运行时安全引擎RSE

安全之安全(security²)博客目录导读

目录

[一、RSE 通信层](#一、RSE 通信层)

[1.1 消息结构](#1.1 消息结构)

[1.2 源代码文件](#1.2 源代码文件)

[1.3 MHU 通信的 API](#1.3 MHU 通信的 API)

[二、RSE 提供的运行时服务](#二、RSE 提供的运行时服务)

[2.1 运行时服务 API](#2.1 运行时服务 API)

[2.2 软件与 API 层次结构](#2.2 软件与 API 层次结构)

[三、基于 RSE 的 Measured Boot（度量启动）](#三、基于 RSE 的 Measured Boot（度量启动）)

[3.1 Measured Boot API](#3.1 Measured Boot API)

[3.2 Measured Boot 元数据](#3.2 Measured Boot 元数据)

[3.3 Signer-ID API](#3.3 Signer-ID API)

[3.4 构建时配置选项](#3.4 构建时配置选项)

[3.5 Measured Boot 流程](#3.5 Measured Boot 流程)

[3.6. 控制台日志样例](#3.6. 控制台日志样例)

[四、委托认证（Delegated Attestation）](#四、委托认证（Delegated Attestation）)

[4.1. 委托认证 API](#4.1. 委托认证 API)

[4.2. 认证流程](#4.2. 认证流程)

[4.3. 证明令牌示例](#4.3. 证明令牌示例)

[五、基于 RSE 的 DICE 保护环境（DPE）](#五、基于 RSE 的 DICE 保护环境（DPE）)

[5.1. DPE API](#5.1. DPE API)

[5.2. 构建时配置选项](#5.2. 构建时配置选项)

[5.3. 示例证书链](#5.3. 示例证书链)

[六、RSE OTP 资产管理](#六、RSE OTP 资产管理)

[6.1. 非易失性计数器 API](#6.1. 非易失性计数器 API)

[6.2. 公钥 API](#6.2. 公钥 API)

[6.3. 获取熵的 API](#6.3. 获取熵的 API)

---

该博客重点介绍了运行时安全引擎（Runtime Security Engine，简称 RSE）与应用处理器（Application Processor，简称 AP）之间的关系。

根据 ARM 的参考设计，RSE 是位于同一芯片（die）上的一个独立核心，与 AP 和系统控制处理器（System Control Processor，简称 SCP）并列存在。RSE 为整个系统提供基本的安全保障和运行时服务，例如：可信启动（trusted boot）、度量启动（measured boot）、平台认证（platform attestation）、密钥管理与派生（key management and key derivation）等。

在系统上电时，RSE 首先从其私有的 ROM 代码启动。它会验证并加载自身的镜像文件以及 SCP 和 AP 的初始镜像。当 AP 和 SCP 被解复位，且其初始代码被加载后，它们将继续各自的启动流程，这一流程与没有 RSE 的系统相同。关于 RSE 启动流程的更多细节，请参见 RSE 文档 。

RSE 固件的最后阶段是一个常驻的运行时组件。类似于 AP 的 BL31，它是一个被动实体，没有周期性任务，仅在收到其他子系统的外部请求时才进行响应。RSE 与其他子系统之间通过消息交换进行通信。RSE 在空闲状态下等待传入请求，处理请求后发送响应，然后再次进入空闲状态。

---

一、RSE 通信层

RSE 与其他子系统之间的通信主要依赖于消息处理单元（Message Handling Unit，简称 MHU）模块。

不过，也可以使用不同于 MHU 的邮箱（mailbox）来实现该通信协议，只需将编译标志 PLAT_MHU=NO_MHU 设置为不使用 MHU，并实现 include/drivers/arm/rse_comms.h 文件中提供的 API。

RSE 与其他核心之间的 MHU 接口数量由实现定义（IMPDEF）。除 MHU 外，其他模块也可以参与通信。RSE 能够将 AP 的内存映射到自身的地址空间，因此无论是 RSE 核心自身，还是（如果存在的话）DMA 引擎，都可以在 RSE 与 AP 所属内存之间传输数据。这种方式可以在较短时间内传输大量数据。

