SiliconLabs（也称为Silicon Labs）物联网安全高级产品经理Mike Dow最近解释了SiliconLabs如何在物联网设备的无线SoC中使用物理不可克隆功能（PUF）技术。 Silicone Labs在其SecureVault IoT安全软件中使用SRAMPUF技术，以利用SRAM固有的随机性来获得设备唯一的单个对称密钥。 SRAMPUF技术在市场上具有可靠的记录。由于我们的客户在现场部署的设备通常需要运行10年以上，因此我们需要具有长期可靠性历史的PUF技术。 Silicone Labs使用PUF创建密钥加密密钥（KEK），该密钥用于封装（加密）系统中的其他密钥并将其存储在内部或外部存储器中。 “因为该KEK仅用于访问包装密钥，所以其使用时间受到限制，从而限制了其对多种攻击的暴露。此外，重构KEK的过程仅在PoweronReset（POR）事件中发生。这进一步限制了对生成密钥过程的访问。在SiliconLabs设计中，除了加密密钥外，每一代密钥都由符合NIST标准的真正随机发生器（TRNG）执行。 “在这种设计中，除KEK以外的每个密钥生成都是由符合NIST标准的TRNG执行的，然后将密钥包装起来用于AES加密。在安全行业中，TRNG和AES技术是常见的，易于理解，测试和验证。 Silicon Labs还使用256位密钥来增强AES加密的强度，然后将差分功率分析（DPA）侧通道保护应用于AES算法，以进一步增强其对黑客攻击的抵抗力。该设备的所有密钥材料都以这种方式封装，包括生成并存储在一次性可编程（OTP）存储器中的ECC公共-私有身份密钥对。当实施需要许多对非对称密钥的复杂云安全方案时，能够将密钥安全地存储在几乎无限的内部或外部存储器中是一个主要优势。另一种方法是将其存储为纯文本格式，但是此方法需要高度物理安全的内存，这是复杂且保护成本很高的。陶氏说：“设计芯片时，必须选择最佳的安全存储器大小。但是，无论您选择什么尺寸，都几乎可以保证它在产品的使用寿命内是不够的。” PUF创建一个秘密，随机和唯一密钥，PUF密钥对安全密钥存储中的所有密钥进行加密，这些密钥是在启动时生成的，而不是存储在闪存中。值得一提的是，SecureVault提供的密钥管理解决方案的另一个优势是，通过使用AES加密，您还可以请求一个初始向量来提供算法。 “此初始向量类似于具有需要用于执行任何安全性操作的附加128位密码。然后，密码可以由人或芯片上运行的其他应用程序使用，从而使用密钥验证提供双重身份。 “作为附加的保护层，SecureVault技术包括复杂的篡改保护方案。如果检测到篡改，则可以销毁PUF重建数据。一旦重建数据被破坏，存储的密钥材料将不再被使用。无法访问。总之，SiliconLabs选择了市场上最可靠的PUF技术，并将其功能限制为仅提供一个KEK来包装或打开关键材料。通过使用另一个两因素身份验证密码，您可以进一步保护密钥。此外，SiliconLabs提供了多种篡改保护源，它们可以破坏PUF密钥，因此它无法解密受其保护的所有其他密钥。即使黑客投入大量时间和资源来重新设计设备并恢复KEK，他们也只会危及一件设备。