【转载】密钥全生命周期物理不可见：基于三重隔离与两级协同的终端安全管控体系

编者荐语

Editor's Recommendation

物联网终端设备大规模部署，密钥安全关乎系统“生死”。外置加密芯片虽能提供基础防护，却面临成本高、密钥易暴露、更新销毁机制不完善等瓶颈——单台成本增加50～200元，亿级部署下难以承受。本文提出无须额外硬件的密钥全生命周期管控方案：依托“运行时—存储—传输”三重隔离机制与两级协同控制模型，实现密钥“物理不可见”；采用硬件根密钥与PUF联合派生，确保密钥与设备永久绑定。方案已在瑞萨G2L平台验证，可有效抵御内存窃取、存储篡改、重放攻击，适用于电力物联网、工业控制等大规模终端部署场景。

文献引用

陆峁林 , 沈凯华 , 孙国菊 . 融合终端密钥安全管控体系的构建与实现[J]. 信息安全与通信保密 , 2026(6): 42-52.

文章摘要

随着智能终端与物联网技术的广泛应用，设备密钥面临未授权访问、篡改及泄露等安全风险，现有外置加密芯片方案存在成本高、密钥管理有缺陷等问题，难以兼顾安全性与经济性。为此，提出了一种无需外置加密芯片的密钥管控方案，以解决现有缺陷并满足高安全需求。该方案构建了基于开源可移植可信执行环境操作系统（OP-TEE OS）、重放保护存储块（RPMB）与安全加密引擎（TSIP）的协同管控体系，依托终端现有硬件搭建了“运行时—存储—传输”三重隔离机制，并基于两级协同控制模型，采用硬件根密钥（HRK）与物理不可克隆函数（PUF）密钥派生机制及标准化传输格式。结果表明，该方案可实现密钥全生命周期“对非安全世界物理不可见”管理，能够有效抵御攻击。

引　言

在物联网、工业互联网等技术的推动下，终端设备已成为数据采集、传输与处理的关键载体，广泛应用于智能家居、工业控制、金融支付等领域。尤其在电力物联网场景中，终端设备直接关系到电网运行安全，其数量已突破亿级，且呈现出分布式部署、多协议交互的特点。密钥作为终端设备安全交互的核心凭证，其全生命周期管理的安全性直接决定了整个系统的安全边界。

当前主流的外置加密芯片方案虽能提供基础密钥保护，但存在以下2个核心问题：

一是额外硬件成本导致产品性价比降低。对于大规模部署的终端设备而言，若单台设备加密芯片成本增加50～200元，百万级部署规模将产生巨额额外支出；

二是密钥在通用执行环境中易短暂暴露，且动态更新与销毁机制不完善，难以抵御高级持续性威胁。

在电力物联网等关键领域的实践表明，终端安全防护需重点解决加密认证与数据隐私保护问题，而密钥管理是核心环节。近年来，因密钥泄露导致的终端被劫持、数据被篡改的安全事件频发，带来了严重的经济损失与安全风险。因此，如何依托终端现有硬件资源，通过标准化隔离机制与协同控制流程实现密钥全生命周期的高安全管控，成为亟待解决的关键问题。

国内外学者围绕密钥安全管理展开大量研究。有研究提出基于数据驱动的物联网安全防护框架，为密钥传输防护提供思路，但未覆盖全生命周期管理；有研究利用高级精简指令集机器（advanced RISC machines, ARM）TrustZone技术构建可信执行环境，实现了密钥运算隔离执行，却缺乏存储与传输环节的协同保护及标准化流程；有研究系统分析了密钥管理研究进展，但未形成“运行时—存储—传输”一体化防护体系及两级协同控制模型。

本文旨在构建无须外置加密芯片、流程标准化的密钥全生命周期安全管控体系，通过开源可移植可信执行环境（open portable trusted execution environment operating system, OP-TEE OS）、重放保护存储块（replay protected memory block, RPMB）与安全加密引擎（trusted secure IP, TSIP）的协同控制机制，实现密钥的全流程安全管理，弥补了现有方案在全环节防护、工程化落地方面的不足。

主要创新点包括：

（1）设计“运行时—存储—传输”三重隔离防护架构，明确各隔离层技术标准与交互流程，通过硬件虚拟化、专用安全分区、硬件加密通道的协同联动，确保密钥全生命周期物理不可见，从根源上杜绝密钥暴露风险；

