自從美國前國家安全局承包商愛德華.斯諾登披露“棱鏡門”監聽計劃后，安全已經成為移動通信設備和其他便攜式電子設備最關注的焦點，如何提升設備的安全防護水準？顯然，從芯片就開始提供設備的安全防護是最有效的舉措。ARM公司于2003年提在嵌入式領域出了TrustZone技術，為硬件系統提供安全保護，不過，這個十年前提出的技術能適應現在移動安全需求嗎？
“TrustZone技術提出的時候，手機的應用功能還未發展到今天這么復雜和高度集成，這個技術不適應目前的安全需求。”在11月12日2014 Imagination高峰論壇上，Imagination Technologies公司CEO Hossein Yassaie在接受媒體采訪時指出，“打個比方說，這個TrustZone技術就像是銀行的一個保險柜，你可以把認為安全的應用都放進去，在以前，應用都比較單一，這樣的安全防護也許有一定的作用，但是現在，手機等移動設備都集成了很多應用，這些都放在一個保險柜中顯然安全風險就增大了很多。”
在CPU內核的設計中集成系統安全性擴展，是TrustZone在ARMv6內核架構下的重要擴展特性之一，TrustZone分離了兩個并行執行的環境：非安全的“普通”執行環境；安全可信任的“安全”環境，安全監控器（Monitor）控制著安全與“普通”環境之間的轉換，以決定系統是否運行在安全或不安全的環境下。圖1為TrustZone模式下二個并行安全環境的示意圖。
安全環境中的硬件經過增強安全性的特殊設計，能進行代碼隔離；安全軟件既提供基本的安全服務，又提供接口連接到安全鏈中的其它ARM TrustZone技術可識別系統的安全碼和數據，硬件能清楚區分安全信息和非安全信息。據稱該區分能力可令安全碼和數據在操作系統中安全而有效地同時運行，并不需要犧牲任何系統性能，也不會受病毒侵害。
但是問題來了，如果一個應用偽裝成“可信任的”進入到你的安全區會怎么樣？其他應用和數據還會安全嗎？
“而Hypervisor全局硬件虛擬化（Virtualization-VZ）技術是應對安全挑戰的良策！”Hossein指出，“Hypervisor VZ全局硬件虛擬化技術并不是未經驗證的全新技術，而是傳統安全領域廣泛使用和發展多年的成熟技術”，Hypervisor之于操作系統類似于操作系統之于進程。它們為應用執行提供獨立的VZ虛擬硬件平臺，而VZ虛擬硬件平臺反過來又提供對底層機器的虛擬的完整訪問。Imaginaition將把Hypervisor VZ全局硬件虛擬化技術從傳統服務器領域帶入現代嵌入式領域的每一個角落。
利用虛擬化技術，多個未經修改的操作系統與應用程序都能各自在單一、可信賴的平臺上同時獨立且安全地運行。“這好比把每個應用都放在一個沙箱中運行，不用擔心其他應用帶來安全威脅。”他認為未來從低端到高端應用，對于虛擬化技術的需要都將日益提升。
所以Imagination的MIPS CPU從入門級M-class、中端I-class到高端P-class內核以及GPU都支持Hypervisor VZ虛擬化策略。
這能為系統開發帶來很多好處，包括：
●具備可隔離執行多重任務的能力
●橫跨多個客體（guests）的智能資源配置
●安全的下載與上傳
●IP保護
下圖解釋了Hypervisor VZ虛擬化的原理
Hossein指出不僅CPU ，GPU在安全方面的作用也非常大，所以Imagination最新的高端PowerVR Series7XT和中低端Series7XE GPU都可以有效地支持硬件虛擬化。可以為運行于虛擬機監視器上的虛擬機增加虛擬GPU。基于優先級的機制，保證了每個虛擬機可以有效地得到請求的硬件資源，從而確保所有虛擬終端間性能的強健性。
他表示虛擬化的一個重要特征是隔離性——這是為移動和嵌入式設備提供改進安全框架的基礎。因為虛擬機之間彼此隔離，并且也與默認底層架構相隔離，它們可以滿足移動支付，個人健康管理，汽車安全和其它嵌入式市場生產廠家需求的安全性原則。例如，軟件開發商可以實現更安全的游戲移動支付或者在用戶與UI交互時阻止中間件攻擊。
進入物聯網時代，安全尤為重要，系統芯片廠商們是需要認真考慮下安全策略了，例如最新的華為麒麟620就是在已有的TrustZone技術上內建了自己的芯片安全模塊，此外還有其他安全措施例如自研發安全OS等等，顯然是TrustZone技術不能滿足安全需要而帶來的廠商研發投入和產品成本的增加。
京公網安備 11010502049343號