保護(hù)MCU固件知識(shí)產(chǎn)權(quán)：NXP基于智能卡的低成本安全生產(chǎn)方案

萬(wàn)物互聯(lián)的概念逐漸深入到了各個(gè)領(lǐng)域，如何安全地讓設(shè)備接入網(wǎng)絡(luò)也成為了一個(gè)挑戰(zhàn)。同時(shí)，設(shè)備的功能也愈發(fā)復(fù)雜，越來(lái)越多的設(shè)備具備了“邊緣計(jì)算”的算力和能力，MCU上承載的算法（例如AI/電機(jī)/傳感器融合等）也越來(lái)越多，保護(hù)運(yùn)行于MCU上固件的知識(shí)產(chǎn)權(quán)也愈發(fā)重要。

追本溯源：安全應(yīng)從生產(chǎn)源頭開(kāi)始

也正因?yàn)槿绱?，我們需要全鏈路的安全。從源頭上，保證MCU被安全地配置，在工廠(chǎng)生產(chǎn)時(shí)，密鑰和固件被安全地注入芯片。與此同時(shí)，設(shè)備的附加值越高，越需要考慮設(shè)備的固件不會(huì)被意外流出。

越來(lái)越多的公司專(zhuān)注于研發(fā)，并將生產(chǎn)委托給第三方工廠(chǎng)，因此有時(shí)也需要保證工廠(chǎng)不會(huì)違規(guī)進(jìn)行超額的生產(chǎn)。如果不考慮這些問(wèn)題，公司花費(fèi)高額代價(jià)和投入建立的技術(shù)壁壘，很有可能會(huì)變成全行業(yè)眾人皆知的“經(jīng)典參考方案”。

NXP基于智能卡的安全生產(chǎn)方案

為了解決這些問(wèn)題，NXP推出了基于智能卡的安全生產(chǎn)方案。

恩智浦智能卡可信生產(chǎn)是為原始設(shè)備制造商（OEM）管理其與簽訂合同的制造商（CM）的生產(chǎn)過(guò)程而提供的安全方案。通過(guò)免費(fèi)的MCUXpresso Secure Provisioning Tool (SEC) 圖形化工具和恩智浦提供的智能卡，OEM的機(jī)密信息和知識(shí)產(chǎn)權(quán)在其生產(chǎn)過(guò)程中被加密保護(hù)并安全地轉(zhuǎn)移到恩智浦的MCU上。智能卡基于恩智浦的高安全SmartMX控制器，在高安全性應(yīng)用中被廣泛使用。

基于此方案，OEM可以在智能卡中配置并鎖定生產(chǎn)限額，防止CM進(jìn)行超額生產(chǎn)，由SEC工具在智能卡配合下生成的工廠(chǎng)審計(jì)日志使OEM能夠?qū)彶榕渲玫脑O(shè)備數(shù)量。設(shè)備的證書(shū)被生成并傳遞給OEM，設(shè)備啟用時(shí)可使用此證書(shū)完成設(shè)備在云端云服務(wù)的注冊(cè)。

基于智能卡的安全生產(chǎn)流程如下圖所示：

下面進(jìn)行分項(xiàng)講解：

第一步

OEM需要準(zhǔn)備OEM的密鑰和準(zhǔn)備燒錄的固件。NXP將會(huì)提供用于安全置備的固件（以SB2格式加密保護(hù)）和NXP_PROD_DevAttest_CA_PUK證書(shū)。

第二步

通過(guò)SEC工具寫(xiě)恩智浦智能卡，OEM將定制化數(shù)據(jù)（如生產(chǎn)數(shù)量限制和OEM密鑰）配置進(jìn)智能卡中。OEM使用SEC工具，生成經(jīng)過(guò)簽名/加密的OEM固件。所有這些資料都被包裝成一個(gè)OEM量產(chǎn)資料包。一般來(lái)說(shuō)，OEM量產(chǎn)包應(yīng)包含定制化數(shù)據(jù)的智能卡、經(jīng)過(guò)簽名/加密的OEM固件和恩智浦提供的置備固件。

第三步

OEM將包含定制化后的智能卡和量產(chǎn)資料包發(fā)給與其簽訂合同的制造商（CM)。

第四步

CM使用OEM定制化配置后的智能卡，并通過(guò)SEC工具，將NXP提供的置備固件加載到目標(biāo)設(shè)備上。

第五步

智能卡向目標(biāo)設(shè)備發(fā)送一個(gè)挑戰(zhàn)（challenge），用于驗(yàn)證目標(biāo)設(shè)備的真實(shí)性。

