2019年12月31日，IPADS和瓶缽信息科技宣布正式開源“蓬萊”：RISC-V平臺的可信執(zhí)行環(huán)境。
?
隨著自動駕駛、5G、AIoT等場景的迅速發(fā)展，RISC-V平臺的系統(tǒng)安全能力越來越重要。可信執(zhí)行環(huán)境（TEE: Trusted Execution Environment），是現(xiàn)代系統(tǒng)安全的重要支撐技術。通過創(chuàng)建Enclave（飛地，即由硬件保證隔離的可信執(zhí)行環(huán)境實例），TEE技術可大幅度降低系統(tǒng)整體的可信基，增強對特定代碼和數(shù)據(jù)的保護能力。
“蓬萊”是一個基于RISC-V的可擴展TEE系統(tǒng)。和現(xiàn)有系統(tǒng)不同，蓬萊擴展了現(xiàn)有RISC-V硬件原語，通過軟硬件協(xié)同的方式來支持隔離環(huán)境的可擴展性。為了實現(xiàn)軟件可信基的通用性，蓬萊架構在安全監(jiān)控器（Secure monitor）和具體的硬件原語間，設計了一層“安全原語”接口?？尚怒h(huán)境實例的管理邏輯將實現(xiàn)在這層通用的接口上，而不需要關心具體的硬件隔離和保護機制。
具體來說，當前的蓬萊系統(tǒng)實現(xiàn)基于一個新的RISC-V指令集擴展：特權級物理內(nèi)存保護機制（s-mode Physical Memory Protection，即sPMP） ，允許在TEE OS中或者Secure monitor中實現(xiàn)可擴展的物理內(nèi)存隔離。除了sPMP硬件擴展，蓬萊同時支持通過現(xiàn)有的物理內(nèi)存隔離機制PMP（Physical Memory Protection）進行Enclave保護。
?
目前蓬萊的開源項目在Qemu模擬器環(huán)境下支持了新的硬件擴展，并且基于Docker容器來包裝所有的開發(fā)依賴環(huán)境。開發(fā)者只需要準備好容器環(huán)境和Git就可以下載和運行Demo實例。測試顯示，即使在資源受限的場景下，蓬萊也能夠支持100個以上的Enclave實例。
后續(xù)，在兼容性與易用性上，我們將進一步支持更多的接口和功能，以及更多的硬件環(huán)境；在安全特性上，我們將支持內(nèi)存加密引擎和內(nèi)存完整性保護等功能；在性能增強方面，我們將支持Enclave快速fork、安全零拷貝數(shù)據(jù)傳輸?shù)裙δ堋?/p>
以下是具體的開源信息：
-
蓬萊主頁：http://penglai-enclave.systems/
-
碼云地址：https://gitee.com/penglai-enclave/Penglai-Enclave
-
Github地址：https://github.com/Penglai-Enclave/Penglai-Enclave
蓬萊采用木蘭寬松許可證（MulanPSL），易于二次開發(fā)和商業(yè)使用。目前，蓬萊已經(jīng)被RISC-V處理器IP和解決方案公司芯來科技等公司采用，作為其安全解決方案。
瓶缽信息科技成立于2015年，是一家智能設備安全產(chǎn)品與服務提供商，致力于為智能設備廠商和應用廠商提供基于芯片和系統(tǒng)級安全產(chǎn)品和解決方案，保護系統(tǒng)和應用的安全。瓶缽自創(chuàng)立以來一直深耕芯片和系統(tǒng)安全領域，堅持對ARM、X86、RISC-V等硬件架構進行研究并不斷開發(fā)軟硬協(xié)同的安全產(chǎn)品，其中可信執(zhí)行環(huán)境產(chǎn)品已經(jīng)在數(shù)億臺智能設備中得到應用。通過自身對芯片和系統(tǒng)安全的理解和積累，瓶缽將與產(chǎn)業(yè)鏈各方深度合作，持續(xù)為RISC-V社區(qū)帶來軟硬件協(xié)同設計的安全系統(tǒng)和可信執(zhí)行環(huán)境方案，為海量應用業(yè)務保駕護航。
滬公網(wǎng)安備31011202008280號