MHU 成对出现，包括一个发送端和一个接收端，它们相互连接。一个 MHU 接口包含两个 MHU 对：在两端各有一个发送端和一个接收端。一个接口支持双向通信，一对用于从 AP 向 RSE 发送消息，另一对用于从 RSE 向 AP 发送消息。发送器和接收器通过通道连接，一个发送器与一个接收器之间有若干通道（例如：4--16 个通道，具体数量由实现定义）。

RSE 通信层提供两种消息交换方式：

---

嵌入式消息（Embedded messaging）：

完整消息（包括头部和负载）通过 MHU 通道交换。一个通道只能传输一个字（word）。发送方将数据写入自己一侧的通道寄存器，接收方从对侧通道读取数据。有一个专用通道用于信号通知，它本身不传输任何有效负载，仅用于表示发送方已将数据写入通道寄存器，接收方即可读取；接收方也通过同一个通道返回信号表示数据已读取。信号传递通过中断（IRQ）完成。如果消息长度超过通道寄存器的容量，则消息需要分多轮传输。发送方和接收方都会为消息分配本地缓冲区，数据将在缓冲区与通道寄存器之间进行拷贝。

---

指针访问消息（Pointer-access messaging）：

消息头与负载分离，并通过不同方式传输。头部通过通道发送，类似于嵌入式消息，而负载部分则由 RSE 核心（或 DMA）在发送方和接收方之间拷贝。这种方式适用于长消息，因为相比嵌入式方式，事务处理时间更短。小型负载一般由 RSE 核心处理，因为设置 DMA 所需的 CPU 周期更多。负载可以被拷贝到内部缓冲区，或者被 RSE 直接读写，具体行为取决于 RSE 配置，以及分区是否支持内存映射的 iovec。因此，发送方必须同时处理这两种情况，并在 RSE 处理请求期间防止访问负载数据所在的内存区域。

---

RSE 通信层支持两种消息方式并行使用。具体采用哪种方式，会根据消息大小在运行时决定。

【注意】 RSE 通信层不支持并发执行 。当前的使用场景仅要求在启动阶段进行消息交换。在启动阶段，仅有一个核心在运行，其余核心仍处于复位状态。

---

1.1 消息结构

有关消息格式的说明，请参见《RSE 通信设计》文档 。

---

1.2 源代码文件

• RSE 通信模块：drivers/arm/rse

• MHU 驱动模块：drivers/arm/mhu

---

1.3 MHU 通信的 API

相关 API 定义在以下头文件中：

• include/drivers/arm/rse_comms.h

• include/drivers/arm/mhu.h

---

二、RSE 提供的运行时服务

RSE 提供以下运行时服务：

• 度量启动（Measured Boot）：安全存储在启动过程中计算出的固件度量值及相关元数据（如镜像描述、度量算法等）。有关此服务的更多信息，请参见《measured_boot_integration_guide》文档 。

• 委托认证（Delegated Attestation）：查询平台认证令牌，并派生出委托认证密钥。相关细节可参考《delegated_attestation_integration_guide》文档 。

• OTP 资产管理（OTP Assets Management） ：AP 在可信启动过程中使用的公钥可以从 RSE 请求获取。此外，AP 还可请求 RSE 增加一个非易失性计数器。详情请参考《RSE Key Management》文档 。

• DICE 安全环境（DICE Protection Environment）：安全存储启动过程中计算的固件度量值及元数据，还能以证书链的形式表示启动度量结果，并支持外部查询。详见《DICE Protection Environment（DPE）》文档 。

---

2.1 运行时服务 API

RSE 提供的运行时服务实现了与 PSA（Platform Security Architecture）对齐的 API。参数编码遵循《Firmware Framework for M》文档第 4.4 章中描述的 PSA 客户端协议。

该实现限定为**静态句柄（static handle）**的使用场景，因此仅实现了 psa_call API。

---

2.2 软件与 API 层次结构

三、基于 RSE 的 Measured Boot（度量启动）

Measured Boot 是一种在启动过程中对代码和关键数据进行加密度量（即计算其哈希值）的机制。这些度量值必须以防篡改的方式进行存储，以便设备在之后能向外部方证明其安全状态。RSE 提供了一个运行时服务，用于存储这些度量值及其相关元数据。

数据被存储在 RSE 内部的 SRAM 中，仅能由 RSE 的安全运行时固件访问。这些数据存储在所谓的"度量槽（measurement slots）"中。每个平台具有平台自定义（IMPDEF）数量的度量槽。

