usbarmory/goteeEntorno de Ejecución de Confianza en Go (TEE)
El framework GoTEE implementa la instanciación concurrente de unikernels basados en TamaGo en modos privilegiado y no privilegiado, que interactúan entre sí a través del modo monitor y llamadas al sistema personalizadas.
Con estas capacidades GoTEE implementa Entornos de Ejecución de Confianza (TEE) basados en TamaGo, aportando la seguridad de memoria de Go, su conveniencia y sus capacidades a la ejecución en metal desnudo dentro del Secure World de ARM TrustZone o de los Entornos de Ejecución de Supervisor de RISC-V.
GoTEE puede supervisar Trusted Applets independientes basados en Go, Rust o C puros, que implementan la API de GoTEE, así como cualquier sistema operativo capaz de ejecutarse en el Normal World de ARM TrustZone o en el modo S de RISC-V, como Linux.
Contextos de ejecución aislados para el modo Usuario de ARM, TrustZone Normal World o el Modo Supervisor de RISC-V
API para implementación de Trusted OS (manejadores de Syscall, JSON-RPC y excepciones)
La documentación principal, que incluye un tutorial, se puede encontrar en la wiki del proyecto.
La documentación de la API del paquete se puede encontrar en pkg.go.dev.
La siguiente tabla resume los SoC y placas actualmente compatibles.
En la nomenclatura de TEE, al unikernel privilegiado se le suele denominar Trusted OS, mientras que el no privilegiado representa un Trusted Applet.
El ejemplo de GoTEE demuestra el funcionamiento concurrente de unikernels Go que actúan como Trusted OS, Trusted Applet y Main OS.
[!WARNING] El Main OS puede ser cualquier sistema operativo «rico» (p. ej., Linux); TamaGo se usa simplemente para un ejemplo autónomo. Lo mismo aplica al Trusted Applet, que puede ser cualquier aplicación de metal desnudo capaz de ejecutarse en modo usuario e implementar la API de GoTEE, como programas C o Rust independientes.
Se puede usar un ejemplo en Rust reemplazando
trusted_applet_goportrusted_applet_rustal compilar.
La combinación de ejemplo Trusted OS/applet realiza pruebas básicas de ejecución concurrente de tres unikernels TamaGo en diferentes niveles de privilegio:
El Main OS cede el control mediante una llamada al monitor.
El Trusted Applet duerme durante 5 segundos antes de intentar leer memoria del Trusted OS, lo que dispara una excepción gestionada por el supervisor que termina el Trusted Applet.
La interfaz de syscall de GoTEE está implementada para la comunicación entre el Trusted OS y el Trusted Applet.
Cuando se lanza en la USB armory Mk II, la aplicación de ejemplo es accesible por SSH mediante Ethernet sobre USB (protocolo ECM, compatible con hosts Linux y macOS):
$ ssh [email protected]
tamago/arm • TEE security monitor (Secure World system/monitor)
allgptr # memory forensics of applet goroutines
csl # show config security levels (CSL)
csl <periph> <slave> <hex csl> # set config security level (CSL)
dbg # show ARM debug permissions
exit, quit # close session
gotee # TrustZone example w/ TamaGo unikernels
help # this help
linux <uSD|eMMC> # boot NonSecure USB armory Debian base image
lockstep <fault %> # tandem applet example w/ fault injection
peek <hex offset> <size> # memory display (use with caution)
poke <hex offset> <hex value> # memory write (use with caution)
reboot # reset device
sa # show security access (SA)
sa <id> <secure|nonsecure> # set security access (SA)
stack # stack trace of current goroutine
stackall # stack trace of all goroutines
>
El ejemplo se puede lanzar con el comando gotee, que genera el Main OS
dos veces para demostrar el comportamiento antes y después de que las restricciones
de TrustZone estén en vigor usando periféricos de hardware reales.
Adicionalmente, el comando linux se puede usar para generar la
imagen base Debian de USB armory
como Main OS no seguro.
[!NOTE] Solo se admiten versiones >= 20211129 de la imagen base Debian de USB armory para operación no segura.
El ejemplo también se puede ejecutar bajo emulación QEMU.
[!NOTE] Las ejecuciones emuladas realizan pruebas parciales debido a la falta de soporte completo de TrustZone/PMP por parte de QEMU.
make qemu
...
