追本溯源-安全應從生產(chǎn)源頭開始
萬物互聯(lián)的概念逐漸深入到了各個領域,如何安全地讓設備接入網(wǎng)絡也成為了一個挑戰(zhàn);設備的功能也愈發(fā)復雜,越來越多的設備具備了“邊緣計算”的算力和能力,MCU上承載的算法(例如AI/電機/傳感器融合等)也越來越多,保護運行于MCU上固件的知識產(chǎn)權也愈發(fā)重要。
也正因為如此,我們需要全鏈路的安全。從源頭上,保證MCU被安全地配置,在工廠生產(chǎn)時,密鑰和固件被安全地注入芯片。與此同時,設備的附加值越高,越需要考慮設備的固件不會被意外流出。越來越多的公司專注于研發(fā),并將生產(chǎn)委托給第三方工廠,因此有時也需要保證工廠不會違規(guī)進行超額的生產(chǎn)。如果不考慮這些問題,公司花費高額代價和投入建立的技術壁壘,很有可能會變成全行業(yè)眾人皆知的“經(jīng)典參考方案”。
NXP安全生產(chǎn)方案
為了解決這些問題,NXP推出了基于智能卡的安全生產(chǎn)方案。
恩智浦智能卡可信生產(chǎn)是為原始設備制造商(OEM)管理其與簽訂合同的制造商(CM)的生產(chǎn)過程而提供的安全方案。通過免費的MCUXpresso Secure Provisioning Tool (SEC)圖形化工具和恩智浦提供的智能卡,OEM的機密信息和知識產(chǎn)權在其生產(chǎn)過程中被加密保護并安全地轉(zhuǎn)移到恩智浦的MCU上。智能卡基于恩智浦的高安全SmartMX控制器,在高安全性應用中被廣泛使用。
基于此方案,OEM可以在智能卡中配置并鎖定生產(chǎn)限額,防止CM進行超額生產(chǎn),由SEC工具在智能卡配合下生成的工廠審計日志使OEM能夠?qū)彶榕渲玫脑O備數(shù)量。設備的證書被生成并傳遞給OEM,設備啟用時可使用此證書完成設備在云端云服務的注冊。
基于智能卡的安全生產(chǎn)流程如下圖所示:
下面進行分項講解:
第一步:OEM需要準備OEM的密鑰和準備燒錄的固件。NXP將會提供用于安全置備的固件(以SB2格式加密保護)和NXP_PROD_DevAttest_CA_PUK證書。
第二步:通過SEC工具寫恩智浦智能卡,OEM將定制化數(shù)據(jù)(如生產(chǎn)數(shù)量限制和OEM密鑰)配置進智能卡中。OEM使用SEC工具,生成經(jīng)過簽名/加密的OEM固件。所有這些資料都被包裝成一個OEM量產(chǎn)資料包。一般來說,OEM量產(chǎn)包應包含定制化數(shù)據(jù)的智能卡、經(jīng)過簽名/加密的OEM固件和恩智浦提供的置備固件。
第三步:OEM將包含定制化后的智能卡和量產(chǎn)資料包發(fā)給與其簽訂合同的制造商(CM)。
第四步:CM使用OEM定制化配置后的智能卡,并通過SEC工具,將NXP提供的置備固件加載到目標設備上。
第五步:智能卡向目標設備發(fā)送一個挑戰(zhàn)(challenge),用于驗證目標設備的真實性。
第六步:目標設備對挑戰(zhàn)(challenge)做簽名響應(response),智能卡將會根據(jù)NXP_PROD_DevAttest_CA_PUK證書對響應(response)進行驗證。
第七步:驗證通過后,智能卡生成會話密鑰(session keys)和OEM證書。然后,它與目標設備交換會話密鑰,建立加密通道,并傳輸OEM證書和OEM密鑰。此時,OEM設備證書從現(xiàn)在起取代了NXP_PROD_DevAttest_CA_PUK證書。因此, OEM擁有該設備的所有權。