（2）提出硬件根密钥（hardware root key, HRK）与物理不可克隆函数（physical unclonable function, PUF）联合密钥派生机制，构建“HRK→HUK→客户密钥”层级结构，实现根密钥与终端硬件的永久绑定，避免密钥与设备解绑导致的安全隐患；

（3）建立安装协同控制与现场运行协同控制两级管理模式，明确工厂初始化与现场运维各阶段操作规范，覆盖全流程关键环节，提升方案的工程可实现性；

（4）定义标准化密钥传输格式，即硬件加密封装（hardware encrypted, HU）密钥+RPMB写入计数器+RPMB消息认证码+存储地址，通过硬件级接口与多维度验证保障传输安全，解决不同硬件平台间的兼容性问题，提升方案的通用性。

相关技术基础

1.1 TEE OS

基于ARM TrustZone硬件虚拟化技术，将终端处理器划分为富执行环境（rich execution environment, REE）与可信执行环境（trusted execution environment, TEE）2个独立运行域。其中，REE用于运行普通应用程序与操作系统，TEE则作为安全域运行OP-TEE OS，通过安全监控器（monitor）实现双环境的资源隔离与特权级切换。所有密钥生成、加解密、签名验证等核心操作均在TEE安全域内完成，REE环境则无法访问TEE域的内存资源与调用硬件设备，可有效规避恶意程序攻击风险。该技术无需额外硬件即可构建安全运行空间，具备标准化的接口规范与丰富的安全服务能力，为密钥运行时隔离提供可靠支撑，目前已广泛应用于物联网终端、移动设备等安全敏感场景。

1.2 RPMB

作为嵌入式多媒体卡（embedded multi media card, eMMC）存储芯片的专用安全分区，RPMB具备硬件级的篡改检测与重放保护功能，是实现密钥安全存储的核心硬件载体。其安全机制主要通过3大组件实现：一是唯一访问密钥（RPMB_Key），用于身份认证，仅授权设备可访问分区数据；二是写入计数器（RPMB_Counter），记录数据写入次数，防止重放攻击；三是消息认证码（message authentication code, MAC）验证机制，对传输数据进行完整性校验，杜绝数据篡改风险。RPMB支持物理隔离存储，即存储区域与普通存储分区严格分离，且仅允许通过专用硬件接口进行访问，契合关键场景的加密防护需求，为密钥存储隔离提供标准化、高可靠的硬件方案，可有效保障密钥在存储阶段的安全性与完整性。

1.3 TSIP

终端内置的硬件安全引擎，集成了AES-256、ECC-P256等国际标准加密算法及真随机数生成器（true random number generator, TRNG），具备密钥派生、加密运算、安全验证等一体化功能。TSIP内置HRK。该密钥在芯片生产阶段固化，无法被外部读取或修改，同时支持PUF物理特征提取，可基于设备独一无二的物理特性派生密钥，实现密钥与硬件的深度绑定。通过专用硬件接口与OP-TEE OS、RPMB进行通信，密钥传输过程采用硬件级加密保护，杜绝传输链路中的窃听与篡改风险，为密钥传输提供端到端的安全保障，是实现传输隔离的核心技术支撑。

密钥全生命周期安全管控架构设计

本文设计的密钥全生命周期安全管控架构分为REE层、TEE OS层和硬件层3层，具体分布如图1所示。

图1 基于三重隔离协同的密钥全生命周期安全管控架构

架构以三重隔离机制为核心，结合两级协同控制模块，实现密钥全流程标准化安全管控。硬件层包含TSIP模块、eMMC存储（含RPMB分区）及PUF物理特征提取单元，通过硬件级接口与OP-TEE OS层进行安全交互；OP-TEE OS层运行协同控制模块，负责调度三重隔离机制；REE层为普通应用提供运行环境，通过TEE驱动与安全域实现合规交互。

2.1 三重隔离机制设计

2.1.1 运行时隔离

基于ARM TrustZone技术，TEE OS可构建独立于REE的安全运行空间，形成第一重隔离。密钥生成、加解密、签名验证等核心操作均在安全域内执行，REE环境无法通过正常系统调用访问安全域内存资源，且安全域与普通域之间的切换需通过特权级指令触发，具备严格的访问控制机制。明文密钥仅驻留于TSIP内部寄存器，操作完成后立即清除，不留任何存储痕迹，从根本上规避密钥运行时的暴露风险。该机制通过硬件虚拟化实现物理隔离，遵循GlobalPlatform标准化规范，确保隔离的可靠性与不同硬件平台的兼容性，能够有效抵御恶意程序注入、内存读取等常见攻击。

