ARM-V9 RME(Realm Management Extension)系统架构之系统安全能力的信任根服务

安全之安全(security²)博客目录导读

目录

一、信任根服务

1、非易失性存储

2、根看门狗

3、随机数生成器

4、加密服务

5、硬件强制安全性


本节定义了系统架构必须支持的一般安全属性和能力,以确保RME安全性。 本章扩展了可能属于系统认证配置文件的一部分的其他安全规范,例如基于信任的系统架构。

一、信任根服务

1、非易失性存储

本节描述了根非易失性存储(Root Non-Volatile Storage,RNVS)的系统架构要求。

根非易失性存储(RNVS)是片上非易失性存储资源,例如熔丝或片上闪存,用于存储Arm CCA不可变的引导参数。

必须在根PAS(Root PAS)中有一个编程接口,允许对RNVS进行读写访问。

RNVS参数可以概念上分为两类:公共参数和机密参数。

系统支持一种方法,永久阻止应用PEs(Processing Elements)对所有RNVS参数的写访问。

系统支持一种方法,永久阻止应用PEs读取RNVS机密参数。

下表提供了RNVS公共参数的示例。

系统属性是一个结构,允许系统集成商向 MSD 报告所选择的 RME 系统实现选项集。

系统对系统属性中报告的任何内存保护属性的支持是不可变的,并适用于系统中所有的 DRAM 内存控制器。

RNVS 机密参数是不可变的机密材料,例如硬件唯一密钥 (HUK) 和其他私钥。

RNVS 的物理实现和工厂配置方法取决于系统的安全认证配置文件,必须符合屏蔽位置或隔离位置的要求。

2、根看门狗

术语根看门狗指的是由 MSD 或受信任的子系统专门控制的看门狗。RME 实现可以包括一个根看门狗,用于检测和恢复 MSD 功能故障。

根看门狗的内存映射寄存器位于根 PAS 中。

根看门狗能够在满足预定义的到期条件时触发 RME 系统复位。

对于通用看门狗实现,这可以通过将看门狗信号 1 (WS1) 路由到受信任的子系统(例如受信任的 SCP)或直接触发 RME 系统复位的硬件来支持。

当满足预定义的到期条件时,根看门狗可以向 EL3 生成中断。将看门狗中断安全地传递到 EL3 的方法由具体实现决定。

3、随机数生成器

MSD 和 RMSD 提供了一个私有接口,用于访问符合系统认证配置文件的真随机数生成器 (TRNG)。

4、加密服务

RME系统架构不指定通用加密服务的硬件要求,例如:

  • 加密密码模式和消息认证码
  • 公钥加密
  • 密钥生成和密钥派生函数(KDF)
  • 安全密钥存储和安全测量存储
  • 单调计数器和可信时间

MSD和RMSD可以使用利用各种A-profile加密扩展的软件库来实现所需的加密功能,例如AES-GCM-256或SHA。

其他加密功能可能作为系统服务由SSD实现,并通过根PAS中的内存映射接口公开。

5、硬件强制安全性

本节规定了支持硬件强制安全(HES)的RME系统的规则。HES将关键的Arm CCA安全特性从应用处理单元(PEs)移到一个隔离的受信任子系统中,该子系统负责Arm CCA的初始测量、身份和认证服务、调试认证和生命周期状态管理。

HES功能可以托管在一个专用的受信任子系统上,也可以作为多租户受信任子系统中的一个隔离租户。

HES实现集成了RNVS功能、加密功能和安全测量存储,形成一个不与应用PEs共享资源的私有执行环境。这允许:

  • 保证在应用PE上运行的固件不能影响Arm CCA的初始测量或Arm CCA的初始引导状态。
  • 通过防止应用PEs直接访问根密钥或对根密钥进行操作,实现对关键Arm CCA资源的物理隔离。

Arm强烈建议RME系统支持HES。

HES实现具有私有的执行资源、内存资源和加密资源,这些资源不与应用PEs或其他硬件代理共享。系统可以进一步为HES实现提供私有的复位、时钟和电源域,使其能够独立于系统电源状态维护上下文。

HES实现可以包括一个可更新的组件,例如固件镜像。HES可更新组件由不可变的HES逻辑进行测量,并且测量结果包含在由HES组成和签名的认证令牌中。

如果HES托管在多租户受信任子系统中,则必须将HES功能与其他租户隔离开来,以使租户不能监视HES功能或影响HES功能或完整性。

HES实现向SSD组件(如受信任的子系统)公开私有接口,用于请求HES服务。

HES为SSD提供的服务可能包括:

  • 使用SSD计算的摘要扩展一个或多个测量。
  • 使用SSD提供的镜像或引导状态(例如受信任的SCP镜像)计算摘要,并将该摘要与测量一起扩展。

HES实现在根PAS中公开了一个编程接口,所有应用PE共享,允许MSD和PE初始引导ROM请求HES服务。

HES为PE初始引导ROM提供的服务包括:

  • 使用PE初始引导计算的摘要扩展一个测量。

HES为MSD提供的服务包括:

  • 为MSD组成和签名一个初始认证令牌。
  • 使用MSD计算的摘要扩展一个或多个测量,例如测量RMSD镜像的摘要。

HES具有对RNVS机密参数的独占读写访问权限。

测量寄存器可以使用安全哈希算法进行扩展、锁定或重置。

HES具有对其拥有的测量寄存器进行扩展、锁定和可靠获取值的独占访问权限。

一旦锁定,测量就不能再进行扩展,直到进行重置。

RME系统复位是重置HES拥有的测量的唯一方法。

在RME系统复位时,HES状态被重置为已知值,包括所有测量和临时的加密上下文。

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.rhkb.cn/news/337803.html

如若内容造成侵权/违法违规/事实不符,请联系长河编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

k8s之PV、PVC

文章目录 k8s之PV、PVC一、存储卷1、存储卷定义2、存储卷的作用2.1 数据持久化2.2 数据共享2.3 解耦2.4 灵活性 3、存储卷的分类3.1 emptyDir存储卷3.1.1 定义3.1.2 特点3.1.3 用途3.1.4 示例 3.2 hostPath存储卷3.2.1 定义3.2.2 特点3.2.3 用途3.2.4 示例 3.3 NFS存储卷3.3.1 …

SQL数据库多表创建之一对多、多对多表创建

MySQL多表创建关联及操作_mysql创建关联表-CSDN博客文章浏览阅读1.1k次,点赞21次,收藏20次。表与表之间的关系表语表之间的关系,说的就是表与表数据之间的关系。_mysql创建关联表https://blog.csdn.net/2401_83641392/article/details/137031…

【计算机毕业设计】345大学生心理健康测评管理系统小程序

🙊作者简介:拥有多年开发工作经验,分享技术代码帮助学生学习,独立完成自己的项目或者毕业设计。 代码可以私聊博主获取。🌹赠送计算机毕业设计600个选题excel文件,帮助大学选题。赠送开题报告模板&#xff…

matlab GUI界面设计

【实验内容】 用MATLAB的GUI程序设计一个具备图像边缘检测功能的用户界面,该设计程序有以下基本功能: (1)图像的读取和保存。 (2)设计图形用户界面,让用户对图像进行彩色图像到灰度图像的转换…

【Python】解决Python报错:AttributeError: ‘NoneType‘ object has no attribute ‘xxx‘

🧑 博主简介:阿里巴巴嵌入式技术专家,深耕嵌入式人工智能领域,具备多年的嵌入式硬件产品研发管理经验。 📒 博客介绍:分享嵌入式开发领域的相关知识、经验、思考和感悟,欢迎关注。提供嵌入式方向…

【vue】v-for只显示前几个数据,超出显示查看更多

v-for只显示前几个数据&#xff0c;超出显示查看更多 如图 <div v-for"(item,index) in list.slice(0,3)" :key"index"><div class"degreeNo" :class"index0?noOne:index1?noTwo:index2?noThree:"> NO{{index1}}:<…

【蓝桥杯国赛】双指针

适用于以下的情境&#xff1a; ① 数组 / 字符串中&#xff0c;有多少个满足情况的连续区间。 ② 数组 / 字符串&#xff0c;合并。 【第十三届pythonB组试题&#xff1a;近似gcd】 1. 题目描述 2. 难度&#xff1a;⭐⭐⭐⭐ 3. 思考分析&#xff1a; 具体参考&#xff…

Geotools--生成等值线

好久没用geotools去写东西了&#xff0c;因为近几年一直在接触所谓数字孪生和可视化相关项目&#xff0c;个人的重心也往前端可视化去倾斜&#xff0c;在后端的开发上到变得停滞下来。 这次用的是geotools 28.4版本&#xff0c;生成等值线的方法在 <dependency><group…