第六步

目標(biāo)設(shè)備對(duì)挑戰(zhàn)（challenge）做簽名響應(yīng)（response），智能卡將會(huì)根據(jù)NXP_PROD_DevAttest_CA_PUK證書(shū)對(duì)響應(yīng)（response）進(jìn)行驗(yàn)證。

第七步

驗(yàn)證通過(guò)后，智能卡生成會(huì)話(huà)密鑰（session keys）和OEM證書(shū)。然后，它與目標(biāo)設(shè)備交換會(huì)話(huà)密鑰，建立加密通道，并傳輸OEM證書(shū)和OEM密鑰。此時(shí)，OEM設(shè)備證書(shū)從現(xiàn)在起取代了NXP_PROD_DevAttest_CA_PUK證書(shū)。因此， OEM擁有該設(shè)備的所有權(quán)。

第八步

復(fù)位目標(biāo)設(shè)備。然后，經(jīng)過(guò)簽名/加密的OEM固件被傳輸?shù)侥繕?biāo)設(shè)備上。目標(biāo)設(shè)備將會(huì)進(jìn)行固件的燒寫(xiě)。

第九步

所有生產(chǎn)都已完成，CM將審計(jì)日志和智能卡送回至OEM。OEM可以分析審計(jì)日志，并可以根據(jù)需求，選擇性地從日志中提取設(shè)備證書(shū)，上傳到云服務(wù)提供商（如AWS、微軟Azure等）。

從上述流程可以看出，每一顆芯片的生產(chǎn)和燒錄，都必須通過(guò)智能卡進(jìn)行。智能卡可以記錄已生產(chǎn)的數(shù)量，并將判斷是否超出了OEM預(yù)設(shè)的生產(chǎn)數(shù)量的限制。一旦超過(guò)限制，生產(chǎn)過(guò)程將無(wú)法進(jìn)行，因此CM無(wú)法進(jìn)行超出限額的額外的設(shè)備生產(chǎn)。

這從技術(shù)上，限制了CM的行為。并且，CM拿到的量產(chǎn)資料包中的固件，全部都是被NXP Secure Binary格式加密保護(hù)的，原始的固件不會(huì)從OEM流出，因此也不會(huì)泄露OEM的知識(shí)產(chǎn)權(quán)。整個(gè)過(guò)程中需要的密鑰也都被智能卡妥善管理，為應(yīng)用的密鑰管理體系打下了堅(jiān)實(shí)的基礎(chǔ)。

看起來(lái)這是一個(gè)復(fù)雜的過(guò)程，但實(shí)際，基于圖形化的SEC工具，僅需花費(fèi)幾分鐘，就可以完成所有操作。并且，SEC工具還支持量產(chǎn)模式，方便工廠(chǎng)產(chǎn)線(xiàn)的操作人員簡(jiǎn)化操作，只需通過(guò)簡(jiǎn)單的鼠標(biāo)點(diǎn)擊，就可以完成生產(chǎn)。

安全生產(chǎn)的低成本解決方案

基于智能卡的安全生產(chǎn)解決方案補(bǔ)足了安全生產(chǎn)的低成本解決方案，是傳統(tǒng)更昂貴的HSM和第三方芯片燒寫(xiě)服務(wù)的有益補(bǔ)充。我們使客戶(hù)能夠充分利用恩智浦MCU的先進(jìn)安全功能來(lái)保護(hù)其重要資產(chǎn)。

通過(guò)購(gòu)買(mǎi)高性?xún)r(jià)比的智能卡和使用免費(fèi)的MCUXpresso SEC工具，我們的客戶(hù)可以準(zhǔn)備安全的固件來(lái)保護(hù)他們的知識(shí)產(chǎn)權(quán)，管理密鑰和執(zhí)行設(shè)備置備。智能卡解決方案沒(méi)有最低訂購(gòu)量，并可完全控制生產(chǎn)數(shù)量，因此，安全制造成為能負(fù)擔(dān)得起的選項(xiàng)。

目前，此方案支持LPC55Sxx (LPC55S6x、LPC55S2x、LPC55S1x、LPC55S0x) 設(shè)備，NXP官網(wǎng)提供了基于智能卡的安全生產(chǎn)方案的視頻教程?？梢耘c當(dāng)?shù)豊XP的銷(xiāo)售/FAE聯(lián)系，來(lái)獲取智能卡和更多信息。

（本文轉(zhuǎn)載自「恩智浦MCU加油站」公眾號(hào)，作者為恩智浦應(yīng)用技術(shù)工程師劉豪）

?