特性描述
TrustZone可信执行环境运行在物理服务器上,实际大部分场景物理服务器处于端侧。ISV的可信应用(ISV TA)需要被部署在端侧TEE内,及在远程处理ISV的机密数据。为确保该业务TA符合预期,业界一般采用远程或本地证明方案,由TA的运行环境对TA的完整性进行背书。
图1 总体架构图
![点击放大](/doc_center/source/zh/kunpengboostkithistory/2200/confidt/figure/zh-cn_image_0000001468006920.png)
- iTrustee SDK:安全OS iTrustee配套开发者工具,编译CA/TA应用需要,提供生成TA二进制基线度量值工具。
- RA Client:证明客户端,发起对目标TA应用远程证明请求,可调用鲲鹏安全库(RA lib)校验返回的证明报告有效性。
- RA Service:证明服务端,接收证明请求,负责证明密钥注册、获取证明报告返回给远端的RA Client。
- QCA lib(Quoting CA):简称QCA,位于REE侧,以库的形式对外提供并响应验证者发起的远程证明请求。
- QTA(Quoting TA):简称QTA,远程证明中的特权TA,接收处理来自QCA或TA证明请求、导入AS证书请求、生成证明密钥AK的请求。
- tcmgr:微内核服务,作为可信基向上提供系统调用的接口完成证明密钥AK的生成、度量值的计算与存储、证明报告的生成与签名等功能。
- AS(Attestation Service): 远程证明服务器,作为服务端提供证明密钥服务,分场景下提供对证明密钥提供数字签名服务。
父主题: 远程/本地证明特性