概述
DeepCover?嵌入式安全方案采用多重先進(jìn)的物理安全機(jī)制保護(hù)敏感數(shù)據(jù)，提供最高等級的密鑰存儲(chǔ)安全保護(hù)。

DeepCover加密控制器(MAXQ1061)保護(hù)軟件IP、通信和盈利模式的保密性、真實(shí)性和完整性。它是用于連接嵌入式設(shè)備，工業(yè)網(wǎng)絡(luò)，PLC及其他網(wǎng)絡(luò)應(yīng)用的理想器件。

MAXQ1061內(nèi)嵌強(qiáng)大的加密工具箱，為系統(tǒng)提供從密鑰生存和存儲(chǔ)，到SSL/TLS/DTLS通訊服務(wù)，包括TLS/DTLS密鑰協(xié)商和MAC算法。它也可以用為通用處理器提供安全BOOTLOADER支持。

內(nèi)部32KB用戶可編程EEPROM可用來儲(chǔ)存證書、公鑰、私鑰及密碼、單調(diào)計(jì)數(shù)器和任意數(shù)據(jù)。靈活的文件系統(tǒng)管理對象的訪問權(quán)限。MAXQ1061可通過SPI或I2C接口來控制。它還能提供生命期管理和安全密鑰裝下載協(xié)議。

器件支持的加密算法包括AES、ECC、ECDSA簽名算法、SHA和MAC摘要算法。真隨機(jī)數(shù)發(fā)生器可用于片上密鑰生成。通過SPI實(shí)現(xiàn)的獨(dú)立硬件AES引擎允許器件作為協(xié)處理器，用于流加密。

芯片內(nèi)部先進(jìn)的物理、環(huán)境和邏輯保護(hù)設(shè)計(jì)旨在滿足FIPS和通用標(biāo)準(zhǔn)EAL4+認(rèn)證的嚴(yán)格要求。
數(shù)據(jù)表：*附件：MAXQ1061 MAXQ1062用于嵌入式設(shè)備的DeepCover加密控制器技術(shù)手冊.pdf

應(yīng)用

• 物聯(lián)網(wǎng)(IoT)
• 便攜式醫(yī)療設(shè)備
• 樓宇與住宅自動(dòng)化
• 智能電表
• 證書發(fā)放與管理
• 安全訪問控制
• 生成電子簽名
• 關(guān)鍵設(shè)施的網(wǎng)絡(luò)安全

特性

• 高級加密工具箱無縫支持高安全性密鑰存儲(chǔ)
  • 證書鏈管理
  • 32KB安全文件系統(tǒng)基于非易失EEPROM (500K次循環(huán))，用于廣泛的密鑰和證書存儲(chǔ)
  • 對稱密鑰：AES-128/-256 (ECB、CBC、CCM)
  • 非對稱密鑰：ECC NIST P-256、-521、-384
  • 安全散列：SHA-256、-384、-512
  • MAC信息摘要：CBC-MAC、HMAC-SHA256、HMAC-SHA384、HMAC-SHA512
  • 簽名算法：ECDSA (FIPS 186-4)
  • 密鑰交換：EC Diffie-Hellman (TLS)
  • 通過SPI實(shí)現(xiàn)的128位AES流加密引擎(高達(dá)20Mb/s)支持AES-GCM和AES-ECB模式
  • 片上密鑰生成：ECC、AES
  • 隨機(jī)數(shù)發(fā)生器：真RNG
• 高級功能簡化了SSL/TLS/DTLS實(shí)施
  • TLS/DTLS密鑰協(xié)商(PSK、ECDH、ECDHE)
  • 基于ECDSA的TLS/DTLS安全認(rèn)證、數(shù)字簽名生成和驗(yàn)證
  • SSL/TLS/DTLS包加密(AES)
  • MAC算法(HMAC-SHA256)
• 全面的主機(jī)/系統(tǒng)服務(wù)增強(qiáng)了系統(tǒng)的靈活性、降低了系統(tǒng)成本
  • 看門狗定時(shí)器
  • 上電復(fù)位/掉電復(fù)位
  • 安全BOOT功能
  • 篡改檢測
  • 生命周期管理和密鑰下載協(xié)議
  • 靈活的文件系統(tǒng)，每個(gè)對象軟件復(fù)位均具有用戶可編程的訪問條件
  • 軟件復(fù)位、關(guān)斷和喚醒功能
• 多種通信接口選項(xiàng)，簡化與主機(jī)處理器的連接
  • I2C從機(jī)控制器
  • SPI從機(jī)控制器，具有專用的DMA通道和128位AES流加密引擎，支持AES-GCM和AES-ECB模式