第八步:復位目標設備。然后,經(jīng)過簽名/加密的OEM固件被傳輸?shù)侥繕嗽O備上。目標設備將會進行固件的燒寫。
第九步:所有生產(chǎn)都已完成,CM將審計日志和智能卡送回至OEM。OEM可以分析審計日志,并可以根據(jù)需求,選擇性地從日志中提取設備證書,上傳到云服務提供商(如AWS、微軟Azure等)。
從上述流程可以看出,每一顆芯片的生產(chǎn)和燒錄,都必須通過智能卡進行。智能卡可以記錄已生產(chǎn)的數(shù)量,并將判斷是否超出了OEM預設的生產(chǎn)數(shù)量的限制。一旦超過限制,生產(chǎn)過程將無法進行,因此CM無法進行超出限額的額外的設備生產(chǎn)。這從技術上,限制了CM的行為。并且,CM拿到的量產(chǎn)資料包中的固件,全部都是被NXPSecure Binary格式加密保護的,原始的固件不會從OEM流出,因此也不會泄露OEM的知識產(chǎn)權。整個過程中需要的密鑰也都被智能卡妥善管理,為應用的密鑰管理體系打下了堅實的基礎。
看起來這是一個復雜的過程,但實際,基于圖形化的SEC工具,僅需花費幾分鐘,就可以完成所有操作。并且,SEC工具還支持量產(chǎn)模式,方便工廠產(chǎn)線的操作人員簡化操作,只需通過簡單的鼠標點擊,就可以完成生產(chǎn)。
小結
基于智能卡的安全生產(chǎn)解決方案補足了安全生產(chǎn)的低成本解決方案,是傳統(tǒng)更昂貴的HSM和第三方芯片燒寫服務的有益補充。我們使客戶能夠充分利用恩智浦MCU的先進安全功能來保護其重要資產(chǎn)。通過購買高性價比的智能卡和使用免費的MCUXpresso SEC工具,我們的客戶可以準備安全的固件來保護他們的知識產(chǎn)權,管理密鑰和執(zhí)行設備置備。智能卡解決方案沒有最低訂購量,并可完全控制生產(chǎn)數(shù)量,因此,安全制造成為能負擔得起的選項。
目前,此方案支持LPC55Sxx(LPC55S6x,LPC55S2x,LPC55S1x,LPC55S0x)設備,NXP官網(wǎng)提供了基于智能卡的安全生產(chǎn)方案的視頻教程??梢耘c當?shù)豊XP的銷售/FAE聯(lián)系,來獲取智能卡和更多信息。
END
更多恩智浦AI-IoT市場和產(chǎn)品信息,邀您同時關注“NXP客?!蔽⑿殴娞?/span>
? ? ?NXP客棧
恩智浦致力于打造安全的連接和基礎設施解決方案,為智慧生活保駕護航。
長按二維碼,關注我們
恩智浦MCU加油站
這是由恩智浦官方運營的公眾號,著重為您推薦恩智浦MCU的產(chǎn)品信息、開發(fā)技巧、教程文檔、培訓課程等內(nèi)容。
長按二維碼,關注我們
原文標題:NXP基于智能卡的安全生產(chǎn)方案
文章出處:【微信公眾號:恩智浦MCU加油站】歡迎添加關注!文章轉(zhuǎn)載請注明出處。
-
mcu
+關注
關注
146文章
16667瀏覽量
347786 -
恩智浦
+關注
關注
14文章
5788瀏覽量
104716
原文標題:NXP基于智能卡的安全生產(chǎn)方案
文章出處:【微信號:NXP_SMART_HARDWARE,微信公眾號:恩智浦MCU加油站】歡迎添加關注!文章轉(zhuǎn)載請注明出處。
發(fā)布評論請先 登錄
相關推薦
評論