硬件安全学习讲义

1 密码算法基础与后量子密码

1.1 密码学总览

现代密码学按“密钥是否相同”与“有无密钥”分为三大类。本章梳理每一类的代表算法、特点与安全现状：

类别	代表算法	提供的安全属性
对称密码	AES、SM4、3DES、ZUC、ChaCha20	机密性（加解密）；配合 MAC/GCM 提供完整性
非对称密码	RSA、ECC（ECDSA/ECDH）、SM2、SM9、DH	密钥交换、数字签名（认证 + 不可否认）
杂凑函数	SHA-2、SHA-3、SM3、MD5（已破）、SHA-1（已破）	完整性、数据指纹；构成签名/MAC/度量的基础

安全属性速记：机密性（加密）、完整性（哈希/MAC）、认证（MAC/签名/证书）、不可否认性（数字签名，只有签名能提供）。

1.2 对称密码算法

1.2.1 特点

加解密使用同一密钥，加解密算法（通常）相同或可互推。
速度快（比非对称快约 2–3 个数量级），适合加密大批量数据。
密钥分发是难点： $𝑛$ 个人两两保密通信需要 $\frac{𝑛 (𝑛 - 1)}{2}$ 个密钥；通常用非对称算法或密钥协商来分发对称会话密钥（混合加密 / 数字信封）。
密钥长度短即可达高安全强度：128 位即当前公认安全，256 位可抗量子（Grover）。

1.2.2 分组密码

算法	密钥/分组长度	结构	现状与备注
DES	56 / 64 bit	Feistel，16 轮	已不安全：56 位密钥可暴力破解（1998 年 EFF “Deep Crack”）
3DES	112 有效 / 64 bit	DES 三重迭代	安全性不足：SWEET32（64 位分组生日攻击）；NIST SP 800-131A 已于 2023 年后禁止用于加密
AES	128/192/256 / 128 bit	SPN，10/12/14 轮	当前国际主流；无实用攻击（最好攻击约 $2^{126}$ ，Biclique）；128 位在量子模型下仅相当于 64 位强度
SM1	128 / 128 bit	非公开	国密分组算法，算法不公开、以安全芯片形式提供
SM4	128 / 128 bit	Feistel，32 轮	国密分组密码，GB/T 32907-2016；无线局域网 WAPI 起源，现广泛用于商用密码
SM7	128 / 128 bit	非公开	用于非接触 IC 卡（门禁、票务）

1.2.3 工作模式（分组密码如何加密任意长度数据）

模式	机制	要点/风险
ECB	各分组独立加密	相同明文 → 相同密文，泄漏数据模式；禁止用于实际数据
CBC	当前分组先与上一密文块异或再加密，需 IV	串行；存在 Padding Oracle 攻击；IV 需不可预测
CTR	加密计数器生成密钥流再异或	流式、可并行、可随机访问；nonce 重用即致命
GCM	CTR + GHASH 认证	AEAD（认证加密）：同时提供机密性与完整性；nonce 重用会泄漏认证密钥

流密码代表：RC4（已破，存在统计偏差，RFC 7465 禁止用于 TLS）、ZUC/祖冲之（国密流密码，3GPP LTE 标准 128-EEA3/128-EIA3）、ChaCha20-Poly1305（TLS 常用）；资源受限设备另有 NIST 2023 年选定的轻量级密码 Ascon（SP 800-232）。

1.3 非对称密码算法

1.3.1 特点与代表算法

算法	数学难题	典型用途
RSA	大整数分解（GNFS）	加密（OAEP 填充）、签名（PSS）、密钥传输
DH / DSA	模乘离散对数	密钥协商 / 签名；1024 位已不安全（Logjam）
ECC（ECDSA/ECDH/EdDSA）	椭圆曲线离散对数（ECDLP）	同强度下密钥最短：256 位 ECC ≈ 3072 位 RSA；TLS/证书主流
SM2	椭圆曲线离散对数（256 位曲线）	国密公钥算法：加密、签名、密钥交换（GB/T 32918）
SM9	双线性对（标识密码 IBC）	以身份（手机号/邮箱）为公钥，无需证书

1.3.2 对称 vs 非对称（高频对比表）

维度	对称密码	非对称密码
密钥	加解密同钥，需保密分发	公钥公开 + 私钥保密
速度	快（硬件加速普遍）	慢 2–3 个数量级
密钥规模	n 人需 $\frac{𝑛 (𝑛 - 1)}{2}$ 对称密钥	n 人仅需 n 对（n 个公钥）
密钥长度	128 bit 即安全	RSA ≥ 3072 bit / ECC 256 bit 才等效 128 bit
用途	数据加密（ bulk 数据）	密钥交换、数字签名、身份认证
不可否认性	无（双方同钥）	有（数字签名）

◆ 要点 “教科书式 RSA”（无填充）是确定性的且易被选择密文攻击，实际必须使用填充方案：加密用 OAEP，签名用 PSS。ECDSA 的随机数 k 必须一次性且保密：k 一旦重用或泄漏，私钥即可恢复，PS3 被破解正是源于固定 k。

1.4 杂凑函数、MAC 与数字签名

算法	输出长度	现状
MD5	128 bit	已破：王小云等 2004 年提出碰撞方法；Flame 恶意软件利用 chosen-prefix 碰撞伪造微软签名（2012）
SHA-1	160 bit	已破：SHAttered 实际碰撞（2017）；“Shambles” chosen-prefix 碰撞（2020）；主流浏览器/CA 已弃用
SHA-2（224/256/384/512）	224–512 bit	当前主流，安全
SHA-3（Keccak）	可变	与 SHA-2 结构完全不同（海绵结构），备份路线
SM3	256 bit	国密杂凑，GB/T 32905-2016，安全强度与 SHA-256 相当

MAC（消息认证码）：哈希/MAC 密钥参与运算，提供完整性 + 认证，但无不可否认性（双方同钥）。代表：HMAC（哈希 + 密钥）、CMAC（分组密码构造）、GMAC。
数字签名：先哈希后用私钥签名，任何人都可用公钥验证，提供完整性 + 认证 + 不可否认性。代表：RSA-PSS、ECDSA、EdDSA、SM2 签名。
PKI/证书：X.509 证书将公钥与身份绑定，CA 签发，证书链逐级验证，根信任锚为根 CA 证书。

1.4.1 国密与国际算法对照（速记）

用途	国际	国密	备注
分组加密	AES-128/256	SM4（芯片内置：SM1/SM7）	SM4 公开标准，分组/密钥均 128 位
公钥签名/交换	ECDSA/ECDH（P-256、X25519）	SM2（256 位曲线）	国密 TLS、数字证书普遍采用
杂凑	SHA-256 / SHA-3	SM3	输出均 256 位
标识密码 IBC	—（无大规模商用标准）	SM9	以身份为公钥，免证书
流密码	ChaCha20 / SNOW 3G	ZUC（祖冲之）	ZUC 进入 3GPP LTE 标准
密钥封装/签名（后量子）	ML-KEM/ML-DSA 等	新一代商密算法征集中（2025 启动）	要求兼具传统与抗量子安全

1.5 哪些传统算法已不再安全

不再安全的算法	原因/攻击	替代方案
DES	56 位密钥暴力破解	AES、SM4
3DES	SWEET32 生日攻击；NIST 2023 后禁用	AES-GCM
RC4	统计偏差攻击（FMS，Fluhrer-Mantin-Shamir 等）	AES-GCM、ChaCha20
MD5	碰撞攻击（王小云 2004；Flame 实际利用）	SHA-256、SM3
SHA-1	SHAttered 实际碰撞（2017）、Shambles chosen-prefix 碰撞（2020）	SHA-2、SHA-3
RSA-1024 / DSA-1024	GNFS 分解/离散对数能力提升；NIST 建议 ≥2048	RSA-3072、ECC-256
ECC-160 及以下	密钥过短	P-256/X25519、SM2
ECB 模式	泄漏明文模式	GCM、CTR(+MAC)

◆ 要点区分三种“不安全”：被实际攻破（DES、RC4、MD5、SHA-1）→ 必须换；密钥强度不足（RSA-1024）→ 加长；使用方式不当（ECB、IV 重用、教科书式 RSA、ECDSA 的 k 重用）→ 正确用法下算法本身仍安全。另外，HMAC-MD5 因密钥参与内层构造，碰撞攻击难以直接利用，但规范上已不建议。

1.5.1 量子计算的威胁

Shor 算法：多项式时间解决大整数分解与离散对数，因此 RSA、DH、DSA、ECC（含 SM2、SM9）在足够规模的通用量子计算机面前全部失效。
Grover 算法：对搜索类问题只有平方加速，对称密码的有效强度因此减半：AES-128 约剩 $\approx 2^{64}$ （不足），AES-256 约剩 $\approx 2^{128}$ （仍然安全）；哈希原像搜索同理减半，故 SHA-256/SM3 仍可使用。
“先截获、后解密”（Harvest Now, Decrypt Later）：敌手现在记录密文，等量子计算机成熟后回溯解密，因此长周期保密数据需要现在就迁移后量子密码。
Mosca 不等式：若“数据需要保密的时间 x”+“迁移所需时间 y”大于“量子计算机到来时间 z”，即 $𝑥 + 𝑦 > 𝑧$ ，就必须现在开始迁移。

1.6 后量子密码（PQC）

1.6.1 技术路线

路线	代表算法	状态
格密码（Lattice）	ML-KEM（Kyber）、ML-DSA（Dilithium）、FN-DSA（Falcon）	NIST 主推，性能最好
哈希签名（Hash-based）	SLH-DSA（SPHINCS+，无状态）；LMS/XMSS（有状态，SP 800-208）	安全性假设最少，签名较大
纠错码（Code-based）	Classic McEliece（公钥极大）、HQC	HQC 于 2025 年被 NIST 选为备用 KEM
多变量（Multivariate）	Rainbow	已破（2022 年 Beullens 攻击）
同源（Isogeny）	SIKE	已破（2022 年 Castryck-Decru 经典攻击）——重要教训

1.6.2 NIST 标准化现状（截至 2025 年）

标准	算法	类型	状态
FIPS 203	ML-KEM（源于 CRYSTALS-Kyber，格）	密钥封装 KEM	2024-08-13 正式发布
FIPS 204	ML-DSA（源于 CRYSTALS-Dilithium，格）	数字签名	2024-08-13 正式发布
FIPS 205	SLH-DSA（源于 SPHINCS+，哈希）	数字签名	2024-08-13 正式发布
FIPS 206	FN-DSA（源于 Falcon，格 NTRU）	数字签名（紧凑）	草案已提交（2025-08），预计 2026–2027 定稿
IR 8545	HQC（纠错码 KEM）	备用 KEM	2025-03-11 选定，标准草案预计 2026 年

◆ 要点签名 vs 封装别混：ML-KEM、HQC 是 KEM（密钥封装）；ML-DSA、SLH-DSA、FN-DSA 是签名。另外注意：SLH-DSA 无状态，LMS/XMSS 有状态（密钥使用次数受限，适合固件签名）。

1.6.3 迁移趋势

NIST 迁移路线：RSA-2048 与 ECC P-256 等在 2030 年弃用、2035 年禁用；美国 CNSA 2.0 已要求国家安全系统限期切换（强调 AES-256、SHA-384、ML-KEM-1024）。
混合模式（Hybrid）：经典 + 后量子并联（如 TLS 1.3 的 X25519MLKEM768），任何一边被破仍安全；Chrome/Cloudflare 等已默认启用。
密码敏捷性（Crypto-Agility）：算法可配置、可替换的架构能力，是后量子迁移的工程前提。
中国进展：SM2/SM3/SM4 属经典算法，公钥部分同样受量子威胁。2019 年中国密码学会发起全国密码算法设计竞赛；2025 年 2 月商用密码标准研究院启动新一代商用密码算法征集（公钥/杂凑/分组，明确要求兼具传统安全与抗量子安全）；国家密码管理局第 46 号公告提出抗量子迁移总体技术架构、第 55 号公告给出迁移敏捷性评价指标；金融行业已发布《银行业抗量子计算密码迁移管理指南》。

◆ 厂商实践与拓展华为开源的高性能密码库 openHiTLS 同时覆盖国际算法、国密与 NIST 首批后量子算法，适合用来研究工程实现。后量子算法的密钥与签名达到 KB 量级、运算以多项式乘法为主，对芯片的 NVM 容量和总线带宽都提出了新要求，硬件上通常用数论变换（NTT）加速器实现格密码运算。这类加速器是芯片设计与密码工程的交叉方向。

1.7 同态加密与全同态密码（FHE）

【同态加密 Homomorphic Encryption】允许直接在密文上计算、且解密结果与在明文上计算一致的加密体制。按能力分级：PHE 部分同态（单一运算）→ SWHE 层次同态（有限乘法深度）→ FHE 全同态（任意电路）。

部分同态经典方案：RSA（乘法同态）、ElGamal（乘法同态）、Paillier（加法同态），已进入 ISO/IEC 18033-6；用于电子投票聚合、安全求和等。
FHE 里程碑：Gentry（2009）基于理想格给出首个 FHE 构造，核心思想 bootstrapping（自举）——在密文域内执行解密电路来“刷新”累积噪声、恢复同态能力。此后主流方案均基于格（与 PQC 同源，天然抗量子）。
主流方案族（记“族对应”）：

方案族	算术类型	特点与适用
BGV / BFV	精确整数/模运算向量	精确计算：数据库密文查询、整数统计；深度大时需自举
CKKS	近似实/复数向量	AI 推理首选：天然匹配神经网络运算，精度损失可控
TFHE / CGGI	布尔门/查找表	自举最快（毫秒级、可逐门自举），适合任意深布尔电路

性能开销与硬件加速：同态运算比明文慢 3–6 个数量级，密文膨胀严重，实用化必须依靠硬件加速，这正是“密码库软硬件协同”与“AI 算力安全”的交汇点。代表加速器与项目有 Microsoft HEAX、SRI F1/CraterLake（DARPA DPRIVE 计划）、MIT ARK，国内蚂蚁集团等也发布了 FHE 加速方案；加速的核心是 NTT 多项式乘法引擎（与格密码 PQC 加速同源）、大整数运算与高带宽内存。
标准化：HomomorphicEncryption.org 社区标准（安全参数选取）；ISO/IEC 18033-6 收录部分同态方案。
隐私计算技术栈定位（需要具备全栈视野）：