> gotee
00:00:00 tamago/arm • TEE security monitor (Secure World system/monitor)
00:00:00 SM loaded applet addr:0x9c000000 entry:0x9c072740 size:4940275
00:00:00 SM loaded kernel addr:0x80000000 entry:0x8007100c size:4577643
00:00:00 SM waiting for applet and kernel
00:00:00 SM starting mode:USR sp:0x9e000000 pc:0x9c072740 ns:false
00:00:00 SM starting mode:SYS sp:0x00000000 pc:0x8007100c ns:true
00:00:00 tamago/arm (go1.19.1) • TEE user applet
00:00:00 tamago/arm (go1.19.1) • system/supervisor (Non-secure)
00:00:00 supervisor is about to yield back
00:00:00 SM stopped mode:SYS sp:0x8146bf54 lr:0x801937a4 pc:0x80193884 ns:true err:exit
00:00:00 applet obtained 16 random bytes from monitor: b4cc4764dd30291a52545b182313003c
00:00:00 applet requests echo via RPC: hello
00:00:00 applet received echo via RPC: hello
00:00:00 applet will sleep for 5 seconds
00:00:01 applet says 1 mississippi
...
00:00:05 applet says 5 mississippi
00:00:05 applet is about to read secure memory at 0x98010000
00:00:05 r0:98010000 r1:9c8240c0 r2:98010000 r3:00000000
00:00:05 r4:00000000 r5:00000000 r6:00000000 r7:9c86bec8
00:00:05 r8:00000007 r9:0000003d r10:9c8020f0 r11:9c342f41 cpsr:600001d7 (ABT)
00:00:05 r12:00000061 sp:9c86bf08 lr:9c1b1be8 pc:9c011330 spsr:600001d0 (USR)
00:00:05 SM stopped mode:USR sp:0x9c86bf08 lr:0x9c1b1be8 pc:0x9c011330 ns:false err:ABT
Compila el compilador TamaGo (o usa la última versión binaria):
wget https://github.com/usbarmory/tamago-go/archive/refs/tags/latest.zip
unzip latest.zip
cd tamago-go-latest/src && ./all.bash
cd ../bin && export TAMAGO=`pwd`/go
Compila los ejecutables de ejemplo del trusted applet y del kernel de la siguiente manera:
git clone https://github.com/usbarmory/GoTEE-example
cd GoTEE-example && export TARGET=usbarmory && make nonsecure_os_go && make trusted_applet_go && make trusted_os
[!NOTE] Reemplaza
trusted_applet_goportrusted_applet_rustpara un ejemplo de TA en Rust; esto requiere Rust nightly y la cadena de herramientasarmv7a-none-eabi.
Los ejecutables finales se crean en el subdirectorio bin;
trusted_os_usbarmory.imx debe usarse para la ejecución nativa.
Los siguientes objetivos están disponibles:
TARGET | Placa | Ejecución y depuración |
|---|---|---|
usbarmory | USB armory Mk II | usbarmory |
Los objetivos admiten ejecución nativa (consulta los enlaces de documentación relevantes en la tabla anterior)
así como ejecución emulada (p. ej., make qemu).
Compila los ejecutables de ejemplo del trusted applet y del kernel de la siguiente manera:
git clone https://github.com/usbarmory/GoTEE-example
cd GoTEE-example && export TARGET=sifive_u && make nonsecure_os_go && make trusted_applet_go && make trusted_os
[!NOTE] Reemplaza
trusted_applet_goportrusted_applet_rustpara un ejemplo de TA en Rust; esto requiere Rust nightly y la cadena de herramientasriscv64gc-unknown-none-elf.
Los ejecutables finales se crean en el subdirectorio bin.
Objetivos disponibles:
TARGET | Placa | Ejecución y depuración |
|---|---|---|
sifive_u | QEMU sifive_u | sifive_u |
El objetivo solo se ha probado con ejecución emulada (p. ej., make qemu)
Andrea Barisani
[email protected]
Andrej Rosano
[email protected]
GoTEE | https://github.com/usbarmory/GoTEE
Copyright (c) Los autores de GoTEE. Todos los derechos reservados.
Estos archivos fuente se distribuyen bajo la licencia de estilo BSD que se encuentra en el archivo LICENSE.
| SoC | Placa | Paquete del SoC | Paquete de la placa |
|---|
| NXP i.MX6ULZ | USB armory Mk II | imx6ul | usbarmory/mk2 |
| NXP i.MX6ULL | MCIMX6ULL-EVK | imx6ul | mx6ullevk |
| SiFive FU540 | QEMU sifive_u | fu540 | qemu/sifive_u |