[论文解读] uTango: an open-source TEE for the Internet of Things.

Daniel Oliveira, Tiago Gomes+1 more|arXiv (Cornell University)|Feb 6, 2021

Security and Verification in Computing参考文献 43被引用 4

一句话总结

uTango 是首个针对物联网设备的多世界可信执行环境（TEE），利用 TrustZone-M 硬件在普通世界内创建多个隔离且同等安全的执行环境。它通过重用 TrustZone 原语来增强安全性和可扩展性，解决了现有 TEE 的架构缺陷，在 Arm Musca-B1 上进行了验证，计划开源以促进更广泛的应用。

ABSTRACT

Security is one of the main challenges of the Internet of Things (IoT). IoT devices are mainly powered by low-cost microcontrollers (MCUs) that typically lack basic hardware security mechanisms to separate security-critical applications from less critical components. Recently, Arm has started to release Cortex-M MCUs enhanced with TrustZone technology (i.e., TrustZone-M), a system-wide security solution aiming at providing robust protection for IoT devices. Trusted Execution Environments (TEEs) relying on TrustZone hardware have been perceived as safe havens for securing mobile devices. However, for the past few years, considerable effort has gone into unveiling hundreds of vulnerabilities and proposing a collection of relevant defense techniques to address several issues. While new TEE solutions built on TrustZone-M start flourishing, the lessons gathered from the research community appear to be falling short, as these new systems are trapping into the d\'ej\`a vu pitfalls of the past. In this paper, we present uTango, the first multi-world TEE for modern IoT devices. uTango proposes a novel architecture aiming at tackling the major architectural deficiencies currently affecting TrustZone(-M)-assisted TEEs. In particular, we leverage the very same TrustZone hardware primitives used by dual-world implementations to create multiple, equally-secure execution environments within the normal world. We demonstrate the benefits of uTango by conducting an extensive evaluation on a real TrustZone-M hardware platform, i.e., Arm Musca-B1. uTango will be open-sourced and freely available on GitHub in hopes of engaging academia and industry on securing the foreseeable trillion IoT devices.

研究动机与目标

• 解决低成本物联网微控制器（MCU）中缺乏强大硬件安全机制的问题。
• 克服现有 TrustZone-M 辅助 TEE 的架构缺陷，避免重复过去的安全漏洞。
• 利用 TrustZone 硬件原语在普通世界内实现多个同等安全的执行环境。
• 为数万亿台设备的物联网生态系统提供可扩展且可扩展的 TEE 解决方案。
• 通过在 GitHub 上开源 uTango，促进学术界与工业界的协作。

提出的方法

• 设计一种新颖的 TEE 架构，将 TrustZone-M 的能力从双世界隔离扩展至支持多安全世界。
• 仅使用现有的 TrustZone 硬件原语（如安全内存区域和异常处理），无需新增硬件功能。
• 将普通世界划分为多个隔离的执行环境，每个环境均具备同等的安全保障。
• 实现一个安全世界管理器，用于协调普通世界中各安全世界与系统资源之间的访问。
• 确保与现有 TrustZone-M 软件栈及现有 MCU 固件生态系统的向后兼容性。
• 在真实的 Arm Musca-B1 平台上评估设计，以验证安全性和性能之间的权衡。

实验结果

研究问题

• RQ1 是否可以仅使用 TrustZone-M 硬件原语，在普通世界内创建多个隔离且同等安全的执行环境？
• RQ2 所提出的多世界 TEE 架构如何缓解现有双世界 TEE 的已知架构弱点？
• RQ3 与传统双世界 TEE 相比，uTango 在真实物联网硬件上的性能开销如何？
• RQ4 uTango 在不依赖硬件扩展的前提下，能在多大程度上集成到现有 MCU 固件栈中？
• RQ5 uTango 的设计在多大程度上提升了长期可维护性和可扩展性，以满足未来物联网安全需求？

主要发现

• uTango 成功地仅使用 TrustZone-M 硬件原语，在普通世界内创建了多个隔离的执行环境。
• 该架构通过消除单一特权安全世界，避免了传统双世界 TEE 所带来的安全与复杂性陷阱。
• 在 Arm Musca-B1 平台上的评估结果表明，uTango 在保持强隔离保证的同时，性能开销可接受。
• 该设计支持与现有 TrustZone-M 软件的向后兼容，便于无缝集成到当前物联网生态系统中。
• uTango 的开源预计将进一步加速研究进展与工业界对下一代物联网设备安全性的采纳。
• 与单体式安全世界相比，多世界模型显著提升了可扩展性并减少了攻击面。