【源码】多语言H5聊天室/thinkphp多国语言即时通讯/H5聊天室源码/在线聊天/全开源

多语言聊天室系统&#xff0c;可当即时通讯用&#xff0c;系统默认无需注册即可进入群聊天&#xff0c;全开源 【海外聊天室】多语言H5聊天室/thinkphp多国语言即时通讯/H5聊天室源码/在线聊天/全开源 - 吾爱资源网

使用Python库Matplotlib绘制常用图表类型

使用Python库Matplotlib绘图 一、Matplotlib绘图参数设置1.1 设置分辨率和画布大小1.2 保存图片并设置边缘留白为紧凑型1.3 设置坐标轴标签1.4 画直线设置线宽和颜色1.5 画子图1.5.1 通过figure的add_subplot()画子图1.5.2 通过plt的subplots画子图 二、使用Matplotlib中scatte…

JWT-登录后下发令牌

后端 写一个jwt工具类&#xff0c;处理令牌的生成和校验&#xff0c;如&#xff1a; 响应数据样例&#xff1a; 前端要做的&#xff1a;

java多态——向下转型

引入 前面我尝试了一下这个代码 package b;public class main_ {public static void main(String[] args) {//向上转型&#xff0c;父类的引用转向了子类的father_ animalnew graduate();Object objnew graduate();System.out.println(animal.name);System.out.println(obj.n…

三相智能电表通过Modbus转Profinet网关与PLC通讯案例

Modbus转Profinet网关&#xff08;XD-MDPN100/300&#xff09;的主要功能是实现Modbus协议和Profinet协议之间的转换和通信。Modbus转Profinet网关集成了Modbus和Profinet两种协议&#xff0c;支持Modbus RTU主站/从站&#xff0c;并可以与RS485接口的设备&#xff0c;它自带网…

「Java开发指南」如何用MyEclipse搭建Spring安全策略?

本教程将引导您向现有的Web应用程序添加Spring安全策略&#xff0c;在本教程中您将学习如何&#xff1a; 搭建Spring安全策略部署应用程序 注意&#xff1a;搭建Spring需要MyEclipse Spring或Bling授权。 MyEclipse v2023.1.2离线版下载(Q技术交流&#xff1a;742336981&…

python-双胞胎字符串

[问题描述]&#xff1a;给定两个字符串s和t&#xff0c;每次可以任意交换s的奇数位和偶数位的字符&#xff0c;即奇数位的字符可以与任意其它奇数位的字符交换&#xff0c;偶数位的字符同样也可以与任意偶数位的字符的字符交换&#xff0c;问能否在有限的次数的交换下使s变为t?…

基于ELK的日志管理【开发实践】

文章目录 一、ELK简介1.1 ELK的作用与应用1.2 ELK的组成1.3 Elasticsearch1.4 Logstash1.5 Kibana1.6 ELK架构简述1.7 基础知识1.7.1 数据格式1.7.2 正排索引和倒排索引1.7.3 全文搜索 二、ES入门---基于HTTP的使用方式&#xff08;了解&#xff09;2.1 索引操作2.1.1 创建索引…

线性代数|机器学习-P2 A的列向量空间

文章目录 1. Ax矩阵的形式2. ACR 矩阵分解2.1 rank1 矩阵分解2.2 rank2 矩阵分解2.3 ACMR,求M 3. Ax 向量 1. Ax矩阵的形式 假设我们有如下矩阵A&#xff1a; A x [ 2 1 3 3 1 4 5 7 12 ] [ x 1 x 2 x 3 ] \begin{equation} Ax\begin{bmatrix} 2&1&3\\\\ 3&1&am…

开源博客项目Blog .NET Core源码学习(29:App.Hosting项目结构分析-17)

本文学习并分析App.Hosting项目中后台管理页面的按钮管理页面。   按钮管理页面用于显示、新建、编辑、删除页面按钮数据&#xff0c;以便配置后台管理页面中每个页面的工具栏、操作栏、数据列中的按钮的事件及响应url。按钮管理页面附带一新建及编辑页面&#xff0c;以支撑新…

测试:ollama加载羊驼版本llama-3中文大模型

找了一个晚上各种模型&#xff0c;像极了当初找各种操作系统的镜像&#xff0c;雨林木风&#xff0c;深蓝、老毛桃…… 主要是官方的默认7B版本回答好多英文&#xff0c;而且回复的很慢&#xff0c;所以我是在ollama上搜索"chinese"找到了这个羊驼版本的&#xff0c…