专用SOC安全控制架构的研究与设计

统保持在初始状态。当认证次数超出允许次数时，OTP．6被置位，芯片被锁死。

　　③当OTP．1=1时，芯片系统仅允许用户创建命令的输入与执行。初次启动时，开发商通过用户创建命令，完成AIK与USER_AUTH的创建。用户创建完成后，置位OTP．O与STATE．2，进入芯片激活状态ST3。在允许的认证次数范围内，若用户创建失败，芯片保持在ST2。当 STAT-E.1=1 时，开发商可以通过用户创建命令，更新AIK和USER_AUTH，完成用户身份的重建。当认证次数超出允许范围时，0TP．5被置位，芯片被锁死。

　　④当OTP．O=1时，开发商可以获得低层代码和系统资源所提供的服务功能，如SHA1杂凑值计算、对称数据加解密、RSA数据签名与认证、以及随机数生成等一系列密码服务功能等。当需要对芯片系统进行1层代码下载时，用户输入代码下载命令，芯片系统首先验证下载命令发起者身份，若身份验证正确，置位 STATE．7，进入ST4。

　　⑤当STATE．7=1时，芯片在下载控制程序控制下，将1层代码下载到对应存储器COS区。系统调用SHA1模块度量下载代码的完整性，存储于 LELVE0存储器的PCR2中，并与输入的完整性信息进行对比验证。若完整性验证通过，置位STATE．6，并复位STATE．7，进入ST5，否则返回ST3。此外，因突发因素导致下载过程中断，也会使芯片系统返回ST3。在系统返回ST3时，复位STATE．7。

　　⑥当STATE．6=1时，通过层次跳转命令，芯片系统进入ST6，用户可以获得1层代码的相应功能。由ST6返回到ST3只有断电或者系统复位两种方式。

　　⑦在1层代码运行状态下，若需要进行2层代码下载，则用户输入符合1层代码编码格式的代码下载命令。1层代码验证下载命令发起者身份，验证通过后，置位STATE’．7，进入ST7。若不需要代码下载，则在ST6运行。

　　⑧完成2层代码下载过程同⑤，对2层代码进行完整性度量与验证，若验证通过，置位STATE’．6，进入ST8，否则返回ST6。

　　⑨通过层次跳转命令或功能调用命令，芯片系统可进入ST9，获得2层代码相应功能。当采用层次跳转命令进入ST9时，芯片系统保持在ST9状态，仅能够通过系统复位，返回ST3。当采用功能调用命令进入ST9时，只能执行2层代码中部分功能且执行完毕后，将返回到ST6状态。

　　3 专用SoC芯片安全性分析

　　3．1 攻击防护分析

　　在芯片的硬件安全结构设计中，篡改响应机制能够对既定攻击模型中的物理攻击进行安全防护；结合安全逻辑模块中的越界检测部件，信息交互机制能够防止攻击者对芯片的缓冲区溢出攻击；此外，信息交互机制还能够对语义攻击、字典攻击以及重放攻击进行防护；芯片系统的单向分级启动模式、以及代码下载时的身份认证，各安全级别之间的"防火墙"设计，使得芯片系统能够抵抗恶意代码的攻击。

　　3．2 工作过程安全性分析

　　①代码的可信性：首先，由于制造商被无条件信任，芯片在出厂初始状态真实可信，因而内嵌代码是可信的。在经过传输过程被开发商获得后，芯片的使用需要通过对芯片的传输过程进行验证，在验证正确后，芯片的来源被确认，此时，内嵌代码保持了其可信性。以内嵌代码为可信基，在对1层代码与2层代码进行下载时，均需要认证下载命令发起者的身份。因而，下载的1层代码与2层代码均能够保证其来源真实性。

　　②代码的完整性：在信赖制造商前提下，内嵌代码可作为整个芯片系统的可信基。基于这一信任基础，通过启动过程中对内嵌代码、芯片操作系统、用户应用程序的完整性验证，使得芯片系统仅在代码完整性正确情况下，才能够正常运行，从而保证了代码的完整性。

　　③数据可信性：由于LEVEL0的数据仅能够由制造商与Q层代码操作，传输安全机制保证了芯片的可信性，从而可知LEVEL0的数据是可信的。1层与2层敏感数据与运行临时数据的可信性由本层的代码可信性保证。当本层代码可信时，数据的来源被认为是可信的。

　　④数据完整性：由完整性认证机制可知，其被认证数据对象在每次合法改变时，均将及时修改相应的数据完整性检验信息，且每次启动时，均需进行完整性认证，因而数据完整性可得到保证。

　　⑤功能部件的正确性：功能部件的正确性通过芯片系统每次启动时的功能自检，以及根据应用需要每次调用功能部件执行相应检测功能来保证。

　　结语

　　提供密码服务和数据存储功能的专用SoC芯片设计的关键是，在芯片功能正确的前提下，确保芯片内部敏感信息的机密性与完整性，以及运行状态的可信性。本文为专用SoC的安全设计提供了一个可供参考的模型，也为进一步研究动态数据完整性度量和可信应用服务提供了一个基础平台。