技术	思路	优势	代价 / 局限
FHE	密文上直接计算，数据不出本地	单方即可、无需交互	开销极大、需硬件加速
MPC 多方安全计算	秘密分享/混淆电路，多方交互计算	密码学假设清晰、无硬件信任	通信量与轮次大
TEE	硬件隔离可信执行区	性能好、生态成熟	信任硬件厂商，侧信道残余风险
差分隐私 DP	统计结果加噪声	有严格数学隐私预算	精度损失，仅适用统计类输出
联邦学习 FL	数据不动、模型动	适配分布式 AI 训练	梯度仍可能泄漏，常与 FHE/DP/TEE 叠加

◆ 要点 FHE 的要点可以归纳为三句：它是格上构造的、能在密文上计算任意函数的加密体制，因此抗量子；方案族按算术类型分工，CKKS 适合 AI 推理，TFHE 适合布尔电路，BGV/BFV 适合精确整数；由于开销极大，NTT 加速器成了硬件工程师最相关的切入点。

1.8 密码算法的实现

同样的算法，实现不当会完全失去安全性。实现层面分软件、硬件与工程保障三条线：

1.8.1 软件实现要点

恒定时间（Constant-time）原则：执行时间、内存访问模式不得依赖秘密数据（防时序侧信道）；避免以秘密值为索引的查表（cache 计时泄漏）与秘密依赖分支。
侧信道对抗：RSA 使用指数盲化/消息盲化；ECDSA 采用确定性 nonce（RFC 6979）或nonce 重用检测。
密钥生命周期管理：密钥用后清零（防止残留内存泄漏）、禁止进入交换分区/核心转储、限定拷贝。
使用经过审计的成熟库（OpenSSL/BoringSSL/mbedTLS/openHiTLS），禁止自研密码算法。

1.8.2 硬件实现要点

密码协处理器/安全岛：AES-NI、鲲鹏 KAE 等 CPU 指令/引擎级加速；密钥只在专用寄存器/安全存储中出现。
真随机数发生器 TRNG：物理熵源（振荡器抖动、混沌电路、SRAM 上电状态）+ 数字化 + 在线健康测试（NIST SP 800-90B/C 框架：熵源评估 + DRBG 构造）。随机数是整个密码体系的根基。
防物理攻击设计：掩码、隐藏、传感器（详见第 2 章）——“密码算法的实现”与物理防护在安全芯片中是一体设计。

1.8.3 密码库的软硬件协同设计

硬件指令/引擎层：x86 的 AES-NI、VAES、SHA-NI；ARMv8 Crypto Extensions（AESE/AESD/PMULL）；鲲鹏 KAE 引擎；RISC-V Zk 标量加密扩展（Zkne/Zknd = AES 轮函数、Zknh = SHA-2，Zksed/Zksh = SM4/SM3——国密指令已进 RISC-V 标准）；向量扩展 NEON/SVE/RVV 承担批量运算；PQC/FHE 用 NTT 加速器。
库架构层：算法与实现解耦——OpenSSL 3.x Provider（旧 Engine）机制、PKCS11、国密 SDF 接口（GM/T 0018）；硬件不可用时回退软件实现，降级路径也必须恒定时间。
协同设计要点：
- API 稳定性与语义：异步接口、上下文/会话管理、密钥句柄不外泄；
- 调用开销分界：小数据走指令、大数据走引擎/加速器，零拷贝 + 批量提交，避免数据搬运抵消加速收益；
- 硬件实现同样需要审计（掩码/查表实现可能泄漏）；
- 软硬版本一致性：KAT 正确性 + 性能基准纳入 CI 回归。
代表工程：openHiTLS（华为开源，算法-硬件自适应调度）、OpenSSL Provider、BoringSSL（恒定时间优先）。

1.8.4 历史实现事故

事故	教训
Debian OpenSSL 随机数缺陷（2008）	删减代码导致熵源几乎为零，可预测密钥——随机数审查重要性
PS3 ECDSA 固定 k（2010）	签名随机数重用导致私钥恢复，平台签名体系失守
ROCA（Infineon，2017）	RSA 密钥生成缺陷，可实际分解大量智能卡密钥
Dual_EC_DRBG 后门（2013 曝光）	标准算法可能藏后门，信任链需审视
Logjam / 导出级弱算法	历史遗留的弱参数被降级攻击利用

1.8.5 实现的认证与评估

FIPS 140-3：密码模块安全要求，Level 1（单芯片）→ Level 4（环境失配防护）；配套算法验证 CAVP/ACVP。
GM/T 0028《密码模块安全技术要求》：国内对应标准，同样分四级；由商用密码检测中心检测、国家密码管理局认证（商用密码产品认证证书）。
其他：Common Criteria（EAL1 7，智能卡常做 EAL4+/5+/6+）、GlobalPlatform TEE 评估、EMVCo、SESIP（IoT 安全平台）。

2 物理攻击：侧信道与故障注入

2.1 攻击者模型与攻击分类

物理攻击按“是否接触/损坏芯片”与“主动/被动”两个维度分类，这是理解全章的框架：

类别	手段	特点
非侵入·被动（侧信道）	观测功耗、电磁辐射、执行时间、声学等副信息	不破坏封装、成本低、可远程（时序）
非侵入·主动（故障注入Ⅰ）	电压毛刺、时钟毛刺、温度、外部电压过压	无需开封，使芯片瞬时出错
半侵入	激光/光注入（需开封去封装但不接触电路）、电磁故障注入 EMFI	空间精度高（激光）或开封成本低（EMFI）
侵入	FIB 聚焦离子束、微探针读总线、逐层逆向（SEM）	实验室级成本（数十万美元级），能力最强、不可恢复

【侧信道攻击 Side-Channel Attack】利用密码设备运行时泄漏的物理副信息（时间、功耗、电磁、声音等）与秘密数据的相关性恢复密钥的攻击。算法在数学上安全 ≠ 实现安全。

【故障注入 Fault Injection】对芯片施加瞬时物理扰动，诱使其在关键计算/检查处产生错误（比特翻转、指令跳过），利用错误输出或错误行为破坏安全机制。

2.2 侧信道攻击

2.2.1 信息源分类（重点：功耗与电磁侧信道）

侧信道	原理	代表攻击
功耗侧信道	CMOS 电路动态功耗与“该时钟周期内翻转的比特数”相关，泄漏汉明重量（HW）/汉明距离（HD）模型	SPA、DPA、CPA
电磁侧信道	电流流动产生电磁辐射，近场探头逐点采集；可“局部化”到芯片某区域，有时能绕过全局噪声	SEMA、DEMA
时序侧信道	分支、查表、缓存命中、蒙特卡洛约简等导致执行时间依赖密钥	Kocher 时序攻击（1996）、远程计时
声学侧信道	电容/线圈工作时发出声波	声学 RSA 密钥提取（Genkin 等）
缓存/微架构侧信道	共享缓存等微架构资源的争用与命中时差	Flush+Reload 等（见第 5 章）
其他	光子发射（背面近红外成像）、电压波动跨设备传导	光子发射侧信道、跨设备电源泄漏

2.2.2 从 SPA 到高阶 DPA（攻击强度阶梯）

攻击	思路	所需条件
SPA 简单功耗分析	直接观察单条曲线的操作序列：RSA“平方—乘法”每步功耗形态不同，单条曲线即可读出指数比特	1 条曲线，需知实现
DPA 差分功耗分析	采集大量曲线，猜测子密钥并用泄漏模型（如 S 盒输出汉明重量）分组做差分统计，猜对时出现尖峰	数百至数千条曲线
CPA 相关功耗分析	用假设功耗（HW 模型）与实测曲线算皮尔逊相关系数，相关性最高的猜测即正确密钥	同上，效率更高
高阶 DPA	联合多个时间点/多维信息（对掩码实现：一阶掩码需二阶以上分析）	曲线更多、计算更大
模板/机器学习攻击	先 profiling 建立泄漏分布模板（或训练模型）再匹配，能力最强	需同款设备建模

经典案例：智能卡 DPA（Kocher 等，CRYPTO 1999）；OpenSSH/智能卡 ECDSA 时序泄漏（Minerva，2019）；TPM 2.0 ECDSA 时序攻击 TPM-FAIL（2019）；手机声学提取 RSA（2014）。

◆ 要点区分 SPA / DPA / CPA：SPA 用“一条”曲线看“形态”，DPA 用“多条”曲线做“统计”，CPA 是 DPA 的“相关性”版本。模板攻击与机器学习攻击也属于功耗分析的延伸手段。

2.3 密码芯片的侧信道防护

防护思路	技术	代价/局限
掩码 Masking（分而治之）	把秘密拆成 d+1 份共享分别处理：布尔掩码、算术掩码；硬件需抗毛刺（Threshold Implementation）	面积/性能开销大，高阶掩码更贵
隐藏 Hiding（降低信噪比）	加噪声、随机延时、乱序（shuffle）轮操作、双轨预充电逻辑 WDDL/MDPL 平衡功耗	提升攻击成本但不根除
恒定时间软件	无秘密依赖分支/查表/访存	仅软件侧信道
协议/算法层	RSA 指数盲化、ECDSA 确定性 nonce、恒定时间 AES 实现（bitslice）	—
物理层	有源屏蔽层（active shield 金属网，被探测即报警清零）、稳压滤波	增加成本
评估认证	TVLA（Welch t 检验，固定 vs 随机）泄漏评估；CC/EMVCo/GP/商密检测中心认证	通过认证 ≠ 绝对安全

2.4 故障注入

2.4.1 分类（重点：激光故障注入）

手段	原理与特点	侵入性/成本
电压毛刺 Voltage Glitch	瞬间拉低电源，使触发器进入亚稳态或时序违例，造成指令跳过、计算出错	非侵入，成本极低（入门级）
时钟毛刺 Clock Glitch	插入异常短周期，建立时间违例，寄存器锁存错误值	非侵入，成本低
温度 Temperature	超低温使 SRAM 数据保持（配合冷启动攻击读内存密钥）；高温诱发错误	非侵入，低
电磁故障注入 EMFI	线圈脉冲产生强局部磁场感应电流扰动电路；无需开封，空间精度低于激光	半侵入/非侵入，中
激光/光注入 Laser FI	激光光子在 PN 结产生光电流，瞬时翻转比特；背面（红外）穿透衬底可避开正面金属层；空间/时间精度最高，可精确翻转 SRAM 单比特或跳过单条指令	半侵入（需开封），设备昂贵（数万至数十万美元）
FIB 聚焦离子束	物理切割/沉积修改电路（永久性），配合微探针读总线	侵入，极高

2.4.2 经典攻击（理解“故障如何变现”）

Bellcore 攻击（Boneh-DeMillo-Lipton，1997）：对 RSA-CRT 签名注入一次故障得到错误签名 $𝑠$ ，与正确签名 $𝑠^{'}$ 满足 $gcd (𝑠 - 𝑠^{'}, 𝑁) = 𝑝$ ，一次故障即可分解 N 得到私钥。RSA-CRT 签名后必须加验签检查。
AES 差分故障分析 DFA：在最后几轮注入单字节故障，通过正确/错误密文差分即可在少量故障内恢复轮密钥。
指令跳过：毛刺打在“比较+跳转”上即可绕过 PIN 校验、启动验签、次数计数器——实际攻击中最常用。
Safe-Error 攻击：观察“该操作出错与否”对行为的影响来推断秘密比特。
冷启动攻击：断电后即刻冷却 DRAM，读出残留数据提取密钥（Halderman 等，2008）。
实际场景：游戏机破解（PS3 glitch、Switch Fusée Gelée）、加密硬件钱包电压毛刺攻击（公开演示多次成功）、汽车 ECU/TPMS 克隆、智能卡盗版。

2.5 密码芯片的故障注入防护

思路	技术
检测 Detect	光传感器（检测开封后激光/光）、电压/温度/频率传感器、时钟监测、有源屏蔽网（active mesh）、毛刺检测器（双采样/延迟线）
冗余 Tolerate	双路计算比对、互补计算、时间冗余（重复执行）、ECC 校验存储、关键数据多数表决
协议自检	RSA-CRT 签名后用公钥验签（防 Bellcore）；密文 MAC 校验；关键分支重复判断
反应 React	失败即关闭（fail-closed）：检测到异常 → 清零密钥/进入锁定状态；防回滚计数器；报警累计
鲁棒性	按“多故障/故障持续存在”假设设计（激光可反复注入）；随机化执行流增加攻击难度

2.6 实际场景中的应用

场景	资产与威胁	典型防护等级
金融 IC 卡（EMV/PBOC）、SIM/eSIM	用户密钥、PIN；侧信道 + 故障注入 + 探针	安全芯片（SE），CC EAL4+/5+，商密认证
手机 TEE/SE（指纹、支付、DRM）	指纹模板、支付密钥、DRM 内容密钥	inSE/eSE + TrustZone TEE，软硬结合
电子护照/身份证	生物特征、身份信息	SE + 抗物理攻击认证
IoT/汽车 ECU	固件 IP、车控密钥、计费数据	安全启动 + 调试口管控 + 毛刺防护
加密货币硬件钱包	私钥	SE + 抗电压毛刺设计（近期公开攻击多针对其毛刺防护缺陷）
DRM/内容保护	内容密钥	TEE（Widevine L1 等）+ 白盒 + SE

◆ 要点攻击成本与防护等级要匹配：侧信道/故障注入攻击门槛已低至数千元（ChipWhisperer 等开源平台），因此任何接触得到、价值高的密钥载体都必须考虑物理攻击防护。分析具体场景时，按“成本—能力”阶梯选择攻击手段与防护等级即可。

◆ 厂商实践与拓展华为终端采用“inSE + TEE”软硬双重防护：金融级安全单元（inSE）负责支付密钥与 eID，iTrustee TEE 负责指纹/人脸与密钥运算；鲲鹏 TEE 内置国密密码模块（SM2/SM3/SM4），REE 侧提供标准 SDF 接口，免去外置加密卡。安全芯片的侧信道/故障注入防护是海思安全 IP 的重要组成（掩码 AES/SM4、TRNG、传感器阵列等）。

