TEE - в вашем смартфоне живёт второй процессор. Он не доверяет первому

Каждый раз, когда вы платите телефоном, происходит кое-что, о чём ваш Android не может знать. Смартфон не спрашивает основную операционную систему, совпадает ли ваш отпечаток с эталоном. Он спрашивает другой процессор — невидимый, изолированный, работающий параллельно. Android получает только ответ «да» или «нет». Сами биометрические данные он никогда не видит.

Эта архитектура называется TEE — Trusted Execution Environment, доверенная среда выполнения. Она есть в каждом современном смартфоне, в серверах Azure и Google Cloud, в ноутбуках с Windows Hello, в банкоматах и платёжных терминалах.

И это также большой рынок. Производители TEE в 2024 году заработали 3,5 миллиарда долларов. К 2033 году аналитики ждут 18 миллиардов. Большие деньги за технологию, которую никто не видит и мало кто понимает.

TEE — это бронированная комната внутри процессора. Основная ОС живёт снаружи: она получает задачи, управляет приложениями, иногда подхватывает вирусы. Бронированная комната работает параллельно, отвечает только на заранее разрешённые вопросы и не открывается изнутри — даже если снаружи получили права администратора. Вредоносное приложение, засевшее в Android, не может украсть ключи Apple Pay — их там нет. Они в комнате.

• Разблокировка ноутбука по лицу — TEE.
• Банковское приложение, которое отказывается работать на рутованном телефоне — TEE.
• Корпоративная VM в Azure, данные которой не видят администраторы дата-центра — TEE.
• Стриминговый сервис, проверяющий лицензию на 4K-контент — тоже TEE.

Одна архитектурная идея в основе всего: среда внутри процессора, которой доверяют больше, чем самой операционной системе.

Пять вопросов, которые отделяют надёжный сейф от красивой коробки

TEE: Процессор внутри процессора: как производители защищают ваши данные

TEE — это аппаратная область внутри процессора,

где полномочия обычной операционной системы заканчиваются

Когда вы прикладываете палец к смартфону, происходит любопытная вещь. Телефон не спрашивает Android: «это правильный отпечаток?». Вместо этого запрос уходит в отдельную изолированную среду внутри процессора. Android не видит сам отпечаток, не хранит его и не участвует в проверке.

Эта технология называется TEE — Trusted Execution Environment, доверенная среда выполнения.

Проще всего представить её как бронированную комнату внутри большого офиса. В основном офисе работают браузеры, мессенджеры, игры и приложения. Там бывают вирусы, ошибки и взломы. Но внутри того же здания есть маленькое помещение с отдельными правилами безопасности. Именно там хранятся ключи шифрования, проверяется биометрия и выполняются самые чувствительные операции.

Сегодня TEE уже используется почти везде:

• в Face ID и сканерах отпечатков;
• в Apple Pay и Google Pay;
• в банковских приложениях;
• в шифровании смартфонов и ноутбуков;
• в облачных вычислениях;
• в системах защиты AI-моделей;
• в корпоративных виртуальных машинах.

Большинство пользователей никогда не слышали термин TEE. Но именно эта технология сегодня стоит между злоумышленником и вашими деньгами, биометрией или корпоративными данными.

Почему TEE внезапно стала стратегической технологией