從芯片到云，危及我們互聯世界的安全威脅日益嚴重，這是我們今天面臨的最大挑戰之一。微軟最近通過強制在運行其最新Windows 11操作系統的所有設備中包含TPM 2.0（受信任的平臺模塊）來解決其中一些問題。這是朝著標準化芯片級保護和重新聚焦半導體行業邁出的重要一步，以使安全性成為芯片設計過程不可或缺的一部分。

熱塑性彈性體檢的故事

TPM 是安全加密協處理器的國際標準，用于存儲和保護加密密鑰、密碼和其他敏感數據（如數字證書）。自2007年以來，美國國防部要求所有新采購的計算機資產都包括TPM。國際標準化組織和國際電工委員會 （ISO/IEC） 于 2009 年對 TPM 進行了標準化，可信計算組 （TCG） 對標準進行了改進。

對于設備制造商來說，TPM的實施仍然是可選的，范圍可以從軟件仿真或固件到離散芯片。但是，對于需要使用密鑰的安全操作，大多數人都認為離散 TPM 芯片可提供最高級別的安全性。在保護關鍵系統應用程序免受復雜的黑客攻擊時尤其如此。

即使在硬件中實現TPM，例如，沒有適當保護的專用微控制器仍然容易受到各種攻擊。這些篡改技術可能包括側信道攻擊和利用弱密鑰生成漏洞等。

TPM 2.0 的進步

雖然此新版本取得了一些進步，但任何制造或使用在線設備的人都希望 TPM 能夠防止可能嚴重影響安全性的關鍵系統故障。總之，TPM1.2 和 TPM 2.0 包括以下功能：

安全存儲密鑰（尤其是認可密鑰）和抗攻擊證書。

安全生成標識符 （ID） 和密鑰。

一個高質量的硬件隨機數生成器（RNG），以實現1。

能夠生成和驗證數字證書的公鑰加密算法。

用于數據加密和解密的對稱密鑰加密算法。

密鑰管理一直到認可密鑰 （EK） 和存儲根密鑰，再到會話密鑰的使用。

用于設備管理的安全證明服務。

重要的是要注意，EK的存在本身就允許TPM對硬件設備進行身份驗證。在生產過程中編程到TPM芯片中的EK對于每個設備都是唯一的。因此，有了可靠的唯一標識符，TPM芯片就成為平臺認證的“守門人”。

借助 TPM 2.0，升級增強了安全性和靈活性。此外，它還通過允許特定于平臺的選項，修復了 TPM 1.2 的一刀切意識形態。值得注意的變化包括：

已批準算法的最新列表。例如，橢圓曲線加密和（安全哈希算法）SHA-2 256都包括在內。

供應商可以根據區域法規添加TCG批準的算法，例如SM2，SM3和SM4。

改進了從密鑰生成到存儲的密鑰管理功能。

雖然添加的加密算法在計算難度方面提高了安全性，但它們的添加并不意味著數據，密鑰或憑據是安全的。黑客可能會使用多種類型的攻擊來提取密鑰并破壞受 TPM 保護的設備。因此，應設計、構建和評估 TPM 2.0 的硬件實現，以實現針對篡改攻擊的最高安全級別。

救援

PUFcc是PUFsecurity的知識產權套件，是一種新的高安全性加密協處理器，為關鍵系統應用提供TPM 2.0就緒的安全解決方案。它帶有由物理不可克隆函數（PUF）生成的識別碼，以及基于硬件和加密算法物理分離的強大，安全的邊界。

富富通提供TPM所需的以下功能：

用于數據和密鑰存儲的安全一次性可編程 （OTP） 存儲器，具有完整的防篡改設計（例如，針對侵入性、半侵入性和非侵入性攻擊）。

用于安全服務的芯片內的天生和唯一ID以及自生成的密鑰。

符合 NIST SP 800-90B 標準的基于 PUF 的真隨機數發生器 （TRNG），可實現高質量的動態熵。

一套完整的 NIST CAVP 認證算法、硬件加速器和奧斯卡/RFC 標準算法。

固件和應用程序編程器接口支持安全啟動、傳輸層安全性和其他密鑰管理操作。

PUFcc 加密協處理器完全符合升級后的 TPM 2.0 標準。此外，它的設計非常靈活，因為加密算法可以定制以適應區域標準，例如中國國家商業密碼管理局（OSCCA）辦公室創建的標準。

將 PUF 添加到混合中

如前所述，TPM 標準沒有關于安全存儲等功能的規范。雖然大多數 TPM 實施都將 OTP 內存存儲作為其信任根，但 PUFcc 中的 PUF 技術簡化了產品部署，同時還實現了出色的安全級別。

在帶有TPM的產品可以在現場運行之前，一個關鍵且昂貴的步驟是注射EK。TPM 中的 EK 可能很好地決定了整個產品的安全性。在一種情況下，芯片設計人員必須采用繁瑣的按鍵注入程序，要求人員和環境具有安全許可。使用PUF，芯片具有唯一的ID和密鑰，無需經過認證的人員和工作環境即可在芯片中注入EK。

PUF的獨特性有助于簡化產品生命周期的早期階段，并保護產品向前發展。TPM 所需的密鑰生成和證書/密鑰存儲（例如，EK 和根密鑰）可能會受益于這些特征。雖然在OTP中存儲關鍵安全參數已經很常見，但PUFcc通過引入芯片獨特的基于PUF的存儲保護，使其更上一層樓。這使得 PUFcc 成為適用于 TPM 2.0 的良好信任根。

PUF還被用作另一層保護，可實現許多防篡改技術。這就是為什么OTP/PUF信任根組合是PUFcc的堅實基礎。首先，安全存儲應能夠承受電子顯微鏡、聚焦離子束和其他逆向工程措施的探頭。

PUFcc還受到其他技術的保護，如電壓對比度、電壓毛刺、功率分析或故障注入，旨在損害設備的安全單元。對敏感數據或密鑰的訪問受到嚴格控制，以防意外信息泄露。PUFcc OTP/PUF 宏通過應用先天 PUF 和基于 PUF 的 TRNG 的隨機性來考慮上述所有因素，從而顯著提高了惡意黑客的門檻。

審核編輯：郭婷