度量存储采用"扩展（extend）"语义。即度量值不会被直接存储，而是参与生成当前度量槽的新值。其扩展逻辑如下（|| 表示连接）：

new_value_of_measurement_slot = Hash(old_value_of_measurement_slot || measurement)

支持的哈希算法包括：sha-256、sha-512

---

3.1 Measured Boot API

定义在：

include/lib/psa/measured_boot.h

函数原型如下：

psa_status_t
rse_measured_boot_extend_measurement(uint8_t        index,
                                     const uint8_t *signer_id,
                                     size_t         signer_id_size,
                                     const uint8_t *version,
                                     size_t         version_size,
                                     uint32_t       measurement_algo,
                                     const uint8_t *sw_type,
                                     size_t         sw_type_size,
                                     const uint8_t *measurement_value,
                                     size_t         measurement_value_size,
                                     bool           lock_measurement);

---

3.2 Measured Boot 元数据

可与度量值一同存储的元数据包括：

• Signer-id（签名者ID）：必选项。为固件镜像签名公钥的哈希值。

• Measurement algorithm（度量算法）：可选项。用于计算度量值的哈希算法（例如：sha-256）。

• Version info（版本信息）：可选项，例如 "2.7"。

• SW type（软件类型）：可选项，简要文本描述（例如：BL1、BL2、BL31）。

注意：TF-A 当前尚未实现版本信息字段的支持。

调用者必须指定在哪个度量槽中扩展度量值及其元数据。一个槽位可以被多次扩展。所有度量槽在复位时清空，不能手动清空。在参考实现中，槽初始值为 0，第一次调用 extend 操作时使用默认值，后续操作继续基于前值进行扩展。

当对同一个槽位多次扩展时，遵循以下规则：

• Signer-id 必须与之前一致，否则返回 PSA_ERROR_NOT_PERMITTED。

• Measurement algorithm 也必须一致，否则也会返回相同错误码。

• 出现错误时不会采取进一步操作（槽不会被锁定）。如果后续调用中数据合法，则仍可继续扩展该槽。

• 对于其他元数据处理：

  • SW type 会被清除。

  • Version info 也会被清除。

注意：在同一槽内扩展多个度量值会导致元数据信息丢失。由于 RSE 在存储方面不受专用硬件限制，因此建议为每个度量值分配独立槽位。但请注意，每个独立的度量值都将被包含在平台认证令牌中，因此度量项的数量会影响认证令牌的体积。

度量槽在 RSE、Root 和 Realm 世界之间的分配由平台决定，且需在构建时配置。示例参考：

tf-a/plat/arm/board/tc/tc_bl1_measured_boot.c

此外，存储元数据的内存也在 RSE 内部静态分配。部分字段为静态值（如算法），而如度量值等字段为动态值，由 Bootloader 在加载并度量固件时更新。

元数据结构定义如下：

struct rse_mboot_metadata {
        unsigned int id;
        uint8_t slot;
        uint8_t signer_id[SIGNER_ID_MAX_SIZE];
        size_t  signer_id_size;
        uint8_t version[VERSION_MAX_SIZE];
        size_t  version_size;
        uint8_t sw_type[SW_TYPE_MAX_SIZE];
        size_t  sw_type_size;
        void    *pk_oid;
        bool    lock_measurement;
};

---

3.3 Signer-ID API

此函数使用指定度量算法对公钥（即签名者ID）进行哈希运算，并将结果存储在 rse_mboot_metadata 结构中的 signer_id 字段中。调用该函数前，必须确保 signer_id 字段所指向的缓冲区被清零。

定义于：

include/drivers/measured_boot/rse/rse_measured_boot.h

函数原型如下：

int rse_mboot_set_signer_id(struct rse_mboot_metadata *metadata_ptr,
                            const void *pk_oid,
                            const void *pk_ptr,
                            size_t pk_len)

