面向智能嵌入式设备的轻量级证明机制研究

Smart embedded devices are the core components of various new computing environments such as Internet of Things and wearable devices. Extension with smart functions brings more security risks to embedded devices. Thus it is significant to conduct research on the security of embedded system and network, which is also the hotspot at home and abroad at present. The project mainly focuses on the attestation mechanism suitable for embedded environment. Firstly we study the method to build a generic security architecture for the tiny embedded platform, using the specific hardware and software resources existing in the current embedded device to implement three basic functions: trusted boot, secure storage and isolated execution. The security architecture could provide a basic trusted environment for attestation. Then we use the idea of software-based attestation to design a “one-to-one” lightweight remote attestation protocol, which can verify the identity and integrity of an embedded device (also called prover). Finally, we will develop scalable global attestation mechanisms, supporting the “one-to-many” and even “many-to-many” high-effective attestation methods, to satisfy the attestation requirements of swarm environment and distributed network environment consisting of large-scale tiny embedded devices. We will try to put forward some lightweight secure attestation methods, and provide security guidance for the application and development of embedded devices.

智能嵌入式设备是物联网、可穿戴设备等新型计算环境的核心组件，智能化功能扩展使得这些设备面临更多的安全风险，对嵌入式系统及其网络环境进行安全研究具有重要的现实意义，同时也是目前国内外研究的热点。本课题重点关注适合嵌入式环境的证明机制：首先研究通用嵌入式平台的安全体系构建方法，基于当前嵌入式设备固有的软硬件资源实现可信引导、安全存储和隔离执行三个基本功能，为证明机制提供基础可信环境；然后基于软件证明思想设计轻量级的“一对一”远程证明协议，对嵌入式设备（证明者）的身份标识和完整性状态进行验证；最后研制可扩展的全局证明机制，支持“一对多”和“多对多”的高效证明方法，满足大规模嵌入式设备构成的集群环境和分布式网络环境的证明需求。我们力争通过本课题的研究，提出一些轻量级的安全证明方案，为嵌入式设备的应用和发展提供安全指导。

证明机制主要关注终端设备的可信环境构建，并以此为基础，在网络中建立设备之间的信任关系，为整个计算机网络提供可信基石。基于安全芯片的远程证明协议是比较成熟的证明方案；但是，随着物联网、智能家居、车联网等新型计算环境的兴起，传统远程证明不再适用，需要针对新型场景中智能设备本身的特性构建新的证明机制，确立新的可信基本构建块。本课题面向新型智能嵌入式设备进行轻量级证明机制的研究，研究内容包含嵌入式可信安全体系构建、软件证明、安全代码更新、全局集群证明以及可信基本构建块的安全性分析与应用等。紧跟国际研究前沿，课题取得了一系列研究成果，具体包括：.（1）基于物理不可克隆函数PUF和软件证明机制为嵌入式设备设计了最小信任根构建组件，提出了一个轻量级证明与认证协议AAoT，无需任何硬件修改便可在资源受限的商品嵌入式硬件上实现设备身份认证和运行时软件完整性证明；并首次提出将PUF应用到安全代码更新中，设计了一个涵盖更新前、更新时、更新后全方位保护的高安全代码更新方案。.（2）深入分析了移动智能设备可信执行环境TEE的不足，使用片上存储OCM和TEE的隔离能力设计了一个安全性更高（等同于Intel SGX）的TEE构建体系，实现了最小安全内核、内存加密、可信计算功能等基本构建块，能抵抗板级物理攻击和内存侧信道攻击。.（3）为了弥补证明机制在运行时攻击上的不足，还提出了基于日志的动态控制流证明方法；为了满足大规模设备全局环境的证明需求，提出了基于设备分组的高效集群证明方法。.（4）在安全性分析方面，对可信机制的一些基本密码命令接口和授权协议进行了形式化分析；在应用方面，开发了可信工业控制系统和智能嵌入式操作系统安全软件，将可信功能与轻量级证明机制在工业控制、智能电网等场景进行了应用。.总之，本课题针对智能嵌入式设备提出的轻量级可信构建与证明机制，对提高物联网等新型智能场景的安全性起到重要作用。