关于ARM TrustZone内存别名（Memory Aliasing）的原理与应用咨询

一、核心概念 #

内存别名的本质是同一物理内存块被映射到两个不同的地址范围，在ARM TrustZone场景下，这个地址范围的区分由地址的第33位（针对支持LPAE的ARMv7-A/ARMv8-A架构）决定：

• 当地址的第33位为0时，该地址属于非安全（Non-secure）地址空间，CPU仅能以非安全状态访问；
• 当地址的第33位为1时，该地址属于安全（Secure）地址空间，CPU仅能以安全状态访问。

两个地址空间指向的是同一块物理内存，硬件会根据地址位和当前CPU的安全状态，自动路由访问请求。

二、核心用途 #

1. 高效数据共享：无需物理复制数据，安全世界（TEE，如OP-TEE）和非安全世界（如Linux/Android）可直接访问同一块内存，避免拷贝带来的性能损耗和内存浪费。
2. 可控安全隔离：硬件层面强制隔离两个地址空间——非安全状态下无法访问安全地址空间，安全状态下可双向访问，但能通过MMU/MPU做细粒度权限管控，既保证交互又防止非法篡改。
3. 兼容原有软件栈：非安全世界的操作系统和应用无需修改内存访问逻辑，只需使用第33位为0的地址即可正常工作；安全世界通过专属地址访问共享内存，不影响原有生态。

三、实际示例 #

以某ARMv7-A架构的SoC为例：
假设存在一块起始物理地址为0x80000000、大小1MB的内存块。

1. 非安全世界视角 #

这块内存被映射到非安全地址空间的0x80000000（第33位为0），Linux内核可将其分配给用户进程，用于存放需要和安全世界交互的数据：

// 非安全世界Linux用户态代码
char *shared_buf = mmap(NULL, 1024, PROT_READ | PROT_WRITE, MAP_SHARED, shm_fd, 0);
// 写入待加密数据
strcpy(shared_buf, "Sensitive data to encrypt");

2. 安全世界视角 #

同一块物理内存被映射到安全地址空间的0x180000000（第33位为1，即0x80000000 + 0x100000000），安全应用可直接读写该地址完成数据交互：

// 安全世界OP-TEE应用代码
void secure_process() {
    char *secure_shared_buf = (char *)0x180000000;
    // 读取非安全世界传入的数据
    printf("Received from non-secure: %s\n", secure_shared_buf);
    // 加密处理后写回
    aes_encrypt(secure_shared_buf, strlen(secure_shared_buf));
}

3. 硬件权限管控 #

• 若非安全进程尝试访问0x180000000，TrustZone内存保护单元（MPU）会直接拦截访问并触发异常；
• 安全世界代码可自由访问两个地址空间，但TEE框架会额外校验权限，确保只有授权的安全应用能操作共享内存。

四、误区澄清 #

• 内存别名不是内存复制：修改任意一个地址的数据，另一个地址读取的内容会实时同步；
• 地址位的判定是硬件级别的：SoC内存控制器会自动根据地址位切换访问路径，无需软件干预。

内容的提问来源于stack exchange，提问作者srikanth mucharla