特性描述
TrustZone TEE提供一个需要被信任的可执行环境,对于服务器开放平台来说,TA的来源不可预知。为保证TEE环境可信,避免恶意应用窥探内部数据,TA必须被确认身份以及其来源。TEE OS 1.1.0版本采用通过给开发者签发TA开发者证书,并实现TEEOS对TA的完整性校验进行管控。
在云上系统中,TA的部署可能是动态的,甚至有实时生成TA场景,现有的由华为签发TA开发者证书流程将不能满足要求,因此从TEE OS 1.2.0版本开始,将支持导入客户的TA开发者根或二级证书,支撑云供应商在云上部署自有的PKI系统,动态对TA进行签名;自TEE OS 1.3.0版本开始,将支持TA开发者证书吊销列表导入,包括由华为签发或客户自有PKI系统签发的证书吊销列表。
- TA二级证书导入后,TEE侧默认的华为验签公钥将失效,即由华为颁发TA证书的TA应用将无法正常加载。请使用此功能用户内部妥善管理相关证书和密钥。
- 证书导入工具中的TA应用,仍需要由华为颁发相应的TA证书。在申请华为TA证书前,请务必完成“特性使用免责协议”签署工作。
- 客户导入的TA二级证书将由TEE OS加密持久化存储,建议系统重启后,自动再次导入,以防TA二级证书文件被破坏或修改。
父主题: TA二级证书导入特性