3 硬件可信根与安全模块

3.1 硬件可信根（Hardware Root of Trust）

【硬件可信根】系统中无条件被信任的最低层硬件基元：它的正确性不依赖任何其他软件/硬件假设，是整条信任链的起点。核心特征：不可篡改、最小 TCB、可验证。

3.1.1 典型形态与功能

形态	说明	功能定位
Boot ROM	芯片内置只读启动代码，出厂固化不可改	信任链第一环：验证第一级 bootloader
OTP/eFuse 熔丝	一次性可编程，存启动公钥哈希、安全策略、生命周期状态	锚定“该验谁的签名”
PUF 物理不可克隆函数	利用芯片制造随机性（SRAM 上电状态、环形振荡器频率差）生成“设备天生”的密钥/ID；配模糊提取器纠正环境抖动	密钥不落存储、每次上电现算；抗克隆
独立安全芯片 SE	智能卡级抗物理攻击芯片，独立供电存储	金融支付、身份密钥
处理器内置安全岛	SoC 内隔离的安全子系统（安全 SRAM/ROM/外设），如麒麟安全岛、Intel CSME、AMD PSP、微软 Pluton	TEE/安全启动/密钥管理宿主
外插可信模组	TPM/TCM 加密模组（板卡级）	平台度量、证明、密封

功能清单：安全/可信启动、密钥生成与安全存储、真随机数、密码运算加速、远程证明、安全存储/密封、防回滚、调试口管控。

3.2 安全启动、可信启动与度量

3.2.1 安全启动（Secure Boot）

原理：逐级验签、验不过就不执行。信任链：Boot ROM（不可变代码）验证并启动 BL1，BL1 验证 BL2，逐级向下直到 OS 内核与系统服务，每一级只运行通过了签名校验的下一级。
信任锚：ROM 中代码 + OTP 中的公钥哈希（固件签名公钥的哈希，防直接替换公钥）。
配套：防回滚（版本单调递增，用 OTP 计数/熔丝记录最低可接受版本）；失败处理（停机/进入恢复模式）。
目标：完整性——只有授权（签名）的代码能运行。

3.2.2 可信启动（Measured Boot / 度量启动）

原理：逐级度量、只记录不拦截。每级启动前计算下一级的哈希并“扩展”进可信模块的 PCR：PCR_new = Hash(PCR_old ‖ 度量值)（extend 运算，不可伪造历史）。
度量链起点称 CRTM（Core Root of Trust Measurement，如 BIOS 代码段）。
事后可用可信模块对 PCR 状态做签名引用（Quote），供远程验证方比对白名单——远程证明（Remote Attestation）：用 nonce 防重放，AK/ attestation 密钥签名。
目标：可证明性——能向第三方证明“系统是以什么软件状态启动的”。

3.2.3 对比

维度	安全启动 Secure Boot	可信启动 Measured Boot
机制	逐级验签	逐级度量（哈希进 PCR）
是否阻断	阻断：验不过拒绝运行	不阻断，只记录
回答的问题	这段代码“能不能跑”	这个系统“处于什么状态”
信任锚	ROM + 公钥哈希（签名链）	可信模块（TPM/TCM）的 PCR
典型应用	手机/汽车 UEFI Secure Boot	PC + TPM（配合 BitLocker 等密封）、云机密虚机

SRTM 静态度量：从上电固定起点度量到 OS；DRTM 动态度量：运行中随时用硬件指令重新建立度量环境（Intel TXT 的 SINIT ACM、AMD SKINIT），弥补 SRTM 对运行时变化的无力。

3.3 TPM 与可信计算

【TPM（Trusted Platform Module）可信平台模块】 TCG 标准化的独立密码模块（ISO/IEC 11889，当前为 TPM 2.0），提供 PCR 度量、密钥分层管理、签名/加密、随机数、密封存储、远程证明。

三类根密钥：EK 背书密钥（设备唯一身份，出厂配证书）、SRK 存储根密钥、AK/Attestation 证明密钥（做 Quote 签名，保护隐私）。
密封（Sealing）：把数据加密绑定到指定 PCR 状态——系统配置“健康”时才能解密（如 BitLocker）。
PCR 特性：只能 extend、重启清零、不可篡改历史。
固件 TPM（fTPM）：跑在 TEE 里的软件 TPM（Intel PTT、AMD fTPM），省掉独立芯片但强度依赖 TEE。
中国可信计算：TCM 可信密码模块（采用 SM2/SM3/SM4 国密算法，GM/T 0012 接口规范）与TPCM 可信平台控制模块（可信计算 3.0″双体系、主动度量“架构），与 TPM 并列。

3.4 HSM、SSM 与密码模块安全等级

【HSM（Hardware Security Module）硬件安全模块】专用的抗物理攻击密码设备：密钥全生命周期（生成/存储/使用/备份/销毁）都在设备内部，明文密钥永不出模块。形态：PCIe 密码卡、网络型 HSM、USB、云 HSM。

功能：密钥管理、高速加解密、签名验签、真随机数；接口：PKCS11、CNG/JCA；国密体系用 SDF 接口（GM/T 0018）。
典型应用：CA 根密钥保护、支付系统 PIN/密钥体系（金融数据密码机）、代码签名、区块链密钥托管。
FIPS 140-3 安全等级：

等级	要求
Level 1	单芯片级，无物理防护要求（软件密码库也可）
Level 2	防篡改指示：涂层/封条/锁；角色认证
Level 3	篡改响应：被侵入即清零密钥；身份认证；防拆外壳
Level 4	环境失配防护：温/压传感器，环境异常即清零

【SSM（Server Security Module）服务器密码机】国内商密体系的服务端密码设备（GM/T 0030《服务器密码机技术规范》）：对外提供密钥生成、签名验签、加解密等密码服务，采用分层密钥体系保护；虚拟化形态称云密码机，一台物理机可虚拟出多台 VSM。金融场景另有签名验签服务器、金融数据密码机等形态。

3.4.1 各类安全模块对比

模块	形态	防护重点	典型用途
SE 安全单元	芯片（SIM/eSE/inSE）	抗物理攻击最强（EAL5+/6+）	支付、身份、运营商密钥
TEE 可信执行环境	SoC 内隔离执行环境	隔离富 OS/应用，物理防护弱	指纹、DRM、密钥运算
TPM/TCM	板级模组或 fTPM	度量、证明、密封	平台完整性、磁盘加密
HSM	卡/盒子/云服务	密钥不出模块，FIPS/GM 等级	CA、支付、代码签名
SSM 服务器密码机	机架设备/虚拟机	国密合规、密评	政企/金融密码服务

◆ 厂商实践与拓展 华为云 DEW（密码安全中心）把 HSM 能力做成云服务：KMS 密钥管理（密钥由 HSM 保护、主密钥不可导出）、CSMS 凭据管理、KPS 密钥对管理、DHSM 专属加密（国密局认证的云密码机，满足密评合规）；应用侧普遍采用信封加密——用 CMK 保护数据密钥 DEK，DEK 才去加密业务数据。鲲鹏芯片另内置 KAE 加速引擎（硬件加速 SM2/SM3/SM4/AES/RSA），是“密码算法硬件实现”的现成案例。

4 可信执行环境 TEE 与机密计算

4.1 TEE 基本概念

【TEE（Trusted Execution Environment）可信执行环境】与富执行环境（REE，普通 OS/应用）硬件级隔离的执行环境，为敏感代码/数据提供隔离执行、完整性与机密性保护。GlobalPlatform 定义了 TEE 系统架构与 Internal API 标准。

基本元素：TA（Trusted Application 可信应用）运行在 TEE 内；CA（Client Application）运行在 REE，通过驱动/API 发起请求；两者以共享内存 + 消息交互。
TEE 能防御：恶意/被攻陷的 REE 内核与超级应用；TEE 不能充分防御：物理攻击与微架构侧信道（后面详述）。
TEE vs SE：TEE 算力强、物理防护弱；SE 物理防护最强、算力弱。手机里常见“inSE 管 root of key + TEE 做密钥运算”的组合。

4.2 ARM TrustZone

把整个 SoC 划分为安全世界（Secure）与普通世界（Non-secure）：NS 位贯穿处理器模式、AXI 总线、内存控制器与外设。
内存：TZASC（安全内存控制器，划定安全 DRAM 区间）；外设：TZPC 按安全/非安全配置；中断：GIC 按组路由。
切换：普通世界执行 SMC 指令陷入 Secure Monitor（EL3，最高异常级），由它保存/恢复上下文并切世界。EL3 固件事实标准是 ARM Trusted Firmware（TF-A）。
软件栈：S-EL1 跑 TEE 操作系统（OP-TEE、QSEE、Kinibi、Trusty、华为 iTrustee…），S-EL0 跑 TA；ARMv8.4 起 S-EL2 支持安全世界虚拟化（Hafnium），是“机密虚机”的底座。

4.3 Intel SGX

思路：不隔离“世界”，而是在普通 OS 内为单个进程划出飞地（Enclave）；信任边界缩到 CPU 芯片——OS/驱动/BIOS/SMM 全部不可信。
机制：EPC 加密内存页（MEE 内存加密引擎）；Sealing（密钥绑定到 CPU/飞地，数据落盘可复原）；远程证明：EPID（早期）→ DCAP/ECDSA（现行）。
现状：Intel 已从客户端 CPU（11 代起）移除 SGX，服务器（Xeon）保留并被 TDX 接棒。
安全史（针对 SGX 的知名攻击多属此类）：Foreshadow/L1TF（2018，L1 缓存读出飞地数据）、Plundervolt（2019，软件控制电压扰动飞地计算）、SGAxe（2020，MDS 抽取密钥并伪造证明）、ÆPIC Leak（2022，架构级泄漏）、Downfall（2023，gather 指令跨飞地泄漏）。

4.4 AMD SEV 家族

技术	增量能力	防御对象
SME 内存加密	整机内存单一 AES 密钥加密（透明）	物理嗅探内存总线
SEV	每个虚机独立内存加密密钥	宿主/hypervisor 直接读 guest 内存
SEV-ES	VM 退出/进入时加密 VM 状态（寄存器）	hypervisor 观察 guest 寄存器
SEV-SNP	内存完整性保护（反向映射表 RMP）+ 固件度量与证明	hypervisor 重映射/重放内存页

已知攻击：SEVered/CrossLine（早期版本完整性缺失）、TEE.Fail（2024：在 DDR 总线注入降速信号使读数出错，绕过 SEV-SNP/TDX/SGX 的完整性校验）——说明“云机密计算 + 强物理攻击者”仍是开放问题。

4.5 其他机密计算方案

Intel TDX：以虚机为粒度的 Trust Domain；T-Module 运行在 SEAM 模式，托管 TD 生命周期；与 SEV-SNP 同为“机密虚机（CVM）”主流。
NVIDIA Confidential Computing（H100+）：GPU TEE，保护大模型训练/推理数据的“可用不可见”。
RISC-V：Keystone（开源 Enclave 框架）、蓬莱 Penglai（产学研联合研发、华为参与支持：IEEE S&P 2020 提出架构，OSDI 2021 发表可扩展内存保护 sPMP/SCCv2，支持数千 Enclave、512GB 安全内存）。

4.6 ARM CCA 与机密计算的安全等级

ARMv9 的 CCA（Confidential Compute Architecture）建立在 RME（Realm Management Extension）之上，把世界从 2 个扩展为 4 个安全状态：

安全状态	运行内容	要点
Root	EL3 Monitor 固件（TF-A）	最高特权，管理所有状态切换，TCB 之根
Secure	传统 TEE（TA/TEE OS）	即 TrustZone 安全世界
Realm	机密虚机/Realm VM	新增：硬件隔离的机密执行环境，连 TEE、hypervisor 都不在其信任边界内
Non-secure	普通 OS/hypervisor	普通世界

关键机制：GPT 粒度保护表（以 4KB 粒度把物理内存划给四个状态，越界访问被硬件拒绝）；RMM（Realm Management Monitor）管理 Realm 的创建/运行/销毁，但按设计不属于 Realm 的 TCB（Realm 只信任硬件 + EL3 Monitor）；RMM 为 Realm 出具度量证明。
“安全等级”的三种理解：
1. 状态/隔离域等级：Non-secure < Secure < Realm < Root（特权与信任递增）；
2. 方案隔离强度：TrustZone TEE（TCB 含整个 TEE OS）< SEV（有机密性无完整性）< SEV-SNP/TDX（+完整性+证明）< SGX（进程级、TCB 最小）≈ CCA Realm（VM 级、TCB 小）；
3. 证明/合规等级：是否提供硬件远程证明（RE/attestation）。

◆ 厂商实践与拓展华为鲲鹏 BoostKit 机密计算 TrustZone 套件：基于 TrustZone + 自研微内核 TEE OS iTrustee；新一代机密虚机方案基于 S-EL2 与 virtCCA（对齐 ARM CCA），把普通虚机软件栈无缝迁入机密环境。华为云 QingTian Enclave 在 ECS 内再划出隔离 enclave 保护密钥/隐私数据；国内机密计算标准化（通用框架国标）也在推进中。

4.7 TEE 的攻击面与局限（实际场景应用）

TEE OS 本身的内存破坏漏洞可导致提权（QSEE、Trusty 历史上都有高危案例）；
微架构侧信道：缓存/页表计时（CacheQuote、Page Cache 攻击）可窥探 TA 访存模式；瞬态执行攻击直接穿透 SGX；
物理攻击：TEE 不承诺抗探针/故障注入，高价值密钥仍要 SE；
防护方向：TEE OS 加固与模糊测试、恒定时间 TA、微码/硬件缓解（AEX-Notify 等）、TEE+SE 组合。

◆ 要点三类方案的定位各不相同：TrustZone 靠世界隔离，是手机端主流；SGX 把信任边界缩到进程粒度，TCB 最小；SEV/TDX/CCA 面向云上机密虚机。无论哪一种，TEE 都不承诺防御侧信道与物理攻击，这一判断需要牢记。

