式（管理員模式）。
這是典型的虛擬化執(zhí)行模型，對(duì)于訪(fǎng)客提供訪(fǎng)客模式的系統(tǒng)，從操作系統(tǒng)（OS）級(jí)別提供了訪(fǎng)問(wèn)隔離。

2對(duì)于小型系統(tǒng)采用二級(jí)MMU
a. 訪(fǎng)客分區(qū)可以是全TLB或者是Fixed-Mapping-Translation（固定映射轉(zhuǎn)換，F(xiàn)MT）單元。
b. 對(duì)于Root分區(qū)則采用精簡(jiǎn)的TLB，不支持物理地址尋址，稱(chēng)為RPU（Root Protection Unit,根保護(hù)單元）。對(duì)于RPU的管理類(lèi)似于TLB，在初始化任何Guest（非信任級(jí)）訪(fǎng)問(wèn)前采用安全程序?qū)PU單元進(jìn)行配置。對(duì)于異常則不是通過(guò)handler（處理程序句柄）來(lái)處理，而是采用分頁(yè)請(qǐng)求（demand-paging）,盡管handler也能進(jìn)行類(lèi)似的操作。

Guset MMU采用FMT模式時(shí)，Root MMU采用RPU模式，這樣就可以提供了應(yīng)用級(jí)的隔離功能。也就是說(shuō)，訪(fǎng)客模式下的應(yīng)用程序/代碼執(zhí)行全部在普通特權(quán)級(jí)情況下執(zhí)行?？烧J(rèn)為這是一個(gè)更靜態(tài)或受約束的運(yùn)行環(huán)境。舉個(gè)例子，OEM廠(chǎng)商生產(chǎn)和提供的芯片時(shí)往往預(yù)先燒寫(xiě)了一些自己專(zhuān)用程序，這些程序可以在訪(fǎng)客模式或者Root模式下執(zhí)行且能保持隔離。除此之外VAR（value added reseller,增值分銷(xiāo)商）也會(huì)向芯片內(nèi)燒寫(xiě)自己的專(zhuān)用程序或者第三方程序，它們的運(yùn)行環(huán)境也在訪(fǎng)客模式下也保持了彼此的隔離。

MIPS-VZ MMU是基于CAM實(shí)現(xiàn)的，而ARMv8-M SAU/MPU是基于基地址綁定（即地址比較器）實(shí)現(xiàn)的。與基于比較器實(shí)現(xiàn)的MMU表項(xiàng)相比，基于CAM實(shí)現(xiàn)的MMU表?yè)碛懈〉墓杵?Die)面積。因此，MIPS虛擬化方案是一種全面可擴(kuò)展的解決方案，可以實(shí)現(xiàn)從應(yīng)用級(jí)到操作系統(tǒng)級(jí)的隔離。

不同安全分區(qū)的程序調(diào)用

ARMv8-M CMSE增加了這樣一個(gè)功能，即非安全程序（Non-Secure Code）可以調(diào)用安全分區(qū)內(nèi)特定的程序但無(wú)需使用安全監(jiān)控程序調(diào)用（Secure Monitor Call），這就避免了安全監(jiān)控程序調(diào)用在不同狀態(tài)下保存/恢復(fù)操作所帶來(lái)的開(kāi)銷(xiāo)。

實(shí)現(xiàn)方式：
a）使用SG（安全網(wǎng)關(guān)）指令申請(qǐng)一個(gè)安全分區(qū)地址空間的合法接入點(diǎn)。
b）SAU的使用指明運(yùn)行時(shí)被調(diào)用的程序可以駐留在某個(gè)非安全模式（Non-Secure-World）分區(qū)內(nèi)，這樣的分區(qū)統(tǒng)一被稱(chēng)為NSC（Non-Secure-Callable,非安全可調(diào)用）分區(qū)。
c）如果允許的話(huà)，SG指令后面緊跟著跳轉(zhuǎn)至在安全內(nèi)存空間的安全函數(shù)。

對(duì)于MIPS-VZ，同樣的功能是通過(guò)在多個(gè)訪(fǎng)客/域之間分享程序調(diào)用實(shí)現(xiàn)的。通過(guò)配置MMU的Root分區(qū)來(lái)創(chuàng)建分頁(yè)，使指定的訪(fǎng)客(Gusets)可以共享這部分分頁(yè)空間。為了保護(hù)代碼我們可以設(shè)置程序?yàn)閮H允許執(zhí)行屬性（既不允許讀操作也不允許寫(xiě)操作）。Root MMU會(huì)根據(jù)Write-Inhibit, Execute-Only和Read-Inhibit屬性設(shè)置進(jìn)行權(quán)限審查。