詳細(xì)說明

深度覆蓋加密控制器（MAXQ1061/MAXQ1062）是一種易于在嵌入式系統(tǒng)中實(shí)現(xiàn)的加強(qiáng)安全性的解決方案。全面的加密工具包支持各種安全需求。該系統(tǒng)可能只需極少的硬件支持，即可實(shí)現(xiàn)加密生成和存儲(chǔ)。為了高度的安全性，它提供了SSL/TLS/DTLS支持，并在高抽象級別上運(yùn)行。設(shè)備支持的加密算法包括由設(shè)備獨(dú)立執(zhí)行的AES - 128/256（支持ECB、CBC和CCM模式）、ECC（最高到NIST - P521）、ECDSA簽名方案、SHA - 2（最高到SHA512）安全哈希算法，以及MAC摘要算法，如CBC - MAC或HMAC - SHA。它還具備基于隨機(jī)數(shù)生成器的片上密鑰生成功能。該設(shè)備還提供了獨(dú)立的硬件AES引擎和SPI，支持AES - GCM和AES - ECB模式，可用于減輕主機(jī)處理器的流加密負(fù)擔(dān)。

通信接口選擇

設(shè)備通過I2C或SPI總線進(jìn)行通信，具體取決于應(yīng)用（TLS工具包或AES - SPI）。

TLS/DTLS加密工具包

全面的加密工具包簡化并增強(qiáng)了基于SSL/TLS/DTLS應(yīng)用的安全性和抗攻擊性。它在高抽象級別上運(yùn)行，提供以下功能：

• 分擔(dān)TLS密鑰交換任務(wù)
• 安全存儲(chǔ)證書（使其不可變）
• 安全存儲(chǔ)私鑰
• 協(xié)助安全驗(yàn)證證書和證書吊銷列表
• 安全地向?qū)Φ确竭M(jìn)行身份驗(yàn)證
• 執(zhí)行密鑰交換
• 在TLS記錄協(xié)議執(zhí)行期間，使用協(xié)商的TLS密鑰對數(shù)據(jù)進(jìn)行加密/解密和簽名/驗(yàn)證
• TLS密鑰交換和TLS記錄加密/解密在內(nèi)部進(jìn)行，永遠(yuǎn)不會(huì)暴露。主密鑰可導(dǎo)出，以便在外部進(jìn)行TLS記錄處理。

上述安全功能可防止：

• 使用惡意證書。證書始終經(jīng)過驗(yàn)證并由專用管理員進(jìn)行身份驗(yàn)證。未經(jīng)驗(yàn)證的證書無法進(jìn)行TLS握手。
• 嵌入MAXQ1061/MAXQ1062設(shè)備的私鑰暴露用于認(rèn)證。硬件防護(hù)可防止此類私鑰泄露。
• TLS敏感數(shù)據(jù)（共享密鑰或會(huì)話密鑰）暴露。這些數(shù)據(jù)保留在安全模塊內(nèi)。

AES - SPI引擎

128位AES引擎支持符合SP 800 - 38D標(biāo)準(zhǔn)的AES - GCM模式以及符合SP 800 - A標(biāo)準(zhǔn)的AES - ECB模式。一個(gè)專用寄存器可將傳輸模式從TLS工具箱切換到AES SPI引擎。該模塊通過專用的DMA控制器與SPI從控制器緊密連接，為通過SPI接口傳入的數(shù)據(jù)提供高速加密/解密服務(wù)。

SPI控制器提供專用的命令解釋器，在AES - SPI模式下可使用以下命令集：

• 身份驗(yàn)證模式
• 僅加密模式
• 加密與身份驗(yàn)證模式
• AES操作模式選擇
• 密鑰和初始化向量（IV）加載協(xié)議
• 安全存儲(chǔ)和處理塊密碼密鑰（EK）和身份驗(yàn)證密鑰（AK）
• 軟件重置
• 關(guān)閉

SSL/TLS/DTLS功能

• TLS/DTLS密鑰協(xié)商（ECDH、ECDHE）
• 基于ECDSA的TLS/DTLS身份驗(yàn)證、數(shù)字簽名生成和驗(yàn)證
• SSL/TLS/DTLS數(shù)據(jù)包加密（AES）
• MAC算法（HMAC - SHA256）
• 適用于大多數(shù)CPU架構(gòu)的SSL/TLS/DTLS庫堆棧

TLS/DTLS密碼套件

• RFC 5487預(yù)共享密鑰（TLS）
  • TLS_PSK_WITH_AES_128_GCM_SHA256
  • TLS_PSK_WITH_AES_256_GCM_SHA384
  • TLS_PSK_WITH_AES_128_CBC_SHA256
  • TLS_PSK_WITH_AES_256_CBC_SHA
  • TLS_PSK_WITH_AES_256_CBC_SHA384