高通Linux安全指南(一)

概述

高通® Linux 产品安全性提供了一个全面的安全框架，旨在保护设备免受软件和硬件威胁。

高通提供的安全基础不仅确保了高水平的安全性和稳健性，还保证了卓越的性能，同时保留了能源效率。此框架的主要组件在下图中进行了说明。

图：高通安全基础

通过我们专注于高通 SoC 的综合指南，深入探索物联网安全的世界。学习如何通过先进的安全解决方案优化和增强您的物联网产品的安全性。本视频涵盖了从理解潜在威胁如代码修改和密钥泄露到实施基础安全要求的一切内容。无论您在处理生物识别认证还是云连接，了解高通的安全功能如何保护您的设备免受不断发展的网络威胁，并符合严格的监管标准。加入我们，立即强化您的物联网设备！

视频：Qualcomm 处理器安全性简介

以下是高通安全基础框架中每个模块的功能列表：

• 加密目标是通过加密引擎和硬件密钥确保更安全和更快速的加密/解密操作。
• 密钥管理过程使用一次性可编程 (OTP) eFuse 存储器（称为高通熔断可编程只读存储器 (QFPROM)）来存储通用信息和配置。
• 安全启动功能提供图像认证和电子熔断器 (eFuse) 中的防篡改根信任 (RoT)。
• 调试安全功能允许在安全环境中进行调试。它由 eFuse 设置，并限制商用产品和逆向工程中的侵入性 (INV) 和非侵入性 (NINV) 调试能力。有关更多信息，请参见“在 Armv8-A 上进行调试之前了解架构”。
• 存储安全功能为数字版权管理 (DRM) 密钥和证书提供加密存储。这些密钥是安全预置的。重放保护内存块 (RPMB) 是通用闪存存储器 (UFS) 设备中的一个独立分区，专为安全数据存储设计。
• 访问控制功能通过访问控制的内存和外设防止未经授权的代码执行。
• 高通® 可信执行环境 (TEE) 隔离了安全和非安全的软件操作。它基于 Arm® TrustZone® (TZ)
  架构构建，并经过严格审查的小代码库。
• 高通虚拟机监控程序允许多个操作系统环境同时且独立运行。
• 高通® 无线边缘服务 (WES) 是一种基于云的服务，在设备生命周期内确保信任，使用硬件根信任
  (RoT)。它提供硬件认证、零接触设备预配和芯片组功能管理等服务。

注意：
高通 Linux 平台允许您为 QCS6490 和 QCS5430 开发应用程序。

入门

本文介绍了如何开始使用高通 Linux 平台进行软件开发。
在开始之前，请按照《高通 Linux 构建指南》中描述的步骤设置您的基础设施。该指南还提供了有关常见构建工作流程的信息。
在设置好基础设施后，您可以通过验证各种安全功能或探索工作流程中显示的其他部分来开始。

您必须在宽松模式下启用安全外壳（SSH）以安全地访问您的主机设备。有关如何启用 SSH 并连接到设备的说明，请参见《高通 Linux 构建指南》 ➝ 如何操作 ➝ 如何 SSH。

验证高通 TEE 和安全软件的启动状态

当您访问开发套件，并在硬件上构建和加载了软件后，您的基础设施设置就已准备就绪。您可以验证 TZ（安全）执行环境的可用性。有关说明，请参见启动指南。

启用安全启动和 UEFI 安全启动

实现硬件安全性和知识产权保护的一个重要方面是为硬件启用安全启动。
有关更多信息和说明，请参见：

• 安全启动和启用安全启动
• UEFI 安全启动和启用 UEFI 安全启动

验证 SELinux 状态并自定义 SELinux 策略

验证设备软件的 SELinux 状态非常重要，以确保关键软件模块或驱动程序没有非特权访问。
有关更多信息和说明，请参见：

• SELinux 和启用 SELinux
• SEPolicy

开发受信任和客户端应用程序

要在安全世界（TZ）中执行安全关键应用程序，您必须开发自己的受信任应用程序（TA）。您必须有高通 TEE 软件开发工具包（SDK）的访问权限，以开发对应的客户端应用程序来启动 TA。
有关更多信息，请参见开发指南。

开发高通 WES 应用程序

如果您需要开发提供硬件认证、零接触设备预配和芯片组功能管理的应用程序，请参见：

• Qualcomm WES
• 开发指南

注意:
在本指南中，术语 OEM 指代开发人员和原始设备制造商。