智能终端安全：硬件安全技术—加密芯片

Preface

在基础硬件具备自主可控的能力之后，在上层应用方面进行必要的安全加固就成为了终端安全的主要工作，其中硬件加密工作作为应用安全加固的基础工作之一，加密芯片是不可或缺的加密硬件。

在U盾、智能卡、读卡器、加密板卡等产品中，以及网上银行、移动支付、数据安全、保密通信、版权控制和智能电网等领域，加密芯片都作为其中的一个重要的基础安全功能单元被广泛使用。

从定义上说，加密芯片是一个具备独立生成密钥以及数据加解密能力的集成电路芯片，实现多种密码算法，使用密码技术保存密钥和敏感信息。

加密芯片内部拥有自己的CPU和存储器，用于加解密计算、存储密钥和敏感数据，为加密产品提供数据加解密和认证的服务。使用加密芯片进行加密的产品，由于密钥和加密数据被存储在加密芯片中，难以从外部窃取和解密，这样也就实现了保护数据安全的目标。

截至2015年6月，国家密码管理局已经认证了100多款国产的商用密码加密芯片产品。根据国家密码管理局商用密码检测中心发布的《安全芯片密码检测准则》，加密芯片被划分为3个安全等级。

•其中，安全等级1（最低等级）要求芯片能够应用在可以保证物理安全和输入输出信息安全的场合；•安全等级2和安全等级3（最高等级）则要求芯片能够应用在无法保证物理安全和输入输出信息安全的场合，这就要求芯片必须具备相应逻辑和物理保护措施以保护敏感数据。

无论是何种等级的加密芯片都需要具备真随机数的生成能力，这就要求安全芯片必须具备根据电压、温度、频率等物理随机源直接生成随机数或者直接生成随机扩展算法的初始输入的能力。

在具备真随机数生成能力的基础上，加密芯片也必须要具备实现密码算法的能力，对于安全等级2和安全等级3的加密芯片，要求密码算法必须在专用硬件模块上实现。对于国家密码管理局认证的商密加密芯片产品，必须要使用国密算法，如分组密码算法中的SM1算法和SM4算法，公钥密码算法中的SM2椭圆曲线算法，杂凑密码算法中的SM3算法，序列密码算法中的祖冲之（ZUC）算法。

国密算法学不学

对于分组密码算法，加密芯片一般都支持ECB（Electronic Codebook，电码本工作模式）和CBC（Cipher-block Chaining，密码分组链接工作模式）模式。

对于安全等级2和安全等级3的加密芯片，由于可能工作在无法保证物理安全和输入输出信息安全的场合，因此需要具备防护各种攻击的能力，包括计时攻击、能量分析攻击、电磁分析攻击和故障攻击等，也需要具备密钥和敏感信息的自毁能力，以保证信息不被泄露。

对于一般的商用密码加密芯片产品，通常会采用国密算法，这些国密算法一般是在有限范围内公开，多数仅通过硬件加密模块实现，保证了一定级别的安全性。而对于有更高安全要求的专用密码安全芯片，如应用在一些军用或者国家机密场合的安全芯片，技术实现原理与商用密码安全芯片类似，但是会使用不公开的加密算法以达到更高的安全级别。

对于有着一定安全级别要求的保密场景，手机终端可以使用加密芯片对终端的应用数据进行加密存储和加密传输。如对于用户通信使用的电话、短信这些基础业务，可以通过加密芯片以及终端的必要改造实现通信数据的加密传输，运营商可以为有需求的用户提供加密通信的业务来保证用户通信的安全。(脑子里有没有想到以前电影里面看到特工用的放监听电话)

随着移动互联网的发展，手机不再仅是一个通信工具，而是具备了移动电子商务、移动支付、移动互联网金融、移动政务、移动执法、移动办公等多种功能的智能终端，通过加密芯片以及相应应用的必要改造也可以对用户的这些个人信息、商务信息以及金融信息实现安全防护。

下一篇学习一下SIM卡安全技术

话外

SIM：subscriber identify module，客户识别模块。SIM卡又称智能卡或用户身份识别卡，主要用于数字蜂窝移动电话的用户识别。手机只有在插入SIM卡后，才能入网使用。

我们现在将注意力放到了CPU、GPU这些先进工艺的芯片，但是对于SIM卡、IC卡这些芯片没有太留意到。这是自然的，IC卡芯片、SIM卡芯片和身份证芯片的设计难度都不大，芯片设计中难度最高的是处理器。

但是你还有映像吗？在我们0几年的时候电话卡也很贵。这是因为此前，我们的手机里用的那张小小的SIM卡，中国自己还生产不了，全部必须进口，平均价格为82元。

华虹集团将中国芯片供应受制于人的局面打开了一个缺口。在华虹NEC打破进口依赖后，国内SIM卡平均价格跌到了8.1元。8KB容量的IC卡芯片原本价格高达四五美元，在华虹NEC能生产后，32KB容量的IC卡芯片的价格也才不到1美元。中国在智能IC卡领域已经建立了从芯片设计、生产、模块与IC卡片制造、读写机具研制到应用系统软件开发的一个完整的产业链，华虹集团占据了国内IC卡市场80%以上的份额。华虹NEC为中国的IC卡事业做出了卓越的贡献。

北华虹于2002年底入围中国移动和中国联通的供应商后，次年即销售SIM卡320万张，实现2500万元的销售收入。2004年，北华虹销售额过亿元，还实现了向全球最大的IC卡公司法国金普斯(GEMPLUS)的供货。

当然故事总是有好有坏。

华虹集团在上海和北京分别设立了被称作“南华虹”和“北华虹”的两家芯片设计公司。考虑到芯片设计的巨大难度和国内芯片设计人才的匮乏，南华虹选择了国内市场急需、设计难度较小且能体现国家意志的芯片作为切入点，以IC卡芯片、通信芯片等作为产品开发方向。

北华虹是中国最早尝试做手机基带芯片设计的企业之一。1998年12月，信息产业部和国家计委联合发出了《关于加快移动通信产业发展的若干意见》，提出要大力扶持具有自主知识产权的移动通信产品的发展。1999年，在信息产业部电子发展基金专项2.5G手机核心技术项目的招标中，北华虹成为唯一一家中标的集成电路设计企业。

随后，北华虹和德州仪器合作开发2.5G手机基带芯片，后来发现设计难度太大，至少需要两年时间才能做出产品，做出来后还不一定有价格竞争力或获得市场应用。于是，北华虹才转向设计比较低端的通信智能卡芯片。当时，中国正准备推自己的3G移动通信标准，因此必须要有相应的手机基带芯片配套。有国家支持背景的北华虹尚且知难而退，中国还能有自己的手机基带芯片设计企业吗？

内容摘自《芯片战争》

参考资料

•移动互联网时代的智能终端安全