[论文解读] ReZone: Disarming TrustZone with TEE Privilege Reduction

David Cerdeira, José C. Martins+2 more|arXiv (Cornell University)|Mar 2, 2022

Security and Verification in Computing被引用 4

一句话总结

ReZone 通过使用现成的硬件原语（如 TZASC 和 SMMU）将 TrustZone 辅助的 TEE 中的可信操作系统划分为隔离的沙盒区域，提出了一种特权降低机制。该机制通过限制 S.EL1 权限，将攻击面缩小，可在真实工作负载（如 DRM 视频编码）中实现可接受的性能开销，同时缓解 86.84% 的调查 CVE 漏洞。

ABSTRACT

In TrustZone-assisted TEEs, the trusted OS has unrestricted access to both secure and normal world memory. Unfortunately, this architectural limitation has opened an aisle of exploration for attackers, which have demonstrated how to leverage a chain of exploits to hijack the trusted OS and gain full control of the system, targeting (i) the rich execution environment (REE), (ii) all trusted applications (TAs), and (iii) the secure monitor. In this paper, we propose ReZone. The main novelty behind ReZone design relies on leveraging TrustZone-agnostic hardware primitives available on commercially off-the-shelf (COTS) platforms to restrict the privileges of the trusted OS. With ReZone, a monolithic TEE is restructured and partitioned into multiple sandboxed domains named zones, which have only access to private resources. We have fully implemented ReZone for the i.MX 8MQuad EVK and integrated it with Android OS and OP-TEE. We extensively evaluated ReZone using microbenchmarks and real-world applications. ReZone can sustain popular applications like DRM-protected video encoding with acceptable performance overheads. We have surveyed 80 CVE vulnerability reports and estimate that ReZone could mitigate 86.84% of them.

研究动机与目标

• 解决 TrustZone 中可信操作系统因权限过高（S.EL1）而存在的严重安全缺陷，防止其被利用后导致灾难性的权限提升。
• 通过利用现有的商用现成硬件原语，将可信操作系统划分为隔离的、权限受限的区域，从而减少 TEE 的攻击面。
• 在不引入新硬件的前提下，实现与现有 TEE 堆栈（如 OP-TEE 和 Android）的向后兼容性，同时提升安全性。
• 通过限制对安全世界和普通世界内存的访问，防止在系统被攻破后发生横向移动，从而缓解真实世界漏洞。
• 在 i.MX 8MQuad EVK 等通用平台中，证明所提出架构的实际可行性和性能效率。

提出的方法

• 利用现有的与 TrustZone 无关的硬件原语——使用 TZASC 实现内存隔离，使用 SMMU 实现基于 IOMMU 的访问控制，以强制执行区域级别的内存保护。
• 将单体式的可信操作系统重构为多个隔离区域，每个区域拥有对专用资源的私有访问权限，并受限于对共享资源或普通世界内存的访问。
• 将 SMMU 用作物理页表控制器（PPC），为每个区域动态配置页表权限，替代静态寄存器配置方式。
• 集成跳板代码以管理世界切换（EL3 → S.EL1 及返回），确保页表正确设置并执行 SMMU TLB 无效化，以强制实施访问控制。
• 使用 ACU（访问控制单元）防止未经授权的 CPU 访问 SMMU 或页表，确保策略完整性。
• 通过在 i.MX 8MQuad EVK 平台上将 ReZone 集成到 OP-TEE 和 Android OS 中，保持与现有 TEE 的兼容性。

实验结果

研究问题

• RQ1 是否可以通过在不牺牲性能或兼容性的情况下，减少可信操作系统对系统资源的访问权限，来缓解 TrustZone 辅助 TEE 中的特权爆炸问题？
• RQ2 现有商用现成硬件原语（如 TZASC、SMMU）在多大程度上可被重新用于在安全世界内实现细粒度隔离？
• RQ3 ReZone 在缓解真实世界漏洞方面效果如何，特别是针对影响可信操作系统和可信应用（TAs）的漏洞？
• RQ4 在运行真实世界应用（如 DRM 保护的视频编码）时，ReZone 的性能开销如何？
• RQ5 ReZone 是否可以在不改变底层硬件或软件架构的前提下，无缝集成到 OP-TEE 和 Android 等现有 TEE 堆栈中？

主要发现

• ReZone 通过限制可信操作系统提升权限的能力，成功缓解了 80 个调查 CVE 漏洞报告中的 86.84%。
• ReZone 的性能开销极低，在 i.MX 8MQuad EVK 平台上运行 DRM 保护的视频编码时，性能保持在可接受水平。
• 微基准测试证实，ReZone 的隔离机制引入的延迟可忽略不计，且对系统调用和区域间通信的吞吐量保持较高水平。
• 使用 SMMU 作为 PPC 可实现动态、细粒度的访问控制，并通过高效的 TLB 管理避免了昂贵的缓存或集群同步操作。
• ReZone 保持了与现有 TEE 堆栈的向后兼容性，可在不修改可信操作系统或 TAs 的前提下，无缝集成到 Android 和 OP-TEE 中。
• 该架构通过硬件强制访问策略，防止了权限提升攻击，确保即使某个区域或 TA 被攻破，也无法向其他区域或普通世界进行横向移动。