Introdução

O framework GoTEE implementa a instanciação concorrente de unikernels baseados em TamaGo em modos privilegiado e não privilegiado, interagindo entre si através do modo monitor e de chamadas de sistema personalizadas.

Com essas capacidades, o GoTEE implementa um Ambiente de Execução Confiável (TEE) baseado em TamaGo, trazendo a segurança de memória, a conveniência e as capacidades do Go para execução em bare metal no Mundo Seguro ARM TrustZone ou em Ambientes de Execução Supervisor RISC-V.

O GoTEE pode supervisionar Trusted Applets freestanding baseados em Go puro, Rust ou C, que implementam a API GoTEE, bem como qualquer sistema operacional capaz de executar no Mundo Normal ARM TrustZone ou no modo S RISC-V, como Linux.

Recursos

• Contextos de execução isolados para modo User ARM, Mundo Normal TrustZone ou Modo Supervisor RISC-V

• Soft lockstep oportunista para detecção de falhas

• API para implementação de Trusted OS (Syscall, JSON-RPC e handlers de exceção)

Documentação

A documentação principal, que inclui um tutorial, pode ser encontrada na wiki do projeto.

A documentação da API do pacote pode ser encontrada em pkg.go.dev.

Hardware suportado

A tabela a seguir resume os SoCs e placas atualmente suportados.

SoC	Placa	Pacote SoC	Pacote da placa
NXP i.MX6ULZ	USB armory Mk II	imx6ul	usbarmory/mk2
NXP i.MX6ULL	MCIMX6ULL-EVK	imx6ul	mx6ullevk
SiFive FU540	QEMU sifive_u	fu540	qemu/sifive_u

Exemplo de aplicação

Na nomenclatura TEE, o unikernel privilegiado é comumente referido como Trusted OS, enquanto o não privilegiado representa um Trusted Applet.

O exemplo do GoTEE demonstra a operação concorrente de unikernels Go atuando como Trusted OS, Trusted Applet e Main OS.

[!WARNING] O Main OS pode ser qualquer sistema operacional "rico" (ex.: Linux); o TamaGo é simplesmente usado para um exemplo autocontido. O mesmo se aplica ao Trusted Applet, que pode ser qualquer aplicação bare metal capaz de executar em modo usuário e implementar a API GoTEE, como programas freestanding em C ou Rust.

Um exemplo em Rust pode ser usado substituindo trusted_applet_go por trusted_applet_rust na compilação.

A combinação de trusted OS/applet de exemplo realiza testes básicos de execução concorrente de três unikernels TamaGo em diferentes níveis de privilégio:

• Trusted OS (ARM: modo sistema do Mundo Seguro TZ, RISC-V: modo M)
• Trusted Applet (ARM: modo usuário do Mundo Seguro TZ, RISC-V: modo S)
• Main OS (ARM: modo sistema do Mundo Normal TZ, RISC-V: modo S)

O Main OS retorna o controle com uma chamada de monitor.

O Trusted Applet dorme por 5 segundos antes de tentar ler a memória do Trusted OS, o que dispara uma exceção tratada pelo supervisor, que encerra o Trusted Applet.

A interface syscall do GoTEE é implementada para comunicação entre o Trusted OS e o Trusted Applet.

Quando executado no USB armory Mk II, o exemplo de aplicação é acessível via SSH através de Ethernet via USB (protocolo ECM, suportado em hosts Linux e macOS):

$ ssh [email protected]
tamago/arm • TEE security monitor (Secure World system/monitor)

allgptr                                          # memory forensics of applet goroutines
csl                                              # show config security levels (CSL)
csl             <periph> <slave> <hex csl>       # set config security level (CSL)
dbg                                              # show ARM debug permissions
exit, quit                                       # close session
gotee                                            # TrustZone example w/ TamaGo unikernels
help                                             # this help
linux           <uSD|eMMC>                       # boot NonSecure USB armory Debian base image
lockstep        <fault %>                        # tandem applet example w/ fault injection
peek            <hex offset> <size>              # memory display (use with caution)
poke            <hex offset> <hex value>         # memory write   (use with caution)
reboot                                           # reset device
sa                                               # show security access (SA)
sa              <id> <secure|nonsecure>          # set security access (SA)
stack                                            # stack trace of current goroutine
stackall                                         # stack trace of all goroutines

>

O exemplo pode ser iniciado com o comando gotee, que executa o Main OS duas vezes para demonstrar o comportamento antes e depois de as restrições do TrustZone entrarem em vigor, usando periféricos de hardware reais.

Além disso, o comando linux pode ser usado para iniciar a imagem base Debian do USB armory como Main OS não seguro.

[!NOTE] Apenas versões da imagem base Debian do USB armory >= 20211129 são suportadas para operação não segura.

O exemplo também pode ser executado sob emulação QEMU.