保证嵌入式系统程序完整性的技术设计方案

提下，计算出数据摘要的内容，伪造FPGA。由于Device DNA是每一块FPGA的身份识别码，此值是唯一的。更换FPGA会导致用于DES加密密钥的Device DNA改变，从而向TCM芯片传送的加密值不正确。2、监听FPGA与TCM之间的通讯。由于TCM与FPGA通讯内容还依赖于随机数，具有不可预见性，所以监听当次的通讯内容对之后内容的破解并没有作用。

3.3 可信链的建立

如之前所提到，一个可信的系统的建立，必须是硬件，操作系统，软件应用三者共同作用的结果，本完整性保证设计也不例外。本次设计的可信根建立于以下两个事实之上：1、TCM的保密区域存储空间不能被读取。2、FPGA的Device DNA是唯一对应于一块FPGA的。

经过3.1小结的验证步骤，我们把可信根扩展到了Boot Loader。Boot Loader是嵌入式系统中用于系统初始化以及载入操作系统的程序。保证Boot Loader的完整性的意义在于保证了操作系统在正确的环境以及以正确的方式被加载。之后程序员就可以通过软件的手段对建立在操作系统之上的应用进行安全保证。

信任链的建立及传递

5 研制成果及应用

5.1 研制成果

本项目的主要研制成果有三个方面：

完成了一套具备可信计算功能的硬件开发板。

经过了一年的研发，本开发板的各项功能都被验证具备稳定运作的能力，由于其采用的是主流的资源配置，因此可扩展性也是有目共睹的，具体指标如下：

ARM7内核的三星44B0X处理器,最高运行速度达到66Mhz

Xilinx Spartan3A FPGA芯片，多达200万门的可编程逻辑资源

16M Nor Flash，16M SDRAM能满足大部分应用需要

100M网络接口，支持高速内核下载及烧写

2个标准UART-232接口，能提供与TCM芯片的稳定连接及常见外设的数据传输

完成了TCM固件程序开发及uclinux工具链的配套

目前，我们已经利用中兴提供的开发平台开发了相关的TCM固件程序，使得TCM芯片与本嵌入式平台在启动阶段可以自动完成验证功能。而与此同时，通过进一步的固件程序开发，TCM芯片可以提供更丰富的验证加密功能，以满足更多的可信计算需要。

与此同时，通过busybox工具链，也成功把uclinux2.4成功移植到本嵌入式平台上，运行正常。

6 项目总结

通过本项目的研发，项目组总结经验如下：

1) 需要注意项目经验的积累及转化。从2008年12月提出设计方案到2010年产品的实现，其中进行过数次的方案改动。改进方案的建议不仅来自领队老师自己，还来自参与本项目的学生和过程中不断吸收进来的一些最新的外来研究经验和成果。不断的改进并不代表对之前工作的否定，恰恰相反，没有一些针对前期方案的准备和工作的体会，是没有可能提出更成熟，更稳定的改进方案。因此，在项目实施过程中，积极与外界沟通，同时组织团队进行方案的再三讨论，对于项目的实施和进步是十分有利的。

2) 对中间结果进行规范化的制作，形成可用的产品。在本项目进行的过程中，恰逢IBM PowerPC与工业和信息化部IP核标准工作组共同推广中国开源IP标准化工作。于是在保证工作质量和进度的前提下，我们尝试把嵌入式系统程序完整性保证的概念移植到PowerPC支持的PLB总线上。同时参照相关的标准化要求，完成了"带有完整性验证功能的外部存储控制器"的IP核标准化设计。最终在这个过程中，不仅使学生的能力得到锻炼，同时还验证了本设计的可扩展性和可移植性。

3) 注重项目管理和人员培养。项目管理一直是IT项目的重要课题。如何保证项目进度和项目质量，成了这个项目的其中一个关注点。在本次项目开发过程中，队员注意了项目文档的编写工作，让每一个阶段的进度都有章可循。与此同时，我们还定期进行小组讨论，这不仅加强了队员间的信息交流，活跃了成员的思维。于此同时，这还是工作进度量度和工作质量提高的审核平台。通过以上手段，保证了项目的有序高效进行。在人员培养上，本项目采用导师指导，研究生完成，本科生辅助的模式。导师对重要问题进行提出，对于技术难题，与研究生共同攻关。研究生对导师提出问题进行逐步解答，在此过程中不断吸收知识，并尝试独立解决其中发现的问题。同时把一些工作下放到优秀的本科生，让其进行探讨和完成。这一工作模式，不仅合理地把项目难度分摊到各成员，同时还充分调动起各个成员的工作积极性，而到最后，还提高了整个团队的技术水平。

7 存在问题

经过一年的努力和工作积累，嵌入式系统程序完整性保证技术方案的功能日趋完善、性能越来越高、稳定性越来越强，但还存在下列问题：

（1）相关的工具链的开发不足，产品化程度不高。