Trusted Execution Environment

Trusted Execution Environment (בראשי תיבות: TEE, בעבריתː סביבת ביצוע מהימנה) הוא אזור מאובטח במעבד המופרד מסביבת הריצה הרגילה (Rich Execution Environment או REE) ומאפשר הגנה על הקוד והמידע הנטענים אליו ומבטיח את שלמותם וסודיותם. שימוש ב-TEE מונע מגורמים לא מורשים, כגון קוד זדוני המתבצע בסביבת הביצוע הרגילה, לשנות או לצפות בקוד או נתונים בסביבת הביצוע המהימנה.

לעיתים, גם הבעלים של המחשב עצמו יכול להיחשב גורם לא מורשה, למשל, ביישומים המשתמשים במנגנוני ניהול זכויות דיגיטליות (DRM) מסוימים האוכפים שימש נאות בזכויות דיגיטליות כגון שימוש במוזיקה וסרטי וידאו. במקרה זה, מטרת השימוש ב TEE היא למנוע מבעלי המחשב גישה למידע ולקוד של מנגנוני האכיפה על מנת לעקוף אותם.

יישום סביבת ביצוע מהימנה נעשה על ידי הטמעה של ארכיטקטורת אבטחה ייחודית כהרחבה לחומרת המעבד, דוגמה לכך הם TrustZone במעבדי ARM ו-SGX בחלק ממעבדי אינטל. לעיתים נעשה שימוש במנגנונים המשמשים לתמיכה בווירטואליזציה במעבד כדי ליישם סביבת ביצוע מהימנה כמכונה וירטואלית, לשם כך נדרשים שירותים מיוחדים מה Hypervisor.

 היסטוריה 
TEE הוגדר לראשונה על ידי ארגון OMTP  (Open Mobile Terminal Platform). ארגון זה של מפעילות רשתות סלולריות פרסם בשנת 2009, בשיתוף עם יצרני טלפונים חכמים, את תקן TR1. התקן הגדיר TEE כ"אוסף של רכיבי חומרה ותוכנה המספקים את המנגנונים הנחוצים המאפרים להגיע לאחת משתי רמות ההבטחה. מטרתה של הרמה הראשונה (פרופיל 1) היא להגן מפני התקפות מבוססות תוכנה בלבד. והמטרה של הרמה השנייה (פרופיל 2) היא להגן מפני התקפות משולבות של תוכנה וחומרה".ADVANCED TRUSTED ENVIRONMENT: OMTP TR1, מאי 2009

מאוחר יותר הושקו פתרונות TEE מסחריים המבוססים על טכנולוגיית ARM TrustZone, התואמים את תקן TR1, כמו חבילת התוכנה Trusted Foundations שפותחה על ידי חברת Trusted Logic.

 אופן הפעולה 
TEE בדרך כלל הוא שילוב של מנגנון חומרתי היוצר סביבת ביצוע מוגנת ומערכת הפעלה המתבצעת על גבי המנגנון החמרתי.

מערכת הכללת TEE מופרדת למספר אזורים או מחיצות. מנגנוני המערכת נדרשים להבטיח, שלא יהיה ניתן לגשת או לשנות מידע השייך למחיצה אחת ממחיצות אחרות, שמשאבים משותפים לא יאפשרו דליפה של מידע מחיצה אחת לאחרת. בין המחיצה שבשליטת ה-TEE למחיצות הרגילות ישנו ערוץ תקשורת המאפשר העברת בקשות, לביצוע משימות שצריכות להתבצע בסביבה מהימנה. התקשורת בין המחיצות תתבצע אך ורק תחת בקרה ובאישור מפורש ושפרצת אבטחה במחיצה אחת לא תוכל להתפשט למחיצות אחרות. 

 מערכות הפעלה ל TEE 
חֶברָה מוצר חומרה בשימוש תקן API סוג הסמכה הפניות עליבאבא Cloud Link TEE GlobalPlatform מלא אפל iOS Secure Enclave מעבד נפרד קנייני BeanPodISEE ARM TrustZone GlobalPlatform Huawei iTrustee ARM TrustZone GlobalPlatform מלא גוגלTrusty ARM / אינטל קנייני לינארו OPTEE ARM TrustZone GlobalPlatform קוואלקום QTEE ARM TrustZone GlobalPlatform + קנייני סמסונג TEEgrisARM TrustZone GlobalPlatform מלא TrustKernel T6ARM TrustZone GlobalPlatform TrustonicKinibiARM TrustZone GlobalPlatform מלא Watchdata WatchTrustARM TrustZone GlobalPlatform מלא

 תמיכה בחומרה 

הערות שוליים

קטגוריה:תקנים
קטגוריה:אבטחת מידע