5 处理器微架构安全：Meltdown 与 Spectre

5.1 预备知识：为什么缓存会泄密

现代处理器为掩盖内存延迟，采用乱序执行 + 推测执行：按预测提前执行后续指令，预测错误时“回滚”架构状态（寄存器/内存），但微架构状态（缓存、分支预测器、缓冲区）不回滚。
缓存命中（几周期）与未命中（几百周期）的时间差就是一条信息信道：攻击者通过“测某地址是否被 victim 带入缓存”逐位恢复秘密。
三种经典缓存探测原语：

原语	做法	前提
Flush+Reload	clflush 清掉共享页某行 → victim 执行 → 重载该行测时：快 = victim 访问过	与 victim 共享内存页
Prime+Probe	先填满某组缓存 → victim 执行 → 重访测时：慢 = victim 用了该组	无需共享内存（跨核可用）
Evict+Reload/Evict+Time	用竞争代替 flush 的变体	同上

5.2 Meltdown（2018，CVE-2017-5754）

核心思想：乱序执行时，越权内存读取的数据已经在乱序窗口被取回并用于后续计算（把秘密字节编码进缓存），权限检查在指令“退休”时才生效——异常抛出后，缓存里的痕迹已经留下。
攻击流程：读内核地址（必然触发权限异常）→ 异常前的乱序指令把该字节作为索引访问数组 → 异常处理完后用 Flush+Reload 找出“哪个槽变快”，由此恢复该字节。循环即可任意读内核内存（含 KASLR 布局、内核密钥）。
缓解：KPTI（内核页表隔离，源于 KAISER）——用户态页表里几乎不映射内核空间，使攻击无地址可读；代价是系统调用切换开销。
受影响面：Intel 广泛受影响；部分 ARM；AMD 因权限检查与数据访问并行化而基本免疫（注意对比三家方案）。

5.3 Spectre（2018，CVE-2017-5753 / 5715）

核心思想：不越权读数据，而是诱骗推测执行“本来不会执行”的代码，让秘密数据经缓存编码泄露——利用的是分支预测器，所以“看起来合法的代码路径”成了攻击工具。论文结论：此类漏洞将长期存在。
v1 边界检查绕过（Bounds Check Bypass）：先训练分支为“合法”，再用恶意输入触发推测的越界读取/访问，把 array1[secret] 之类编码出去。缓解：编译器插推测屏障（x86 lfence、ARM CSDB/SB）、对索引掩码、恒定时间编码。
v2 分支目标注入（Branch Target Injection）：污染 BTB（分支目标缓冲器），让内核/其他进程推测地跳到攻击者选择的“gadget”（如 *(secret^base) >> ...）泄露数据。缓解：retpoline（编译器）、微码 IBRS/IBPB/STIBP、硬件 eIBRS、ARM 的 CSV2 特性位。
v4 推测存储绕过（SSB）：推测地忽略尚未就绪的 store，读到旧值。缓解：SSBD 微码开关。
变体家族：SpectreRSB（返回栈缓冲器）、L1TF/Foreshadow（PTE present=0 时 L1D 残留数据被推测读取，直击 SGX 与虚机隔离）、MDS 家族（ZombieLoad/RIDL/Fallout：行填充缓冲/存储缓冲泄漏）、LVI（反向：向飞地内推测计算注入数据，需重编译缓解）、Downfall/ÆPIC 等。

5.4 微架构安全缓解总表

层面	措施	针对
硬件/微码	eIBRS、缓存/缓冲清零、L1D flush、CSV2/CSV3、分区缓存（CAT）	Spectre v2/L1TF/MDS
操作系统	KPTI、KASLR 加固、按需禁用超线程	Meltdown/L1TF
编译器/软件	retpoline、推测屏障、恒定时间编码、审计 secret 依赖访存	Spectre v1/v2
TEE/密码库	AEX-Notify、恒定时间实现、侧信道感知编程	TEE 内侧信道

5.5 相关但不同的内存攻击：Rowhammer

反复高频激活同一 DRAM 行，电荷泄漏导致相邻行位翻转：可把“只读”数据改写（提权）、翻转页表项、从 JS 沙箱发起（RAMBLEED 用于读；TRRespass 绕过 TRR 防护）。缓解：目标行刷新 TRR、提高刷新率、DDR5 的 ACT-RH 计数器、ECC（不彻底）。Rowhammer 属于故障注入类（内存扰动），不是瞬态执行攻击——两者容易混淆。

5.6 主流架构安全特性对照（RISC-V / ARM / x86）

RISC-V、ARM 与 x86 三大架构的安全能力对照如下：

能力	RISC-V	ARM	x86
内存隔离原语	PMP 物理内存保护（M 模式划区，是 RISC-V TEE 的基石；ePMP 增强）；H 扩展虚拟化 + CoVE（加速器 TEE 方向）	TrustZone 双世界 / RME 四状态；S-EL2 安全世界虚拟化	特权环 + SGX/TDX（enclave/信任域）；SMAP/SMEP（用户/内核态越界访问限制）、MPK/PKS 页保护键
控制流完整性	Zicfilp（着陆垫）/ Zicfiss（影子栈）已标准化	PAC 指针认证（v8.3）、BTI 分支目标识别（v8.5）	CET：SHSTK 影子栈 + IBT 间接分支跟踪
内存安全检测	（研究阶段）	MTE 内存标签（v8.5）：硬件检测 UAF/越界	主要依赖 MPK + 软件 sanitizer
推测执行缓解	实现自定义	CSV2/CSV3 架构位	eIBRS/IBPB/STIBP（微码 + 硬件）
加密指令	Zk 标量加密：Zkne/Zknd（AES）、Zknh（SHA-2）、Zksed/Zksh（SM4/SM3 国密）；RVV 向量	Crypto Extensions（AESE/PMULL）+ SVE/SME	AES-NI/VAES、SHA-NI、multi-buffer
调试安全	Debug Module（安全调试为厂商扩展）	CoreSight + ADAC 认证调试	DCI + 受控调试授权

◆ 要点回答三大架构的安全差异，可以按四条线展开。隔离原语：RISC-V 靠 PMP，ARM 靠世界切换，x86 靠特权环加 enclave。控制流完整性：PAC/BTI/CET 三家都有硬件方案。内存安全：目前只有 ARM 提供硬件内存标签（MTE）。加密指令三家都齐，RISC-V 还把国密 SM3/SM4 纳入了标准扩展。

◆ 要点一句话区分：Meltdown = “越权读”（数据本来就不许读）；Spectre = “骗执行”（利用分支预测让合法代码越轨执行）。缓解关键词：Meltdown→KPTI；Spectre v2→retpoline/IBRS/eIBRS；v1→屏障/掩码。另记：AMD 对 Meltdown 基本免疫。

◆ 厂商实践与拓展鲲鹏等 ARM 服务器芯片同样面对推测执行风险，防护依赖 ARM 架构的 CSV2/CSV3 等特性与固件/内核配套（TF-A、Linux 内核补丁）。做芯片安全设计需要理解“信息流/污点跟踪”等设计阶段缓解思路——微架构安全正在前移到 CPU 设计流程中。

6 供应链安全：硬件木马与硬件植入

6.1 供应链威胁全景

集成电路供应链长、环节多、地域分散（Fabless + 全球代工 + 封测外包），每个环节都有对应威胁：

环节	威胁	对策示例
设计（RTL/IP）	恶意员工后门、不可信第三方 IP（3PIP）携带木马	代码审计、形式化验证、可信 IP 库
制造（Foundry）	版图级修改植入木马；过量生产（IP 盗版）	侧信道指纹检测、防 cloning 水印
封测（OSAT）	改换/逆向芯片、坏料混入	来料检验、唯一 ID 追溯
运输/分销	拦截改装植入、掉包、仿冒	防拆封装、签封、入库 X-Ray
集成/运维	固件被植后门、维修件替换	安全启动、固件签名、SBOM/HBOM

【硬件木马（Hardware Trojan）】在芯片设计与制造阶段被植入的恶意电路，平时静默，被特定条件触发后执行恶意功能。

【硬件植入（Hardware Implant）】在芯片出厂之后、通过物理接触（如物流拦截改装）附加或改装的硬件恶意组件，通常是分立器件/微小电路板。

6.2 硬件木马

6.2.1 结构与分类

硬件木马 = 触发器（Trigger）+ 载荷（Payload）：

触发器类型	机制
组合逻辑触发	监视罕见内部信号组合（如特定密钥值），几乎不影响正常功能，逻辑测试很难发现
时序触发	计数器/状态机等待特定时间或事件序列
模拟/物理触发	温度、电压、特定射频信号
混合触发	多条件与运算，进一步降低误触发概率

载荷类型	恶意功能
改功能	修改运算结果、绕过安全检查、降低随机数质量
泄密	把密钥调制到功耗/温度/射频旁路信号中发射（侧信道式泄密）
破坏 DoS/降级	特定条件下失效（军事场景最忌惮）
拆防护	关闭屏蔽层/传感器、留下调试后门

6.2.2 检测方法

方法	思路	局限
功能/逻辑测试	穷举或定向激励看输出是否异常	触发条件极难覆盖
形式化验证	证明无不可达逻辑/与规约等价	状态爆炸，需金标准
侧信道指纹	对比功耗/电磁曲线与“金片（golden chip）”的统计偏差	需同批金片；工艺偏差干扰（需统计补偿）
结构对比/逆向	与可信网表比对、逐层去封装显微分析	成本极高，只能抽样
运行时监控	看门狗、性能计数器监测异常	无法覆盖所有载荷

公开资源：Trust-Hub（硬件木马基准测试集）；DARPA “Trust in ICs” 计划（保障美军用芯片可信制造）；经典论文 King 等《Designing and Implementing Malicious Hardware》（2008，演示了带固件后门的恶意处理器）。

6.3 硬件植入

典型路径：物流拦截（interdiction）→ 开封加装微小器件（射频收发/篡改芯片）→ 复原封装。
公开案例（注意事实争议）：
1. The Big Hack（彭博商业周刊 2018 报道）：称间谍芯片被植入 Supermicro 服务器主板供应链；Apple/Amazon/Supermicro 均公开否认，至今无独立证据证实——常作为“供应链可信性讨论”的争议案例引用；
2. Weeping Angel（维基解密 Vault7 披露）：对三星智能电视植入“伪关机窃听”固件；
3. NSA ANT 目录：COTTONMOUTH 等 USB/网线级硬件植入工具系列；
4. 欧洲议会 PEGA 委员会（2023）对执法机构“设备拦截”实践的质询引发广泛关注。
木马 vs 植入的区别：木马在芯片内部、设计与制造阶段；植入是流片后的物理附加物；检测手段也不同（木马靠侧信道指纹/形式化，植入靠来料检验/X-Ray/拆解）。

6.4 固件与软件供应链

UEFI/固件 rootkit：LoJax（2018，首例野外 UEFI rootkit）、MoonBounce（2022）、BlackLotus（2023，利用被签名的漏洞组件绕过 Secure Boot）——固件持久化，重装系统无效；
软件供应链：SolarWinds/Sunburst（2020，构建系统投毒）、XcodeGhost、CCleaner 事件——构建与分发环节是薄弱点；
应对：固件签名 + 安全启动、SBOM/HBOM（软/硬件物料清单）+ VEX 漏洞通告、构建环境加固。

6.5 防护与保障体系

技术：安全启动（限制植入/木马的生效条件）、芯片唯一 ID 与产线密钥注入（secure provisioning：密钥在 HSM 环境下注入，芯片与授权服务绑定，防克隆与掉包）、防篡改封装与签封、入库检验（X-Ray、声学、电测、抽样逆向）；
管理：可信供应商认证与审计、可信代工（Trusted Foundry 思路）、全生命周期追溯；
法规/框架：美国 EO 14028 与 NIST SP 800-161（C-SCRM）、EU Cyber Resilience Act；中国《关键信息基础设施安全保护条例》、GB/T 36637（ICT 供应链安全要求）等。

◆ 厂商实践与拓展华为作为大型设备商，供应链安全治理覆盖供应商准入、产品安全基线、软件物料清单与漏洞响应（PSIRT）等环节；芯片侧通过唯一可信 ID、产线安全注入（HSM 环境烧录密钥）与全链安全启动保证“从硅片到服务”的可追溯与可验证。供应链安全的要点可以归纳为两条线：技术验证（安全启动/唯一 ID）与流程治理（供应商/物料清单）。

7 调试接口与系统级攻击（JTAG / UART）

7.1 JTAG

【JTAG】 IEEE 1149.1 边界扫描标准（1990），最初用于 PCB 互连测试，现泛指芯片的片上调试/烧写通道。5 根信号：TCK（时钟）、TMS（模式选择）、TDI/TDO（数据入/出）、TRST（复位，可选）。

工作机制：TAP 控制器（16 状态状态机）在 IR 指令寄存器与DR 数据寄存器之间移位，访问片上调试逻辑（ARM 侧为 CoreSight DAP；简化两线版 SWD）；多芯片可串联（daisy-chain）。
合法用途：互连/制造测试（BSDL 描述）、CPU 停核/单步/读写内存与寄存器/断点、烧写 Flash、FPGA 下载配置。
攻击面：
1. 量产设备调试口未锁时，攻击者可获得完全控制：停核后读全内存（提取密钥/生物模板）、直接改写 RAM 中的代码/数据、绕过或打补丁 bootloader、关闭安全标志位；
2. dump 外部 Flash 固件后离线分析（binwalk），再回头利用；
3. 扫描链攻击：进入测试模式读扫描链，可读出触发器状态（含运算中的密钥）——测试模式必须与产品模式隔离。

7.1.1 JTAG 防护

防护	做法
熔断禁用	量产时 eFuse 烧断调试口使能（最粗暴有效；注意与“抗毛刺可靠熔断”配套，防电压毛刺重开）
认证调试	调试口保留但需挑战-响应认证（平台密钥签发授权），如 ARM ADAC（Authenticated Debug Access Control）
生命周期管理	DEV → PROD → RMA 状态机：量产锁定，返修（RMA）时先擦密钥再授权调试
隔离/混淆	调试引脚断线/复用、扫描链安全模式（测试态禁读机密触发器）
协议升级	IEEE 1149.7（两线 cJTAG）等新标准自带安全特性