• 第一个参数：指向 rse_mboot_metadata 结构的指针；

• 第二个参数：公钥的 key-OID 指针；

• 第三个参数：公钥缓冲区指针；

• 第四个参数：公钥缓冲区长度。

• 返回值：成功返回 0，失败返回负整数错误码。

---

3.4 构建时配置选项

• MEASURED_BOOT：启用度量启动功能；

• MBOOT_RSE_HASH_ALG：指定用于度量镜像的哈希算法。默认值为 sha-256。

---

3.5 Measured Boot 流程

3.6. 控制台日志样例

INFO:    Measured boot extend measurement:
INFO:     - slot        : 6
INFO:     - signer_id   : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
INFO:                   : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
INFO:     - version     :
INFO:     - version_size: 0
INFO:     - sw_type     : FW_CONFIG
INFO:     - sw_type_size: 10
INFO:     - algorithm   : 2000009
INFO:     - measurement : aa ea d3 a7 a8 e2 ab 7d 13 a6 cb 34 99 10 b9 a1
INFO:                   : 1b 9f a0 52 c5 a8 b1 d7 76 f2 c1 c1 ef ca 1a df
INFO:     - locking     : true
INFO:    FCONF: Config file with image ID:31 loaded at address = 0x4001010
INFO:    Loading image id=24 at address 0x4001300
INFO:    Image id=24 loaded: 0x4001300 - 0x400153a
INFO:    Measured boot extend measurement:
INFO:     - slot        : 7
INFO:     - signer_id   : b0 f3 82 09 12 97 d8 3a 37 7a 72 47 1b ec 32 73
INFO:                   : e9 92 32 e2 49 59 f6 5e 8b 4a 4a 46 d8 22 9a da
INFO:     - version     :
INFO:     - version_size: 0
INFO:     - sw_type     : TB_FW_CONFIG
INFO:     - sw_type_size: 13
INFO:     - algorithm   : 2000009
INFO:     - measurement : 05 b9 dc 98 62 26 a7 1c 2d e5 bb af f0 90 52 28
INFO:                   : f2 24 15 8a 3a 56 60 95 d6 51 3a 7a 1a 50 9b b7
INFO:     - locking     : true
INFO:    FCONF: Config file with image ID:24 loaded at address = 0x4001300
INFO:    BL1: Loading BL2
INFO:    Loading image id=1 at address 0x404d000
INFO:    Image id=1 loaded: 0x404d000 - 0x406412a
INFO:    Measured boot extend measurement:
INFO:     - slot        : 8
INFO:     - signer_id   : b0 f3 82 09 12 97 d8 3a 37 7a 72 47 1b ec 32 73
INFO:                   : e9 92 32 e2 49 59 f6 5e 8b 4a 4a 46 d8 22 9a da
INFO:     - version     :
INFO:     - version_size: 0
INFO:     - sw_type     : BL_2
INFO:     - sw_type_size: 5
INFO:     - algorithm   : 2000009
INFO:     - measurement : 53 a1 51 75 25 90 fb a1 d9 b8 c8 34 32 3a 01 16
INFO:                   : c9 9e 74 91 7d 28 02 56 3f 5c 40 94 37 58 50 68
INFO:     - locking     : true

四、委托认证（Delegated Attestation）

委托认证服务 主要是为支持 ARM 机密计算架构（ARM CCA） 中的认证流程而开发的。关于该服务的详细描述可参见《Delegated Attestation Service Integration Guide》文档。

在 CCA 的使用场景中，Realm 管理监控器（RMM） 依赖 RSE 的委托认证服务 来获取 Realm 认证密钥 和 CCA 平台认证令牌（Platform Token） 。BL31 本身不使用该服务，只是代表 RMM 发起调用。 MHU 接口（也即 RSE 的访问）仅限 BL31 访问。因此，RMM 无法直接访问 RSE，所有请求都必须通过 BL31 进行中转。BL31 中的 RMM 分发模块（dispatcher module） 负责在 RMM 和 RSE 之间传递这些调用。

---

4.1. 委托认证 API

定义于：

include/lib/psa/delegated_attestation.h

API 原型如下：

psa_status_t
rse_delegated_attest_get_delegated_key(uint8_t   ecc_curve,
                                       uint32_t  key_bits,
                                       uint8_t  *key_buf,
                                       size_t    key_buf_size,
                                       size_t   *key_size,
                                       uint32_t  hash_algo);

psa_status_t
rse_delegated_attest_get_token(const uint8_t *dak_pub_hash,
                               size_t         dak_pub_hash_size,
                               uint8_t       *token_buf,
                               size_t         token_buf_size,
                               size_t        *token_size);