2.1.2 存储隔离

以RPMB为核心构建物理隔离存储区域，形成第二重隔离。所有密钥经HUK加密后存储于RPMB专用分区，存储过程通过MAC验证与写入计数器机制实现双重防护。RPMB仅允许通过专用硬件接口访问，并需验证RPMB_Key与RPMB_Counter，确保密钥存储具有物理不可见、防篡改与防重放能力，且流程标准化，便于工程落地。

2.1.3 传输隔离

通过TSIP与RPMB之间的专用硬件接口通道，形成第三重隔离。密钥传输采用标准化格式，传输过程中通过HRK派生的会话密钥进行加密与身份认证。TSIP与RPMB通过专用硬件通道进行交互，杜绝窃听与篡改风险，标准化传输格式与验证流程能够保障端到端的传输安全。

2.2 两级协同控制模块设计

协同控制模块运行于TEE OS内部，分为安装协同控制与现场运行协同控制2大子模块，负责调度三重隔离机制，完成密钥全生命周期管理。

2.2.1 安装协同控制

安装协同控制在工厂模式下运行，完成密钥初始化与信任基础构建，为终端安全运行奠定根基。

（1）根密钥生成：TSIP调用PUF提取设备物理特征，结合内置HRK，通过密钥派生算法生成HUK。HUK永久存储于TSIP内部专用一次性可编程熔丝存储器（one-time programmable, OTP）存储区域。该区域采用不可逆熔丝编程工艺、物理隔离防护及硬件访问锁死机制，具备抗物理拆解、探针探测、篡改攻击能力，密钥生成后无法被修改或读取。

（2）RPMB_Key配置：通过椭圆曲线迪菲-赫尔曼密钥协商（elliptic curve Diffie-Hellman, ECDH）算法与工厂安全服务器协商共享密钥，基于该共享密钥派生RPMB_Key，再经HUK加密后存储于TSIP安全存储区，同时将RPMB_Counter初始化为0，确保RPMB访问密钥的安全性。

（3）信任锚安装：将终端认证公钥（trusted application primary key, TAPK）经HUK加密后存储于TSIP，作为后续固件验证、密钥交互的非对称密钥验证依据，构建终端信任链起点。

（4）主密钥安装：根据终端型号与应用场景分配RPMB专属存储地址，导入并解密相关密钥后，通过HUK加密生成主密钥，结合RPMB_MAC与RPMB_Counter存储至指定地址，完成主密钥初始化。

安装协同控制具体流程如图2所示。

图2 安装协同控制流程

2.2.2 现场运行协同控制

现场运行协同控制负责终端部署后的密钥动态管理，包含4大功能单元。

（1）安全启动：终端启动时，TSIP解密HU_TAPK获取TAPK，验证固件哈希值签名，失败则进入安全锁定模式。

（2）用户密钥安装/更新：接收用户密钥索引号（User_index）与用户密钥派生主密钥（MK_UserKey），定位存储地址，解密后重新加密生成HU_UserKey并存储。

（3）用户密钥使用：REE应用通过TEE驱动发起请求，切换至安全域后，TSIP读取并解密HU_UserKey，内部完成运算后返回结果并清除临时数据。

（4）密钥销毁：定位密钥地址，写入全0数据并生成MAC，经RPMB验证后保存，使密钥彻底失效。该机制解决了现有方案密钥更新与销毁能力不足的问题。

现场运行协同控制流程如图3所示。

图3 现场运行协同控制流程

密钥全生命周期管控流程实现

3.1 密钥安装流程

（1）设备开机进入TEE OS工厂模式，启动安装协同控制模块。

（2）TSIP调用内置PUF模块采集芯片制程工艺偏差、电路固有噪声等唯一硬件物理特征作为随机熵源，并读取芯片出厂时一次性固化的HRK，在硬件安全域内通过专用密钥派生函数进行加密运算，生成设备唯一的HUK硬件密钥；基于生成的HUK完成RPMB分区密钥配置与系统信任锚安装，全程密钥运算在TSIP内部闭环执行，避免密钥明文外泄。

