OP-TEE在RK3399平台上实现Measured Boot的技术挑战与解决方案

概述

在嵌入式安全领域，Measured Boot（度量启动）是一项关键的安全功能，它通过记录启动过程中各个组件的度量值来建立信任链。本文将深入分析在RK3399平台上基于OP-TEE实现Measured Boot时遇到的技术挑战，特别是关于TPM事件日志内存映射的问题。

技术背景

Measured Boot的实现通常需要以下几个核心组件协同工作：

1. 可信执行环境（TEE）：如OP-TEE，提供安全执行环境
2. 可信平台模块（TPM）：用于存储度量值和事件日志
3. 固件组件：如TF-A（ARM Trusted Firmware），负责启动初期的度量

在RK3399平台上，当启用MEASURED_BOOT功能时，TF-A应当生成事件日志，但实际执行中出现了问题。

问题现象

系统启动日志显示以下关键错误信息：

E/TC:0 0 get_tpm_phys_params:84 TPM: No DTB found
E/TC:0 0 tpm_map_log_area:149 TPM: Failed to map TPM log memory

这表明系统无法找到设备树（DTB）中定义的TPM日志内存区域，导致无法正确映射TPM事件日志所需的内存空间。

根本原因分析

通过深入分析OP-TEE源代码，我们发现问题的核心在于：

1. 内存地址获取机制：OP-TEE期望从设备树的arm,tpm_event_log节点获取TPM事件日志的非安全内存地址和大小信息
2. 设备树传递问题：当前配置下，TF-A没有将设备树传递给OP-TEE，或者设备树中缺少必要的TPM日志区域定义
3. 内存映射失败：由于缺乏正确的物理地址参数，OP-TEE无法建立安全世界与非安全世界之间的内存映射

解决方案

针对这一问题，我们提出两种可行的解决方案：

方案一：通过设备树配置

1. 在系统设备树中添加arm,tpm_event_log节点，明确定义TPM事件日志的内存区域
2. 确保TF-A配置为向OP-TEE传递完整的设备树
3. 在OP-TEE中启用CFG_DT选项以解析设备树

方案二：静态配置

1. 在OP-TEE编译时通过CFG_TPM_LOG_BASE_ADDR直接指定TPM日志内存基地址
2. 确保该内存区域在系统内存映射中是合法且可访问的
3. 与TF-A配置协调，确保双方使用相同的地址定义

实现建议

对于RK3399平台的具体实现，建议采取以下步骤：

1. 内存区域选择：选择一块足够大的连续内存区域（通常需要几十KB）用于存储TPM事件日志
2. 安全考虑：确保该内存区域在非安全世界是只读的，防止恶意篡改度量数据
3. 平台适配：根据RK3399的内存映射特性，选择不与其它关键区域冲突的地址
4. 调试验证：通过逐步调试验证内存映射的正确性

最佳实践

在嵌入式安全系统开发中，实现Measured Boot时应注意：

1. 早期初始化：TPM日志区域应在系统启动的最早期阶段就进行初始化和保护
2. 完整性保护：考虑使用哈希或签名机制保护日志完整性
3. 性能考量：日志区域大小应平衡安全需求和内存资源限制
4. 跨组件协调：确保所有固件组件（BL1/BL2/BL31/OP-TEE）对日志区域的定义一致

结论

在RK3399平台上实现Measured Boot时，TPM事件日志内存映射是一个关键的技术挑战。通过正确配置设备树或静态内存参数，并确保各安全组件间的协调，可以成功建立可信度量机制。这一过程不仅需要深入理解OP-TEE和TF-A的交互机制，还需要考虑平台特定的内存布局和安全需求。