功能：从 RSE 获取 委托认证密钥（Delegated Attestation Key, DAK）。

• ecc_curve：椭圆曲线类型

• key_bits：密钥位数

• key_buf：用于存储返回密钥的缓冲区

• key_buf_size：缓冲区大小

• key_size：实际返回密钥的大小

• hash_algo：使用的哈希算法

功能：从 RSE 获取 平台认证令牌（Platform Token）。

• dak_pub_hash：委托认证公钥的哈希值

• dak_pub_hash_size：公钥哈希值的长度

• token_buf：用于存储返回令牌的缓冲区

• token_buf_size：缓冲区大小

• token_size：实际返回令牌的大小

---

4.2. 认证流程

4.3. 证明令牌示例

二进制格式：

INFO:    DELEGATED ATTEST TEST START
INFO:    Get delegated attestation key start
INFO:    Get delegated attest key succeeds, len: 48
INFO:    Delegated attest key:
INFO:            0d 2a 66 61 d4 89 17 e1 70 c6 73 56 df f4 11 fd
INFO:            7d 1f 3b 8a a3 30 3d 70 4c d9 06 c3 c7 ef 29 43
INFO:            0f ee b5 e7 56 e0 71 74 1b c4 39 39 fd 85 f6 7b
INFO:    Get platform token start
INFO:    Get platform token succeeds, len: 1086
INFO:    Platform attestation token:
INFO:            d2 84 44 a1 01 38 22 a0 59 05 81 a9 19 01 09 78
INFO:            23 74 61 67 3a 61 72 6d 2e 63 6f 6d 2c 32 30 32
INFO:            33 3a 63 63 61 5f 70 6c 61 74 66 6f 72 6d 23 31
INFO:            2e 30 2e 30 0a 58 20 0d 22 e0 8a 98 46 90 58 48
INFO:            63 18 28 34 89 bd b3 6f 09 db ef eb 18 64 df 43
INFO:            3f a6 e5 4e a2 d7 11 19 09 5c 58 20 7f 45 4c 46
INFO:            02 01 01 00 00 00 00 00 00 00 00 00 03 00 3e 00
INFO:            01 00 00 00 50 58 00 00 00 00 00 00 19 01 00 58
INFO:            21 01 07 06 05 04 03 02 01 00 0f 0e 0d 0c 0b 0a
INFO:            09 08 17 16 15 14 13 12 11 10 1f 1e 1d 1c 1b 1a
INFO:            19 18 19 09 61 44 cf cf cf cf 19 09 5b 19 30 03
INFO:            19 09 62 67 73 68 61 2d 32 35 36 19 09 60 78 3a
INFO:            68 74 74 70 73 3a 2f 2f 76 65 72 61 69 73 6f 6e
INFO:            2e 65 78 61 6d 70 6c 65 2f 2e 77 65 6c 6c 2d 6b
INFO:            6e 6f 77 6e 2f 76 65 72 61 69 73 6f 6e 2f 76 65
INFO:            72 69 66 69 63 61 74 69 6f 6e 19 09 5f 8d a4 01
INFO:            69 52 53 45 5f 42 4c 31 5f 32 05 58 20 53 78 79
INFO:            63 07 53 5d f3 ec 8d 8b 15 a2 e2 dc 56 41 41 9c
INFO:            3d 30 60 cf e3 22 38 c0 fa 97 3f 7a a3 02 58 20
INFO:            9a 27 1f 2a 91 6b 0b 6e e6 ce cb 24 26 f0 b3 20
INFO:            6e f0 74 57 8b e5 5d 9b c9 4f 6f 3f e3 ab 86 aa
INFO:            06 67 73 68 61 2d 32 35 36 a4 01 67 52 53 45 5f
INFO:            42 4c 32 05 58 20 53 78 79 63 07 53 5d f3 ec 8d
INFO:            8b 15 a2 e2 dc 56 41 41 9c 3d 30 60 cf e3 22 38
INFO:            c0 fa 97 3f 7a a3 02 58 20 53 c2 34 e5 e8 47 2b
INFO:            6a c5 1c 1a e1 ca b3 fe 06 fa d0 53 be b8 eb fd
INFO:            89 77 b0 10 65 5b fd d3 c3 06 67 73 68 61 2d 32
INFO:            35 36 a4 01 65 52 53 45 5f 53 05 58 20 53 78 79