MIPS-VZ方案在執(zhí)行速度和延遲表現(xiàn)更佳，因?yàn)樗恍枰猄G指令和相關(guān)的緊跟在SG指令后面的跳轉(zhuǎn)指令，避免了這部分開(kāi)銷(xiāo)。

更進(jìn)一步講，只有Root權(quán)限程序或者安全啟動(dòng)代碼會(huì)使用到MIPS虛擬化模型提供的保護(hù)機(jī)制，因此而對(duì)于其他大部分應(yīng)用程序是透明的。也就是說(shuō)在提供了安全控制措施情況下。但是編程模型與非虛擬化系統(tǒng)仍然相似，。Root權(quán)限程序可以全面監(jiān)控訪(fǎng)客的活動(dòng)，但是無(wú)需通過(guò)將權(quán)限交給操作環(huán)境來(lái)完成。

中斷處理

當(dāng)運(yùn)行在安全執(zhí)行模式下，ARMv8-M CMSE支持ARM快速中斷機(jī)制

與之相似的是，MIPS-VZ同樣支持MIPS快速中斷機(jī)制。中斷可以直接分配給每個(gè)Guest，而且中斷的處理不需要Root-Kernel程序/監(jiān)控程序或者額外的安全機(jī)制來(lái)干預(yù)，同樣中斷也可以分配給Root。

SOC安全

ARMv8-M CMSE支持傳統(tǒng)的TZ HNONSEC信號(hào)和HPROT內(nèi)存屬性信號(hào)，IO設(shè)備利用這些信號(hào)來(lái)判斷哪個(gè)實(shí)體（安全分區(qū)或非安全分區(qū)）正在發(fā)起內(nèi)存空間請(qǐng)求。

MIPS-VZ采用多比特GuestID信號(hào)實(shí)現(xiàn)同樣的功能。由于采用多個(gè)比特位，因此可以通過(guò)不同的二進(jìn)制位編碼使每個(gè)Guest都能夠被識(shí)別，IO設(shè)備根據(jù)不同的Guest會(huì)有不同的操作，因此多個(gè)受保護(hù)域可以擴(kuò)展到整個(gè)SOC

上下文切換

TrustZone安全空間<->非安全空間的上下文切換需要對(duì)GPRs和FPRs進(jìn)行保存和恢復(fù)操作。

在MIPS-VZ架構(gòu)下類(lèi)似這種上下文切換的功能是Root模式<->Guest模式之間的上下文切換，但是這里不再需要對(duì)COP0進(jìn)行保存/恢復(fù)操作，因?yàn)樵赗oot模式和Guest模式下都有自己的COP0的副本（COP0在MIPS架構(gòu)下用于記錄CPU特權(quán)級(jí)控制/狀態(tài)寄存器，異常邏輯寄存器，MMU狀態(tài)）。對(duì)于GPRs和FPRs狀態(tài)需要被保存和恢復(fù)這種情況，以M5150為例，影子寄存器特性可以與CPU虛擬化機(jī)制相結(jié)合，GPR影子寄存器可以分配給每個(gè)Guest，這樣就不需要GPRs的保存/恢復(fù)操作。另外在處理器內(nèi)核MIPS架構(gòu)同樣定義了多線(xiàn)程(Multi-Threading)虛擬化，在同一個(gè)核中多個(gè)獨(dú)立的上下文可以實(shí)現(xiàn)時(shí)分多路復(fù)用，并且完全隔離，且不需要保存/恢復(fù)某一狀態(tài)。

因?yàn)镸IPS-VZ支持多個(gè)域/Guests，那么就會(huì)發(fā)生Guest1<->Guest2之間的上下文切換。每個(gè)Guest都好比是一個(gè)操作系統(tǒng)，因此可能控制COP0，對(duì)于這種情況下GPRs，F(xiàn)PRs和COP0不得不進(jìn)行保存/恢復(fù)。同樣，影子寄存器特性仍然可以用來(lái)減輕GPR狀態(tài)保存/恢復(fù)操作的影響。

與此形成鮮明對(duì)比的是，TrustZone不支持運(yùn)行多個(gè)Guest操作系統(tǒng)環(huán)境，僅限于在共享模式下的TZ RTOS或者TZ管理員環(huán)境下運(yùn)行多個(gè)安全應(yīng)用程序。

總結(jié)

MIPS虛擬化架構(gòu)是一個(gè)簡(jiǎn)單但是全面穩(wěn)定性更高的安全應(yīng)用解決方案，能夠靈活的實(shí)現(xiàn)應(yīng)用程序級(jí)到操作系統(tǒng)級(jí)的安全隔離機(jī)制，這些特色，可以靈活的滿(mǎn)足用戶(hù)的各種不斷變化的安全威脅需求。