7.2 UART 调试口

特征：TX/RX/GND 三线（常见 115200 8N1），成本极低；PCB 上常是 4 针排（VCC/TX/RX/GND），万用表通断 + 逻辑分析仪即可定位。
攻击方案：
1. 读启动日志，了解 bootloader 与内核配置，发现调试后门；
2. 在 U-Boot autoboot 倒计时内按键打断，即可进入 U-Boot 命令行：printenv/setenv 改 bootargs（如 init=/bin/sh 直接拿 root shell）、tftpboot 加载任意内核、修改/擦除环境变量（可能关掉安全启动开关）；
3. Linux 控制台未设认证时，可直接拿到 root shell（路由器/机顶盒/IoT 常见）。
防护：量产关闭串口控制台（quiet/loglevel=0）、U-Boot 设密码/锁定 autoboot 打断、裁剪可执行命令集（只留只读诊断）、串口认证。

7.3 其他物理入口与完整攻击链

入口	攻击	防护
SPI Flash	SOIC8 夹具 + flashrom 直接 dump/篡改固件回刷	全链验签、固件加密、写保护 WP
eMMC/芯片	chip-off 拆片读数据；boot 引脚强制进编程模式	存储加密、BOOT 引脚配置锁定
USB DFU/恢复模式	强制进刷机模式降级/刷入恶意镜像	镜像版本单调 + 全链验签
Boot ROM 漏洞	不可修补：Apple checkm8（BootROM 堆溢出，永久）、Switch Fusée Gelée（Tegra X1 USB RCM 栈溢出，冷启动任意执行）	只能靠后续组件限制利用面（如 USB 仅授权设备）
毛刺打验签	电压/时钟毛刺打在 BootROM 的签名比较分支上跳过校验	关键比较双路冗余/传感器
冷启动	断电冷却读 DRAM 残留密钥	开机内存清零、加密内存、TCM/TPM 密封

7.3.1 IoT/嵌入式设备攻击方法论（系统级视角）

拆解观察：找调试口（4 针排、丝印 TX/RX/JTAG 焊盘）、 Flash 型号；
UART/JTAG 尝试：波特率扫描、JTAGulator 定位；
dump 固件（调试口或 Flash 夹具）→ binwalk 分析（文件系统、密钥、硬编码口令）；
静态/动态分析找漏洞；
利用：改 bootargs、刷固件、毛刺绕验签；
持久化/横向（若是渗透场景）。

7.4 底软漏洞挖掘（固件与底层软件安全）

“底软”指 BootROM、bootloader、UEFI、BMC、内核与驱动、RTOS、基带等底层软件，其漏洞原理与挖掘技术是硬件安全工作的重要组成部分。

7.4.1 底层软件攻击面

攻击面	典型问题
BootROM / Bootloader	出厂固化不可修补（checkm8、Fusée Gelée 教训）；镜像解析逻辑缺陷绕过验签
UEFI / SMM	SMM callout（SMM 内调用普通世界内存的函数）、指向 SMRAM 的 DMA、变量服务溢出、固件卷（FV）解析漏洞
BMC / 管理通道	IPMI 弱认证、BMC 固件被植入（服务器的“带外”后门）
内核与驱动	ioctl 参数校验缺失、DMA 缓冲管理不当（配合 IOMMU 缺失即 DMA 攻击）、第三方驱动最薄弱
TEE TA / 系统调用	TA 内存破坏可升级为 TEE 内提权（QSEE、Trusty 历史上多起）
基带 / 无线协议栈	空口远程可达（如 Pwn2Own 2019 的 Mute），手机暴露面最大

7.4.2 常见漏洞原理与挖掘技术

技术	内容
内存破坏漏洞	栈/堆溢出、UAF/Double-Free、整型溢出、类型混淆、格式化字符串；底软环境常缺少 ASLR 等缓解，利用门槛更低
竞态 / Double-fetch (TOCTOU)	共享内存“检查两次、检查与使用之间被并发改写”；代表工作 Bochspwn（指令级插桩找内核双取）
模糊测试 Fuzzing	覆盖率引导：AFL++/libFuzzer；固件全系统仿真：FirmAE/Firmadyne + Firm-AFL；快照/虚拟化加速：Nyx/kAFL；硬件辅助覆盖：ARM CoreSight ETM、Intel PT；TEE 专用：Percival（Qualcomm TA fuzzing）
符号执行 / 静态分析	angr/S2E/KLEE 路径求解；CodeQL/Coverity/Klocwork 污点分析；CERT C/MISRA 规则审计
补丁比对 / 差分测试	BinDiff 补丁 diff 反推 1-day 漏洞；协议实现差分测试发现解析缺陷
AI 辅助（新兴）	LLM 辅助 harness 生成、崩溃分诊与代码审计，属于新兴的 AI 辅助漏洞挖掘方向

7.4.3 漏洞缓解与安全开发（记忆清单）

运行时缓解：ASLR、DEP/NX、Stack Canary、CFI、glibc safe-linking；这些缓解在底软环境中往往缺省关闭，未开启本身就是最大的问题来源。
硬件缓解：ARM PAC/BTI/MTE、x86 CET（对照表见第 5 章）、IOMMU（堵 DMA 攻击）、SMM 加固（SMRAM 锁定 + DMA 保护）。
流程与工具：sanitizers（ASAN/UBSAN/KASAN）进 CI、覆盖率门限、OSS-Fuzz 式持续模糊、CERT C/MISRA 安全编码、CVE 情报监控、固件全链签名 + 防降级。

◆ 要点分析底软安全问题时，可以按这样的顺序展开：先盘点攻击面，再归类漏洞原理，然后选择挖掘手段（仿真、模糊测试、符号执行），最后说明缓解措施如何进入开发流程。其中 TEE TA 的模糊测试、Double-fetch、DMA 与 IOMMU 三个话题最能体现实际理解。

◆ 要点按“接口 → 能力”的对应关系记忆：JTAG = 芯片级完全控制（读写内存/改代码）；UART = 系统 shell/bootargs 级控制；SPI Flash = 固件级（dump/篡改）。防护共同原则：调试口生命周期管理 + 全链安全启动 + 固件签名加密。

◆ 厂商实践与拓展华为终端的安全启动链（BootROM → Bootloader → 内核 → 系统逐级验签、验签密钥与哈希存于独立安全区域）正是对上述攻击面的系统性回应；鲲鹏服务器同样支持 UEFI Secure Boot 与 TPM 度量。HarmonyOS 设备的调试端口按生命周期状态管理，量产态默认关闭。

8 工业硬件安全实践专题

《华为算力基础设施安全技术白皮书——端管云协同》给出的主线是：以硬件可信根为起点，使能安全启动与可信启动，确保只有授权且经密码学校验的代码可执行；运行时以 TEE/机密计算保护敏感数据，密码体系内生国密。本章按“端—管—云”梳理华为的硬件安全版图，均为公开资料。

8.1 终端侧：麒麟芯片与 HarmonyOS

inSE 集成安全单元：2016 年起华为旗舰机型集成金融级 inSE（通过金融行业认证），承载 Huawei Pay、eID（公民网络电子身份）等高价值密钥；HarmonyOS NEXT 安全白皮书将 SE（安全单元）与 TEE 并列为“软硬结合双重防护”的支柱，SE 负责芯片级物理防护。
iTrustee TEE：华为自研微内核 TEE 操作系统，运行于 TrustZone 安全世界，承载指纹/人脸特征比对、密钥运算、DRM（Widevine L1）等可信应用（TA）。
安全启动链：BootROM → Bootloader → 内核逐级验签，验签密钥与哈希存储于与主 CPU 隔离的安全区域；配套防回滚与密钥防回退。
HarmonyOS NEXT 提出“星盾安全架构”，从启动、权限到分布式协同做系统级管控（了解概念即可）。

8.2 服务器侧：鲲鹏可信计算与机密计算

能力	说明
鲲鹏安全启动	UEFI Secure Boot + 固件可信根：仅允许通过密码学校验的系统软件启动；配合 TPM/TCM 模组实现可信启动与远程证明
iTrustee TEE OS	自研微内核 TEE，鲲鹏 BoostKit 机密计算 TrustZone 套件的核心组件（需出厂预置 TEE 能力的服务器）
机密虚机	基于安全世界 S-EL2 虚拟化（Hafnium）与 virtCCA（对齐 ARM CCA）实现机密虚机，普通虚机软件栈可无缝迁入
内生国密	TEE 内置 SM2/SM3/SM4 密码模块，REE 侧提供标准 SDF 接口（GM/T 0018），免外置加密卡即可获得合规密码能力
KAE 加速引擎	鲲鹏片内密码/压缩加速引擎：硬件加速 SM2/SM3/SM4/AES/RSA，通过 OpenSSL 引擎等对接上层

8.3 云侧：云上密码安全中心（DEW）

KMS 密钥管理：密钥由硬件安全模块（HSM）保护，主密钥不可导出；凭据管理 CSMS、密钥对管理 KPS；
DHSM 专属加密：基于国密局认证的云密码机（单租户独享），满足政务/金融/安平的密评合规；支持密码资源池与虚拟密码机 VSM；
信封加密：CMK（主密钥）保护 DEK（数据密钥），DEK 加密业务数据——云上密钥管理的标准模式；
QingTian Enclave：在 ECS 虚机内进一步划出隔离的可信执行空间，保护密钥与隐私数据处理。

8.4 学术合作与开源：蓬莱 TEE 与 openHiTLS

蓬莱（Penglai）：产学研联合研发、华为参与支持的 RISC-V TEE 系统：IEEE S&P 2020 提出基本架构，OSDI 2021 发表《Scalable Memory Protection in the PENGLAI Enclave》。它以 sPMP/SCCv2 扩展 RISC-V 内存保护原语，支持数千 Enclave 并发和 512GB 安全内存，已进入 RISC-V 生态（与 OP-TEE 融合，落在 StarFive 平台上），是 TEE 可扩展性方向的代表作。
openHiTLS：华为开源的高性能密码/TLS 库，覆盖国密与国际算法，并已开源 NIST 首批后量子算法，是研究后量子密码工程实现的现成材料。

8.5 标准生态与专利布局

标准组织：GlobalPlatform（TEE 规范与评估）、TCG（可信计算/TPM）、CCSA（国内通信行业标准）、信通院机密计算推进，以及国内机密计算相关国家标准与商用密码标准体系；
认证：商用密码产品认证（商密检测中心检测）、Common Criteria、金融行业认证；
专利：华为在侧信道防护、可信执行环境、安全启动、密码运算加速等方向有大量专利布局，可在国家知识产权局或 Google Patents 以“申请人 = 华为 + 关键词（侧信道/TEE/可信根/后量子）”系统检索，是了解行业技术方向的有效途径。

8.6 与本讲义知识域的对应

知识域	华为对应实践
密码算法实现	KAE 加速引擎、inSE/iTrustee 国密模块、openHiTLS
后量子迁移	openHiTLS 支持 NIST 首批 PQC；参与国内抗量子标准推进
侧信道/故障注入防护	安全芯片/安全 IP 设计（掩码、TRNG、传感器）
硬件可信根与启动	终端安全启动链、鲲鹏 UEFI Secure Boot + TPM/TCM
TEE 与机密计算	iTrustee、鲲鹏机密虚机（virtCCA）、QingTian Enclave、蓬莱
供应链	产线密钥安全注入、唯一 ID、供应商安全治理

◆ 要点本章名词与讲义前文一一对应：iTrustee/TrustZone 对应 TEE（第 4 章）、鲲鹏机密计算对应 virtCCA/CCA、国密算法识别对应 SM2/SM3/SM4/ZUC、TPM 与安全启动对应第 3 章——对照阅读更容易形成完整图景。

9 业界主流硬件安全架构与产品全景

本章把视野从华为扩展到整个业界：终端 SoC 的内置安全架构、移动/桌面平台安全、云与数据中心机密计算、开源 RoT 社区项目，以及汽车、支付、IoT 等垂直行业方案。与前文的对应关系：本章 9.1/9.4 落在第 3 章（可信根）的概念框架上，9.2/9.3 落在第 4 章（TEE）上。

9.1 处理器与平台内置安全架构

厂商/方案	定位与要点
Intel	CSME 管理引擎与 PTT（fTPM）；Boot Guard：OEM 在熔丝中锚定公钥哈希、由参考代码（ACM）校验 BIOS，防刷第三方固件；客户端 SGX 已移除、服务器由 TDX 接棒；DCI 调试接口
AMD	PSP 平台安全协处理器（内跑安全 OS 与 fTPM）、SEV 机密虚机家族；新平台集成 Microsoft Pluton
Microsoft Pluton	微软设计、直接集成在 CPU 裸片内的安全处理器，定位替代离散 TPM：CPU 信任根 + 固件经 Windows Update 统一升级；AMD Ryzen 6000 起、部分高通平台已量产，Intel 亦宣布支持；思想源自 Azure Sphere 的 Cerberus 架构
ARM	TrustZone/RME(CCA) 执行隔离；CoreSight 调试体系（ADAC 认证调试）；MTE 内存标签、PAC 指针认证等硬化特性；Cortex-M 侧以 PSA/TF-M 为参考栈
Apple	SEP（Secure Enclave Processor）：独立安全协处理器，自带 Boot ROM 与 AES 引擎、独立加密内存；Touch ID/Face ID 模板与支付密钥只在 SEP 内处理、永不外送；A 系列与 M 系列芯片均内置，安全启动为 AP 与 SEP 双链
Google	Titan M / Titan M2（Pixel 3 起；Pixel 6 起的 M2 基于 OpenTitan 开源设计）：Weaver 锁屏节流、Verified Boot 状态记录、密钥存储与 attestation、RMA 控制；采用 TCG DICE 派生设备身份
Qualcomm	SPU（Secure Processing Unit）安全处理单元（Snapdragon 8 Gen1 起），配合 QSEE/QTee 承载密钥与生物特征
Samsung	Knox Vault（Galaxy S21 起的独立抗物理攻击安全芯片：独立 PCB、传感器与存储）；Knox 平台整体为 TEE + SE 双层防线
RISC-V 生态	Keystone、蓬莱 Penglai 等 enclave 框架；CHERI 能力型内存安全架构（ARM Morello 原型验证）