（3）导入硬件根固件唯一主密钥（HR_UFPK）与固件派生主密钥（UFP_MK）的密钥数据，经多层解密后得到MKUFP_MK，再经HUK加密生成HU_MK。

（4）TSIP解密HU_RPMB_Key得到RPMB_Key，结合相关数据生成RPMB_MAC。

（5）通过专用硬件通道传输数据至RPMB，验证通过后完成存储。整个流程需通过多层加密与标准化验证，能够强化密钥初始安全。

用户主密钥MK的安装流程如图4所示。

图4 用户主密钥MK的安装流程

3.2 密钥使用流程

（1）REE环境应用通过TEE驱动发起安全请求，同步传入待处理数据与User_Index；

（2）触发SMC中断，切换至TEE OS环境，定位密钥地址；

（3）TSIP通过专用通道读取并验证HU_UserKey；

（4）TSIP解密得到明文UserKey，内部完成加解密操作后立即清除明文密钥；

（5）将处理结果返回至REE应用，清除所有临时数据。

该流程能规避通用执行环境中的密钥暴露风险。

3.3 密钥销毁流程

（1）接收密钥销毁指令，根据User_Index定位密钥存储地址；

（2）TSIP解密HU_RPMB_Key得到RPMB_Key，计算全0数据的RPMB_MAC；

（3）通过专用硬件通道传输全0数据、RPMB_Counter和RPMB_MAC并存储地址至RPMB；

（4）RPMB验证MAC后保存全0数据，密钥彻底失效。密钥销毁的彻底性为终端全生命周期安全提供保障。

实验验证与分析

4.1 实验环境

实验硬件采用瑞萨G2L系列MCU，内置ARM Cortex-A55内核与TrustZone模块，eMMC存储支持RPMB功能，TSIP集成AES-256、ECC-P256算法及TRNG。软件环境为Linux REE系统（内核版本6.12）与TEE OS（版本3.19.0），测试工具包括Keysight安全性能分析仪与OpenSSL。

4.2 安全性验证

为全面验证整套密钥管控体系的安全防护能力，现分别从密钥机密性、数据防篡改、重放攻击抵御3个方面进行实测。依托瑞萨MCU硬件环境与OP-TEE测试程序，模拟内存窃取、存储篡改、数据包重放3类典型攻击场景，逐项验证三重隔离与RPMB、TSIP安全机制的防护效果。

4.2.1 密钥机密性测试

对REE环境进行恶意程序模拟攻击测试，研究发现，攻击者只能拿到加密状态的HU_Key，并且无论暴力破解还是侧信道攻击，都无法破解出密钥明文，充分验证了密钥的保密能力。测试结果如图5所示。

图5 密钥机密性测试

4.2.2 防篡改测试

对RPMB内的密钥数据进行篡改测试时，系统依靠MAC校验机制进行实时监测，一旦检测到异常便果断拒绝后续操作，完全满足高安全场景下数据完整性的防护需求。测试结果如图6、图7所示。

图6 正常MAC校验测试结果

图7 防篡改测试结果

4.2.3 重放攻击防护测试

在重放攻击防护测试中，重复发送历史密钥传输数据包，RPMB通过写入计数器进行验证，识别为重放攻击后丢弃无效数据包，在传输环节有效抵御了重放攻击。测试结果如图8、图9所示。

图8 防重放测试结果（正向）

图9 防重放测试结果（反向）

结　语

本文构建了基于OP-TEE OS、RPMB与TSIP协同的密钥全生命周期安全管控体系，通过“运行时—存储—传输”三重隔离机制与两级协同控制模型，实现了密钥全生命周期对“非安全世界物理不可见”的管理。本文方案定义了密钥派生、传输、存储与操作的标准化流程，采用HRK与PUF的密钥绑定机制及标准化传输格式，无须额外部署加密芯片，即可满足高安全等级场景需求。

实验验证结果表明，所提方案在密钥机密性、防篡改、防重放等方面表现优异，且硬件成本低，适用于智能家居、工业控制、电力物联网等关键领域的终端设备。

未来研究将进一步优化密钥派生算法效率，提升多用户场景下密钥管控的灵活性与并发处理能力，探索该体系在边缘计算与工业控制终端中的深度应用，为更多关键领域终端安全防护提供标准化、可落地的解决方案。