◆ 要点 “内置安全岛/协处理器”是当前终端 RoT 的主流形态：Apple SEP、Google Titan M2、Samsung Knox Vault、Qualcomm SPU、Microsoft Pluton 殊途同归——独立小核 + 独立存储 + 独立启动链 + 传感器防拆。判断某个方案是否为独立安全芯片/协处理器时，可按此清单核对。

9.2 移动与桌面平台安全机制

平台	代表性机制
Android	Verified Boot（AVB 2.0：逐级验签 + rollback index 防回滚，锁定/可解锁状态上报）；Keymaster→KeyMint：TEE 内密钥服务，支持 Key Attestation 与远程密钥供应（RKP）；StrongBox：由 SE（如 Titan M）支撑的最高等级密钥库；Gatekeeper/Weaver 解锁节流；RPMB（eMMC/UFS 防重放分区）作为防回滚安全存储；Widevine L1 在 TEE 内解密；FBE 文件级加密 + 硬件包装密钥
iOS/iPadOS	Secure Boot 链（Boot ROM → iBoot → 内核逐级验签，不可降级）；SEP 承载生物特征与支付；数据保护：每文件密钥按保护等级（类密钥）包装；激活锁/远程擦除体系
Windows	Secure Boot + TPM 2.0 为 Win11 硬性要求；VBS/HVCI：虚拟化内核完整性（内核页内存只读）；Credential Guard 把域凭据隔离到 VTL1；BitLocker 用 TPM 密封；Secure Core PC 走 DRTM；Pluton 逐步替代离散 TPM

9.3 云与数据中心机密计算

厂商	服务与技术
AWS	Nitro 架构：Nitro Security Chip（每台服务器的硬件 RoT，CPU 板卡最小化攻击面）+ Nitro 卡卸载网络/存储；Nitro Enclaves（EC2 内隔离 enclave，与 KMS 联动做最小权限数据处理）；NitroTPM
Google Cloud	Confidential VM（AMD SEV / Intel TDX）；Confidential Space：TEE 容器，用于多方数据协作（数据可用不可见）；Cloud HSM（FIPS 140-3 Level 3）
Azure	Confidential VM（SEV-SNP/TDX）、Dedicated HSM；Azure Sphere：MCU + 定制 Linux + 云安全服务的 IoT 平台（Pluton 思想发源地）
NVIDIA	H100/H200 Confidential Computing：GPU TEE（显存加密、CPU-GPU 链路加密、attestation 服务），支撑大模型训练/推理的数据保密
国内厂商	华为云 QingTian Enclave 与鲲鹏机密虚机（第 8 章）；阿里云等亦提供基于 SEV/TDX 的加密计算实例与云密码机

9.4 开源 RoT 与社区项目

项目	托管/发起	要点
OpenTitan	lowRISC（Google/NVIDIA/WD/Microsoft 等联合）	开源硅可信根 SoC（Earl Grey）：可审计的 RoT 参考设计，已被 Pixel Titan M2 采用
Caliptra	OCP/CHIPS Alliance（AMD/Arm/Google/Microsoft/NVIDIA）	数据中心 SoC 片内 RoT 子系统规范：可度量启动、密钥管理、DICE 式身份，应对“服务器芯片供应链”信任问题
TF-M / PSA	Arm/社区	Cortex-M 物联网 TEE 参考实现与安全框架；配套 PSA Certified 三级认证
TF-A / Hafnium	Arm/社区	EL3 Secure Monitor 固件与 S-EL2 安全世界虚拟化的事实标准（鲲鹏机密虚机同栈）
EDK2 / coreboot / U-Boot	TianoCore/社区	UEFI 固件与开源 bootloader：Secure Boot、防回滚、SMM 加固的研究与实践载体
Keystone / CHERI	开源/学术	RISC-V enclave 框架；CHERI 能力型内存架构（Morello 原型）——内存安全硬件化路线

9.5 垂直行业主流方案

9.5.1 汽车电子

车内安全模块分级：HIS SHE（Secure Hardware Extension：MCU 内置 AES-128 安全模块，最普及）→ EVITA Full/Medium/Light HSM（欧盟项目定义的车载 HSM 分级）→ ASIL 相关安全岛；软件栈为 AUTOSAR CSM/CryIf；V2X 另需专用 HSM。
法规：ISO/SAE 21434（网络安全工程）+ UNECE R155（CSMS 车企管理体系，新车型准入强制）+ R156（软件更新管理）。
经典案例：2015 年 Jeep Cherokee 远程控制（Miller & Valasek，召回 140 万辆，催生整个车联网安全行业）；Megamos Crypto 防盗转发器被破解（2013，公开研究甚至遭厂商诉讼）；无钥匙进入中继攻击（relay attack）至今仍是车险诈骗主力。

9.5.2 支付与金融

卡与终端：EMV 标准体系（PBOC 为国内对应），POS 终端认证 PCI PTS（安全要求 + 渗透测试），卡片/终端安全评估走 EMVCo。
主流金融 HSM 厂商：Thales（Luna/PayShield）、Utimaco、Entrust nShield——银行 PIN/密钥体系与 CA 根密钥的行业标准配置。
支付令牌化：Apple Pay/Google Pay 以设备令牌替代 PAN，密钥在 SE/TEE 内，业界与华为 inSE 方案同构。

9.5.3 IoT 与嵌入式

安全元件选型：Microchip ATECC608、NXP SE050、ST STSAFE 等（预认证 SE，密钥托管/椭圆曲线运算）；eSIM + GSMA RSP 远程配置逐步替代插拔 SIM。
固件底座：MCUboot（安全启动/升级）+ TF-M（Cortex-M TEE）+ PSA Certified 认证。
资源受限设备的密码：NIST 2023 年选定 Ascon 为轻量级密码标准（SP 800-232）。

9.5.4 身份与在线认证

FIDO2/WebAuthn + CTAP：免密登录，硬件安全密钥（YubiKey、Google Titan Key）内置 SE 承载私钥；Google Titan Key 2021 年因蓝牙配对密码学缺陷召回——硬件供应链中的密码学审计同样不可少。
ePassport（ICAO：BAC/PACE 协议）、各国 eID 与手机 eID（华为 inSE 方案第 8 章）。

9.6 业界经典案例速览

案例	内容	教训
SIMjacker（2019）	特制 SMS 利用 SIM 卡内 S@T 浏览器执行指令（定位/发送短信）	SIM 卡上的“沉睡应用”也是攻击面
基带远程利用	如 Pwn2Own 2019 的 Mute，经蜂窝空口攻破基带处理器	基带是手机中暴露面最大的处理器
Starbleed（2020）	Xilinx 7 系 FPGA 比特流加密被破解（BootROM 缺陷），无法修补	FPGA 安全启动同样需要 RoT；ROM 错误不可逆
Jeep Cherokee（2015）	蜂窝网络远程控制车辆 CAN 总线，召回 140 万辆	车辆攻击面管理 + 快速 OTA 响应（催生 R155/R156）
Google Titan Key（2021）	蓝牙配对签名实现缺陷，物理召回更换	供应链里的密码学实现需独立审计
RAMBLEED/Rowhammer	从浏览器沙箱或跨虚机触发 DRAM 位翻转读密钥	共享内存介质本身就是侧信道

9.7 面向 AI 算力的硬件安全

AI 算力体系的关键资产是模型权重与训练、推理数据，架构特点是 GPU/NPU 加 HBM、高速互连与 chiplet。可信根、隔离、加密这三类既有技术需要逐一延伸到这套新架构上：

主题	要点
威胁模型	云内多租户互窃（共享 GPU 的微架构侧信道与数据残留）、恶意云管理员、物理/近场攻击；保护资产：模型权重（商业核心机密）、提示词与训练数据（隐私）、模型完整性（防后门/篡改）
加速器可信基	NPU/GPU 安全启动与固件度量（昇腾、NVIDIA 数据中心 GPU 均内置 RoT）；GPU Confidential Computing：显存/HBM 加密 + 完整性 + 远程证明（H100 起，见本章 9.3）
多租户隔离	硬件切分（NVIDIA MIG）+ 上下文切换时的缓存/共享 SRAM 清理；L2 与共享内存残留是 GPU 侧信道的主要来源
互连与封装安全	chiplet 与 UCIe、NVLink 与 NVSwitch、CXL 的加密与认证（CXL 信任域互连标准化推进中）——算力扩展到哪里，信任边界就要跟到哪里
模型供应链	模型文件签名/哈希校验、权重在 TEE 内运行时解密、反序列化投毒（pickle 类漏洞）、模型水印/指纹做泄露溯源
隐私计算与 AI 结合	FHE 密态推理（CKKS 路线）、联邦学习 + TEE 聚合 + DP 噪声（与第 1 章 FHE 与隐私计算一节呼应）
AI 辅助安全研究	LLM 辅助代码审计与 harness 生成、机器学习侧信道分析（ASCAD 数据集，见第 11 章），覆盖“用 AI 做安全”与“保护 AI 本身”两个方向

◆ 要点概括地说，AI 算力安全是把可信根、隔离、加密这三类技术延伸到 GPU/NPU、HBM 与互连链路上，再以隐私计算保护数据本身。MIG、CXL 安全、模型水印这些具体点，最能反映理解的深度。

9.8 安全 IP 与芯片生态

SE 主流厂商：NXP、Infineon、STMicroelectronics、Microchip——手机 eSE/银行卡/eSIM 芯片的主要来源。
安全 IP 供应商：Rambus（CryptoManager RoT，并购 Silex Insight）、Synopsys（DesignWare Security IP，并购 PUF 厂商 Intrinsic ID）、Cadence、Secure-IC 等，提供 TRNG/PUF/安全启动/RoT 子系统等可认证 IP。
自研芯片平台的关键决策：“买认证 IP 还是自研 RoT”——认证（CC/商密）通常绑定已验证 IP，自研则需自证安全性与评估成本。
FPGA/MCU 的安全启动：Xilinx Versal/Zynq（前车之鉴 Starbleed）、STM32 读保护（RDP）、Nordic/NXP 的 TF-M 集成。

◆ 要点本章可以作为概念与实例的对照材料。各方案的定位可以用一句话概括：Apple SEP 保护生物特征，Titan M2 源自开源 OpenTitan，Pluton 是微软定义的 CPU 内安全处理器，Knox Vault 是独立抗拆芯片，Nitro 是云服务器的硬件可信根，Caliptra 是数据中心芯片内 RoT 规范。

10 标准、认证与评估体系

硬件安全的特殊性在于：安全性无法靠“自查”取信于第三方，必须通过标准化评估认证。对工程师而言，标准是产品市场准入的门票，也是体系化知识的最好大纲；“标准—机构—等级”的对应关系适合整理成速查表。

10.1 通用安全评估：Common Criteria（ISO/IEC 15408）

结构：PP 保护轮廓（一类产品的安全需求模板）→ ST 安全目标（具体产品声明）→ TOE 评估对象；评估保证级 EAL1–EAL7（功能测试 → 方法论设计与测试 → 方法论设计/测试与彻底验证）。
智能卡/SE/安全芯片惯例：EAL4+（增强）/EAL5+/EAL6+，关键在漏洞分析深度 AVA_VAN（.1 至 .5，.5 对应高攻击潜力攻击者，EAL5+/6+ 智能卡认证普遍标注 AVA_VAN.5）——“EAL 几”要与 AVA_VAN 深度一起看。
互认：CCRA 与 SOG-IS 互认协议（欧洲安全评估互认，智能卡主流）。
主要评估机构：SGS Brightsight、Riscure、UL、TÜV、Applus 等；国内由中国网络安全审查认证和市场监管大数据中心（原 CCRC）与指定测评实验室承担。

10.2 密码模块认证：FIPS 140-3 与商用密码认证

维度	FIPS 140-3（国际）	商用密码认证（国内）
依据	ISO 19790/24759，NIST CMVP 认证	GM/T 0028《密码模块安全技术要求》等
算法验证	CAVP/ACVP（算法/模块测试向量）	商用密码检测中心检测
等级	Level 1 单芯片 → Level 4 环境失配防护	安全等级一至四级（结构与国际对应）
认证机构	NIST + 加拿大 CCSDS 联合	国家密码管理局（产品认证证书）
制度背景	美国联邦采购强制	《商用密码管理条例》（2023 修订）与密评：GB/T 39786 对关基/等保系统提出密码应用要求

10.3 平台与 IoT：GlobalPlatform、TCG、PSA

体系	内容
GlobalPlatform	TEE 规范族（系统架构、Internal API、TA 生命周期）；SESIP：面向 IoT/联网设备平台的评估标准（独立方法论，等级 1–3，按攻击者潜力定级）；IoTopOn（设备 onboarding 评估）
TCG	TPM（ISO/IEC 11889）；DICE/DPE：轻量级硬件身份派生与证明概要（面向无大容量存储的设备，Titan M/Chromebook 采用）；网络设备 TNC 等
PSA Certified	Arm 发起的物联网安全框架：10 个安全目标（隔离、安全启动、可信存储、真随机数等）；认证分三级——Level 1 问卷声明、Level 2 独立实验室评估、Level 3 增加渗透测试

10.4 垂直行业标准

领域	标准/法规	要点
金融支付	EMVCo Security Evaluation；PCI PTS；PBOC/银联	卡片与终端的安全评估（LoC）；POS 终端强制认证（物理+逻辑攻击）
汽车	ISO/SAE 21434；UNECE R155/R156；EVITA/SHE/AUTOSAR	21434 定义网络安全工程流程；R155 要求车企建立 CSMS 并通过车型准入；R156 管软件更新（SUMS）；车内 HSM 分级见第 9 章
工业控制	IEC 62443	分区/管道模型，安全等级 SL1–SL4；PLC/DCS 供应商认证主流化
通信网络设备	3GPP SCAS + GSMA NESAS	基站/核心网设备安全保证框架（开发流程评估 + 设备测试），5G 设备准入依据
消费 IoT	ETSI EN 303 645；EU RED DA（EN 18031）	消费 IoT 安全基线（禁通用默认口令等）；无线电设备指令安全条款 2025 年起强制
医疗	FDA 上市前网络安全指南（美）	提交 SBOM、漏洞管理计划成为审批材料

10.5 法规与供应链政策

欧盟：CRA《网络弹性法案》（2024 年生效：带安全默认配置、漏洞处理与报告义务，主要合规义务分阶段实施）；RED DA（EN 18031）2025 年 8 月起对无线电设备强制；GDPR 之外数据类 NIS2 指令覆盖关键实体。
美国：EO 14028（政府采购安全基线）→ NIST SSDF（SP 800-218，安全软件开发框架）、C-SCRM（SP 800-161，供应链风险管理）；SBOM 两种格式 SPDX / CycloneDX + VEX 漏洞可利用性通告。
中国：网络安全法、数据安全法、关基条例、等保 2.0（四级及以上系统要求可信验证），商用密码管理条例（2023 修订）确立密评与商密认证地位。
软件供应链完整性框架：SLSA（构建平台分级 L1–L3）、in-toto（构建步骤证明）、Sigstore（制品签名）——硬件团队也要理解，因为固件构建链同样适用。

10.6 测评实操要点

除了懂标准（本章前文），还需要了解测评的具体做法：

TRNG/随机数评估：NIST SP 800-90B（熵源估计 + 在线健康测试：重复计数测试/自适应比例测试）、SP 800-22 统计测试套件、德国 BSI AIS-31（PTG.2/PTG.3 类）；送检需提交熵源设计说明与健康测试实现——“熵源 + 健康测试 + DRBG 构造”三层都要证据。
侧信道评估流程：表征（characterization，定位泄漏点）→ TVLA 泄漏评估（固定 vs 随机 Welch t 检验；一阶对应无掩码/一阶掩码，高阶掩码要配高阶测试）→ 攻击验证（CPA 实际恢复密钥）；关注采样规模与置信度。
故障注入评估：参数空间扫描（电压/时钟/电磁/激光位置与能量），定义目标函数（跳过校验、翻转目标比特），统计成功率与可重复性；验证防护响应（传感器报警、密钥清零、状态机 fail-closed）。
算法符合性测试：KAT 已知答案测试（CAVP 与商密检测中心同源思路）、边界与异常输入、密码协议互操作测试。
送检流程：送样 → 方案/文档评审 → 测试执行 → 问题整改 → 报告 → 认证证书；研发侧应先做“预扫描”（pre-compliance），用 ChipWhisperer 自测（机构级用 Riscure Inspector，见第 11 章工具表）。

10.7 对应关系速查

评估对象	适用标准	认证/等级关键词
安全芯片/SE/智能卡	Common Criteria（配合 JIL 攻击方法）	EAL4+/5+/6+、AVA_VAN.4/.5、SOG-IS
密码模块/HSM	FIPS 140-3；GM/T 0028	L1–L4（L4 环境失配）；国内一至四级、商密认证
TEE	GlobalPlatform TEE	GP 认证、TA 生命周期管理
IoT 平台/MCU	SESIP；PSA Certified	SESIP L1–3；PSA L1–3（L3 含渗透）
POS 终端	PCI PTS；EMVCo	PTS 认证、LoC
汽车电子	ISO/SAE 21434；UNECE R155/R156	CSMS/SUMS、车型准入
工业控制	IEC 62443	SL1–SL4、分区/管道
网络设备（5G）	NESAS + 3GPP SCAS	开发流程评估 + 安全测试
云 HSM 服务	FIPS 140-3	主流云厂商普遍 Level 3

◆ 要点可以按评估对象记标准：芯片对应 CC，密码模块对应 FIPS 140-3 与商密认证，TEE 对应 GlobalPlatform，IoT 对应 SESIP 与 PSA，支付终端对应 PCI PTS，汽车对应 21434/R155，工业对应 62443。另外注意，EAL 是保证等级，不等于安全强度；掌握对应关系与关键特征即可。

11 学术研究与系统性学习资源

本章给出硬件安全领域的学术版图、公开数据集、教材课程、开源工具与学习路线，作为从“应试”走向“体系化掌握”的地图。

11.1 学术版图与代表性会议

硬件安全研究大致三条主线，各有主场会议：

会议/期刊	主办方	主题与代表作
TCHES	IACR（季刊，CHES 会议并入）	密码硬件与嵌入式实现安全：DPA/掩码/故障注入/PUF/TRNG/白盒的首选阵地
HOST	IEEE	硬件导向安全与可信：硬件木马检测、RoT 架构、供应链
IEEE S&P (“Oakland”)	IEEE	系统安全顶会：Meltdown/Spectre 首发地，Plundervolt 亦发表于此
USENIX Security / ACM CCS / NDSS	—	安全四大顶会其余三家：TEE 攻防、固件、模糊测试等
DAC / DATE / ICCAD	EDA/设计自动化界	设计流程中的安全专题；Hack@DAC 学生攻防赛
IEEE TIFS / JoC	IEEE / IACR	期刊：信息取证与安全 / 密码学

◆ 要点文献检索路径：实现安全问题优先 TCHES 与 IACR ePrint（eprint.iacr.org 免费全文）；系统类问题看四大顶会历年论文；硬件木马先翻 Trust-Hub 与 HOST 论文集。

11.2 公开数据集与竞赛

名称	内容
DPA Contest v1–v5	公开功耗采集数据集与攻击比拼：从无防护 DES/AES 到掩码实现，侧信道入门的标准练手材料
ASCAD	法国 ANSSI 发布的掩码 AES 深度学习侧信道数据集（机器学习攻击研究基准）
Trust-Hub	硬件木马基准电路合集（学术研究的事实标准）
Hack@DAC / CSAW ESC	学生硬件安全攻防赛：真实 SoC/板卡漏洞挖掘
NIST 算法竞赛	AES（1997–2000）→ SHA-3（2007–2012）→ CAESAR 认证加密（2014–2018）→ PQC（2016–2024）→ LWC（2023 选定 Ascon），每轮竞赛都会更新该领域的算法基线
Pwn2Own (ZDI)	真实目标（浏览器/基带/汽车/SoC）攻破赛，案例见第 9 章

11.3 教材与课程

系统安全总纲：Ross Anderson《Security Engineering》，系统安全领域的综合性著作，硬件章节对威胁建模与物理安全设计讲得比较透。
密码硬件入门：Mukhopadhyay & Chakraborti《Hardware Security: A Hands-On Learning Approach》；Tehranipoor & Wang《Introduction to Hardware Security and Trust》。
密码工程：Jean-Philippe Aumasson《Serious Cryptography》——工程师视角的现代密码学，含后量子章节。
可信计算：沈昌祥院士体系（可信计算 3.0，双体系主动免疫），是理解 TCM/TPCM 与国内可信计算路线的背景材料。
课程：Coursera《Hardware Security》（马里兰大学 Gang Qu，硬件安全经典 MOOC）；MIT OCW 6.858（系统安全）；体系结构课程补充乱序执行/缓存细节（理解第 5 章的基础）。

11.4 开源工具速查表

工具	用途
ChipWhisperer（NewAE，开源）	侧信道采集 + 时钟/电压毛刺注入一体化套件，配套 CPA/DPA/故障注入完整教程——入门实操首选
ChipSEC	平台/UEFI 安全评估开源框架（Intel 发起），检查固件配置、SMM 锁、SPI 保护是否到位
Riscure Inspector	商用侧信道/故障注入分析平台（评估机构标配，代表业界评估方法学）
flashrom + SOIC8 夹具	SPI Flash 读取/烧写（固件 dump 第一步）
binwalk + Ghidra/IDA	固件提取签名与逆向分析
JTAGulator / Bus Pirate / Flipper Zero	调试口发现与总线探测
Proxmark3	RFID/NFC（门禁卡、支付卡）安全研究
OP-TEE on QEMU	无硬件运行完整 TEE 软件栈（TA 开发入门）
Yosys + nextpnr	开源 FPGA 综合布局布线（自定义 RoT/密码 IP 原型验证）

11.5 系统性学习路线图（0 → 12 个月）

阶段	目标	材料与实践
阶段 0 打基础	密码学概念 + 体系结构 + 数字设计	Aumasson《Serious Cryptography》；《CSAPP》或体系结构教材的流水线/缓存/乱序章节；Verilog 基础
阶段 1 动手入门（1–3 月）	建立“物理直觉”	ChipWhisperer 教程：CPA 恢复 AES 密钥、毛刺绕过校验；拆旧路由器/开发板：UART/JTAG/SPI dump；binwalk + Ghidra 分析固件
阶段 2 体系化（3–6 月）	标准与架构全景	精读本讲义第 3/4/10 章 + GP TEE/SESIP/PSA 原文；FIPS 140-3 与 GM/T 0028 对照；读 OP-TEE、OpenTitan 源码与文档；QEMU 里跑通 OP-TEE
阶段 3 深钻（6–12 月）	选定方向形成专长	跟踪 TCHES/S&P；方向候选：PQC 硬件加速（NTT）、CCA/机密计算、微架构安全、侧信道评估方法学；参加 Hack@DAC 类比赛或复现经典攻击

11.6 学术机构地图与标准/专利工作

11.6.1 国内外代表性研究力量

机构	与硬件安全相关的标签
KU Leuven COSIC（比利时）	格密码与侧信道重镇（掩码、泄漏评估方法学发源地之一）
波鸿鲁尔大学 HGI（德国）	嵌入式安全传统重镇（Christof Paar 团队，CHES 会议创始）
TU Graz（奥地利）	Rowhammer、Meltdown、MDS 等微架构攻击系列
ETH Zürich / Columbia 等	系统与体系结构安全（推测执行防御、内存安全硬件）
Weizmann 研究所（以色列）	开创性侧信道研究：声学、缓存与电源分析（Shamir 团队）
中科院软件所（ISCAS）	蓬莱 Penglai TEE（RISC-V）、系统安全与形式化
上海交通大学 LoCCS	TEE/侧信道/密码工程团队
清华/浙大/复旦等	硬件安全、密码芯片、AI 安全多个团队；CACR 全国密码算法竞赛主力

学术跟踪入口：TCHES 与四大顶会（本章开头表）、IACR ePrint、各届 TCHES/CHES 的 Tutorial 讲义（系统入门材料）。
产学合作模式：联合实验室、开源共建（OpenTitan/蓬莱/openHiTLS 都是“以开源引入学术源头”的样板）、人才联合培养与实习通道。

11.6.2 标准提案与专利布局

标准参与路径：跟进解读（读懂 PP/规范与投票流程）→ 提案贡献（向 CCSA/GlobalPlatform/TCG/ISO 提交文稿与测试用例）→ 争取编辑/召集人角色；企业内对应“技术路标 → 标准输入”的常态化机制。
专利布局三层法：算法/协议层（核心方案）→ 架构/实现层（RoT、加速器、掩码电路、启动链）→ 测评方法层（攻击与评估装置、检测方法）——硬件安全专利大多落在后两层；具备标准必要专利（SEP）与 FRAND 授权意识。
写作建议：技术洞察可以整理成白皮书、标准提案与专利族三种形式输出（《华为算力基础设施安全技术白皮书》即是一例，见第 8 章）。

11.7 社区与资讯

国际：IACR ePrint/TCHES（论文）、Hackaday（硬件拆解与改造社区）、各家安全实验室博客（Riscure、Google Project Zero，其 TEE 与固件研究系列质量很高）。
国内：安全客、安全内参、看雪、FreeBuf；标准动态关注全国网安标委、国家密码管理局与商用密码检测中心发布。

◆ 厂商实践与拓展华为的公开资源可以配合这条路线使用：阶段 2 阅读鲲鹏 BoostKit 机密计算文档与 openHiTLS 源码，阶段 3 跟进华为在 TCHES 与学术会议上的论文以及蓬莱开源项目（第 8 章）。学习过程中走到了哪一步、动手做过什么，如实盘点即可，比单纯背概念更有说服力。

附录 A 术语速查表

本表按主题归类收录全篇术语；英文全称与一句话解释便于快速查阅与复习。

密码与算法

缩写	全称	解释
AES	Advanced Encryption Standard	分组密码标准（128/192/256 位密钥，SPN 结构）
DES/3DES	Data Encryption Standard	56 位密钥已破；3DES 有效 112 位、已弃用
SM1/SM4/SM7	国密分组密码	SM4 公开（GB/T 32907），SM1/SM7 以芯片形式提供
ZUC	祖冲之算法	国密流密码，3GPP LTE 加密/完整性算法 128-EEA3/EIA3
RSA	Rivest-Shamir-Adleman	基于大整数分解的公钥算法；≥3072 位才等效 128 位强度
ECC	Elliptic Curve Cryptography	椭圆曲线密码（ECDSA 签名/ECDH 交换），密钥短效率高
SM2/SM9	国密公钥算法	SM2 为 256 位椭圆曲线；SM9 为标识密码（IBC）
AEAD	Authenticated Encryption with AD	认证加密：GCM、ChaCha20-Poly1305
MAC/HMAC/CMAC	Message Authentication Code	带密钥的完整性/认证，无不可否认性
KDF	Key Derivation Function	从口令/主密钥派生子密钥（HKDF、PBKDF2）
PKI/X.509	Public Key Infrastructure	证书体系：CA 签发，证书链验证
PQC	Post-Quantum Cryptography	抗量子密码：格/哈希/编码/多变量等路线
KEM	Key Encapsulation Mechanism	密钥封装机制：ML-KEM（FIPS 203）、HQC
ML-DSA/SLH-DSA/FN-DSA	PQC 数字签名	FIPS 204（格）/ 205（哈希）/ 206（Falcon，草案）
NTT	Number Theoretic Transform	格密码核心运算的硬件加速原语

攻击与防护

缩写	全称	解释
SCA	Side-Channel Attack	侧信道攻击（时序/功耗/电磁/声学/缓存）
SPA/DPA	(Differential) Power Analysis	简单/差分功耗分析；CPA 为其相关分析版本
SEMA/DEMA	(Differential) EM Analysis	电磁侧信道分析（近场探头）
FI	Fault Injection	故障注入：电压/时钟毛刺、激光、EMFI、温度
EMFI	Electromagnetic Fault Injection	电磁脉冲故障注入，无需开封
DFA	Differential Fault Analysis	差分故障分析（如对 AES 最后轮）
Bellcore 攻击	—	RSA-CRT 签名单故障即可分解 N 求私钥
Masking/Hiding	掩码 / 隐藏	侧信道防护两大流派：分共享 vs 降信噪比
WDDL	Wave Dynamic Differential Logic	双轨双相平衡逻辑（隐藏类防护）
TVLA	Test Vector Leakage Assessment	Welch t 检验的泄漏评估方法
FIB	Focused Ion Beam	聚焦离子束：侵入式修改/逆向电路
TRNG/DRBG	(True) RNG / Deterministic RBG	真随机与确定性随机数发生器（SP 800-90）
PUF	Physical Unclonable Function	物理不可克隆函数：制造随机性生成密钥/ID
Rowhammer	—	DRAM 反复激活导致相邻行位翻转的故障类攻击

可信计算与 TEE

缩写	全称	解释
RoT	Root of Trust	硬件可信根：信任链起点（ROM/OTP/PUF/SE）
CRTM	Core Root of Trust Measurement	度量链的第一个不可变代码
SRTM/DRTM	Static / Dynamic RTM	静态度量（启动链）/ 动态度量（Intel TXT、AMD SKINIT）
TPM	Trusted Platform Module	TCG 可信平台模块（PCR/EK/AK/密封，ISO 11889）
TCM/TPCM	Trusted Cryptography / Platform Control Module	中国可信密码模块（国密）/ 可信平台控制模块
HSM	Hardware Security Module	硬件安全模块：密钥不出模块（FIPS 140-3 L1 L4）
SSM	Server Security Module	服务器密码机（GM/T 0030），云化形态为云密码机/VSM
SE/eSE/inSE	Secure Element	安全单元：SIM/eSE/inSE，抗物理攻击最强
TEE/TA/CA	Trusted Execution Environment / Trusted App / Client App	可信执行环境/可信应用/客户端应用
REE	Rich Execution Environment	富执行环境（普通 OS），与 TEE 隔离
SMC	Secure Monitor Call	ARM 安全世界切换指令，陷入 EL3 Secure Monitor
TZASC/TZPC	TrustZone Address Space / Protection Controller	TrustZone 内存与外设访问控制
SGX	Software Guard Extensions	Intel 用户态飞地（EPC 加密内存、EPID/DCAP 证明）
SEV/SNP	Secure Encrypted Virtualization / Secure Nested Paging	AMD 内存加密虚机；SNP 增加完整性与证明
TDX	Trust Domain Extensions	Intel 虚机粒度机密计算（T-Module/SEAM）
CCA/RME	Confidential Compute Architecture / Realm Management Ext.	ARMv9 机密计算：Root/Secure/Realm/Non-secure 四状态 + GPT
RMM	Realm Management Monitor	管理 Realm 生命周期、不在 Realm 信任边界内的固件
OP-TEE	Open Portable TEE	Linaro 开源 TEE OS；华为对应产品为 iTrustee
FIPS 140-3	Federal Information Processing Standard	密码模块安全等级 L1 L4（L4 含环境失配防护）
CC/EAL	Common Criteria / Evaluation Assurance Level	信息技术安全评估通用准则，EAL1 7
GM/T 0028/0030/0018	商用密码标准	密码模块安全要求 / 服务器密码机 / 密码设备应用接口（SDF）

微架构与系统

缩写	全称	解释
OoO	Out-of-Order Execution	乱序执行：瞬态执行攻击的根源之一
BTB/RSB	Branch Target Buffer / Return Stack Buffer	分支目标/返回栈缓冲器：Spectre v2 的注入点
KPTI	Kernel Page Table Isolation	内核页表隔离：Meltdown 的缓解
IBRS/IBPB/STIBP	Indirect Branch Restricted / Barrier Speculation	Spectre v2 微码缓解；硬件版为 eIBRS
CSV2/CSV3	Cache Speculation Variants	ARM 对 Spectre v2/v4 类风险的架构承认与硬件缓解位
L1TF/MDS	L1 Terminal Fault / Microarchitectural Data Sampling	Foreshadow 与缓冲区采样类瞬态攻击
LVI	Load Value Injection	向飞地推测计算注入数据的攻击（需重编译缓解）
TRR/ACT-RH	Target Row Refresh / ACTivation limit for RowHammer	Rowhammer 的 DRAM 级防护（DDR5 为刷新计数器）
JTAG/SWD	— / Serial Wire Debug	IEEE 1149.1 调试/测试口；SWD 为 ARM 两线版
TAP	Test Access Port	JTAG 控制器状态机（IR/DR 移位）
ADAC	Authenticated Debug Access Control	ARM 认证调试：挑战-响应授权调试口
RMA	Return Merchandise Authorization	返修生命周期状态：擦密钥后授权调试
DFU	Device Firmware Update	USB 刷机模式，常为攻击入口
SBOM/HBOM	(Hardware) Software Bill of Materials	软/硬件物料清单，供应链透明化工具
3PIP	Third-Party Intellectual Property	第三方 IP 核：硬件木马可能来源

业界产品、标准与工具

缩写/名称	全称	解释
SEP	Secure Enclave Processor	Apple 独立安全协处理器：自带 Boot ROM/AES 引擎，生物特征与支付密钥不出 SEP
Pluton	—	微软定义、集成在 CPU 裸片内的安全处理器（AMD/高通已量产），定位替代离散 TPM
Titan M2	—	Google Pixel 安全芯片（Pixel 6 起），基于开源 OpenTitan 设计
Knox Vault	—	三星 Galaxy 独立抗物理攻击安全芯片（独立 PCB 与传感器）
SPU	Secure Processing Unit	高通 Snapdragon 集成的安全处理单元
Nitro	—	AWS 体系：Nitro Security Chip（服务器 RoT）与 Nitro Enclaves（EC2 内隔离环境）
OpenTitan	—	lowRISC 托管的开源硅可信根项目（Earl Grey SoC）
Caliptra	—	OCP/CHIPS 联盟的数据中心 SoC 片内 RoT 开源规范
DICE/DPE	Device Identifier Composition Engine	TCG 轻量级设备身份派生/证明概要（受限设备 RoT）
AVB	Android Verified Boot	Android 逐级验签启动 + rollback index 防回滚
Keymaster/KeyMint	—	Android TEE 内密钥服务接口（KeyMint 为后继版本）
StrongBox	—	由 SE 支撑的 Android 最高等级密钥库
RPMB	Replay Protected Memory Block	eMMC/UFS 防重放写保护分区，TEE 用作防回滚安全存储
Widevine	—	Google DRM 方案，L1 级要求解密在 TEE 内完成
PSA Certified	Platform Security Architecture	Arm 物联网安全框架：10 安全目标，认证分三级（L3 含渗透测试）
SESIP	Security Evaluation Standard for IoT Platforms	GlobalPlatform 的 IoT 平台评估标准（等级 1–3）
SHE	Secure Hardware Extension	HIS 定义的车载 MCU 内置 AES 安全模块（最普及的车载安全形态）
EVITA	—	欧盟项目定义的车载 HSM 分级：Light/Medium/Full
ISO/SAE 21434	—	汽车网络安全工程标准（2021）
UNECE R155/R156	—	车辆网络安全管理体系（CSMS）/软件更新（SUMS）法规，车型准入强制
IEC 62443	—	工业控制系统安全标准（分区/管道，SL1–4）
NESAS/SCAS	Network Equipment Security Assurance Scheme	3GPP/GSMA 网络设备安全保证框架
PCI PTS	PIN Transaction Security	POS 终端安全要求与认证
Ascon	—	NIST 2023 选定的轻量级密码标准（SP 800-232）
FIDO2/CTAP	Fast IDentity Online	免密认证协议族，硬件安全密钥内置 SE 承载私钥
SLSA	Supply-chain Levels for Software Artifacts	软件构建供应链完整性分级框架（L1–L3）
ChipSEC	—	Intel 发起的开源平台/UEFI 安全评估框架
DCI	Direct Connect Interface	Intel 客户端 CPU 的调试接口
TCHES	Transactions on Cryptographic Hardware and Embedded Systems	IACR 密码硬件顶刊（CHES 会议并入）

隐私计算、体系结构与底软（补充）

缩写/名称	全称	解释
FHE	Fully Homomorphic Encryption	全同态加密：密文上算任意函数（格上构造、抗量子）；Gentry 2009 首创
PHE	Partially Homomorphic Encryption	部分同态：RSA/ElGamal（乘法）、Paillier（加法），ISO/IEC 18033-6
Bootstrapping	—	自举：在密文域执行解密电路刷新噪声，恢复同态能力
BGV/BFV	—	精确整数/模运算向量同态方案族
CKKS	—	近似实数向量同态方案，AI 密态推理首选
TFHE/CGGI	—	布尔门同态方案族，自举最快（毫秒级）
MPC	Secure Multi-Party Computation	多方安全计算：秘密分享/混淆电路，交互式隐私计算
DP	Differential Privacy	差分隐私：统计输出加噪，数学可证明隐私预算
FL	Federated Learning	联邦学习：数据不动模型动，常与 FHE/DP/TEE 叠加
DPRIVE	DARPA program	美国 DARPA 的 FHE 硬件加速计划（F1/CraterLake 等）
CET	Control-flow Enforcement Technology	x86 控制流强制：SHSTK 影子栈 + IBT 间接分支跟踪
PAC/BTI	Pointer Authentication / Branch Target Identification	ARM v8.3/v8.5 控制流完整性硬件
MTE	Memory Tagging Extension	ARM v8.5 内存标签：硬件检测 UAF/越界
MPK/PKS	Memory Protection Keys	x86 页保护键（用户态 PKU / 内核态 PKS）
SMAP/SMEP	Supervisor/User Mode Access/Execution Prevention	x86 内核态禁访问/执行用户态内存
PMP	Physical Memory Protection	RISC-V M 模式物理内存划区原语，TEE 基石
Zk 扩展	RISC-V Scalar Crypto	标量加密指令：Zkne/Zknd（AES）、Zknh（SHA-2）、Zksed/Zksh（SM4/SM3）
IOMMU	I/O Memory Management Unit	设备 DMA 地址重映射与隔离，堵 DMA 攻击
Double-fetch	—	共享内存双取竞态（TOCTOU），Bochspwn 类方法检测
SMM/SMRAM	System Management Mode	x86 最高特权模式及其保留内存，UEFI 攻防焦点
AIS-31	—	德国 BSI 随机数评估标准（PTG.2/PTG.3）
KAT	Known-Answer Test	已知答案测试：密码算法符合性验证基本手段
MIG	Multi-Instance GPU	NVIDIA GPU 硬件切分，多租户物理隔离

参考资料

官方标准与白皮书

NIST PQC 标准：FIPS 203/204/205 正式发布（2024-08）、HQC 选定（2025-03，IR 8545）
国家密码管理局公告：第 46 号（抗量子迁移技术架构）、第 55 号（迁移敏捷性评价）；后量子密码进展（2025-04）
华为：《华为算力基础设施安全技术白皮书——端管云协同》（PDF）、《HarmonyOS NEXT 安全技术白皮书》
鲲鹏机密计算：机密计算 TrustZone 套件、机密计算 TEE 套件（机密虚机）
ARM：Arm CCA 官方介绍；TCG TPM 2.0（ISO/IEC 11889）；GlobalPlatform TEE 规范
华为云：DEW 密码安全中心（KMS/CSMS/KPS/DHSM）

经典论文与报告

P. Kocher, “Timing Attacks on Implementations of Diffie-Hellman, RSA, DSS, and Other Systems”, CRYPTO 1996.
P. Kocher et al., “Differential Power Analysis”, CRYPTO 1999.
C. Brier, O. Clavier, F. Olivier, “Correlation Power Analysis with a Leakage Model”, CHES 2004.
D. Boneh, R. DeMillo, R. Lipton, “On the Importance of Checking Cryptographic Protocols for Faults”, EUROCRYPT 1997（Bellcore 攻击）.
S. King et al., “Designing and Implementing Malicious Hardware”, LEET 2008.
P. Kocher et al., “Spectre Attacks”, IEEE S&P 2018；M. Lipp et al., “Meltdown”, IEEE S&P 2018.
J. Van Bulck et al., “Foreshadow: Extracting the Keys to the Intel SGX Kingdom with Transient Out-of-Order Execution”, USENIX Security 2018.
F. Zhang et al., “Penglai Enclave”（OSDI 2021: Scalable Memory Protection in the PENGLAI Enclave）；Keystone（RISC-V TEE）.
B. Moghimi et al., “TPM-FAIL”（2019）；“LVI”（2020）；“TEE.Fail”（2024）.

学习资源与工具

教材：Mukhopadhyay & Chakraborti, Hardware Security: A Hands-On Learning Approach；Anderson, Security Engineering；冯登国等《安全协议》与国内商密标准体系（GM/T 系列）。
课程：Coursera “Hardware Security”（Maryland, Gang Qu）；NYU/CMU 硬件安全公开课。
实践平台：ChipWhisperer（侧信道/故障注入入门）、Riscure、Trust-Hub（硬件木马基准）、binwalk/flashrom/JTAGulator（嵌入式攻击链工具）。
检索：Google Patents / 国家知识产权局（申请人 = 华为 + 侧信道 / TEE / 可信根 / 后量子）。

开源项目与社区资源

RoT/TEE：OpenTitan、Caliptra、OP-TEE、TF-A / TF-M、Keystone、CHERI、蓬莱 Penglai、openHiTLS
平台评估与固件：ChipSEC、TianoCore EDK2、coreboot、U-Boot、QEMU
研究数据集：DPA Contest、ASCAD、Trust-Hub

标准组织与评估机构

组织：TCG、GlobalPlatform、PSA Certified、EMVCo、PCI SSC、NIST CSRC、IACR（TCHES、ePrint）
评估机构（业界主流）：SGS Brightsight、Riscure、UL、TÜV Rheinland/SÜD、Applus Laboratories；国内：商用密码检测中心、中国网络安全审查认证和市场监管大数据中心
课程：Coursera《Hardware Security》（马里兰大学 Gang Qu）；MIT OCW 6.858；各年 CHES/TCHES 教程（Tutorial Sessions）