INFO:            63 07 53 5d f3 ec 8d 8b 15 a2 e2 dc 56 41 41 9c
INFO:            3d 30 60 cf e3 22 38 c0 fa 97 3f 7a a3 02 58 20
INFO:            11 21 cf cc d5 91 3f 0a 63 fe c4 0a 6f fd 44 ea
INFO:            64 f9 dc 13 5c 66 63 4b a0 01 d1 0b cf 43 02 a2
INFO:            06 67 73 68 61 2d 32 35 36 a4 01 66 41 50 5f 42
INFO:            4c 31 05 58 20 53 78 79 63 07 53 5d f3 ec 8d 8b
INFO:            15 a2 e2 dc 56 41 41 9c 3d 30 60 cf e3 22 38 c0
INFO:            fa 97 3f 7a a3 02 58 20 15 71 b5 ec 78 bd 68 51
INFO:            2b f7 83 0b b6 a2 a4 4b 20 47 c7 df 57 bc e7 9e
INFO:            b8 a1 c0 e5 be a0 a5 01 06 67 73 68 61 2d 32 35
INFO:            36 a4 01 66 41 50 5f 42 4c 32 05 58 20 53 78 79
INFO:            63 07 53 5d f3 ec 8d 8b 15 a2 e2 dc 56 41 41 9c
INFO:            3d 30 60 cf e3 22 38 c0 fa 97 3f 7a a3 02 58 20
INFO:            10 15 9b af 26 2b 43 a9 2d 95 db 59 da e1 f7 2c
INFO:            64 51 27 30 16 61 e0 a3 ce 4e 38 b2 95 a9 7c 58
INFO:            06 67 73 68 61 2d 32 35 36 a4 01 67 53 43 50 5f
INFO:            42 4c 31 05 58 20 53 78 79 63 07 53 5d f3 ec 8d
INFO:            8b 15 a2 e2 dc 56 41 41 9c 3d 30 60 cf e3 22 38
INFO:            c0 fa 97 3f 7a a3 02 58 20 10 12 2e 85 6b 3f cd
INFO:            49 f0 63 63 63 17 47 61 49 cb 73 0a 1a a1 cf aa
INFO:            d8 18 55 2b 72 f5 6d 6f 68 06 67 73 68 61 2d 32
INFO:            35 36 a4 01 67 53 43 50 5f 42 4c 32 05 58 20 f1
INFO:            4b 49 87 90 4b cb 58 14 e4 45 9a 05 7e d4 d2 0f
INFO:            58 a6 33 15 22 88 a7 61 21 4d cd 28 78 0b 56 02
INFO:            58 20 aa 67 a1 69 b0 bb a2 17 aa 0a a8 8a 65 34
INFO:            69 20 c8 4c 42 44 7c 36 ba 5f 7e a6 5f 42 2c 1f
INFO:            e5 d8 06 67 73 68 61 2d 32 35 36 a4 01 67 41 50
INFO:            5f 42 4c 33 31 05 58 20 53 78 79 63 07 53 5d f3
INFO:            ec 8d 8b 15 a2 e2 dc 56 41 41 9c 3d 30 60 cf e3
INFO:            22 38 c0 fa 97 3f 7a a3 02 58 20 2e 6d 31 a5 98
INFO:            3a 91 25 1b fa e5 ae fa 1c 0a 19 d8 ba 3c f6 01
INFO:            d0 e8 a7 06 b4 cf a9 66 1a 6b 8a 06 67 73 68 61
INFO:            2d 32 35 36 a4 01 63 52 4d 4d 05 58 20 53 78 79
INFO:            63 07 53 5d f3 ec 8d 8b 15 a2 e2 dc 56 41 41 9c
INFO:            3d 30 60 cf e3 22 38 c0 fa 97 3f 7a a3 02 58 20
INFO:            a1 fb 50 e6 c8 6f ae 16 79 ef 33 51 29 6f d6 71
INFO:            34 11 a0 8c f8 dd 17 90 a4 fd 05 fa e8 68 81 64
INFO:            06 67 73 68 61 2d 32 35 36 a4 01 69 48 57 5f 43
INFO:            4f 4e 46 49 47 05 58 20 53 78 79 63 07 53 5d f3
INFO:            ec 8d 8b 15 a2 e2 dc 56 41 41 9c 3d 30 60 cf e3
INFO:            22 38 c0 fa 97 3f 7a a3 02 58 20 1a 25 24 02 97
INFO:            2f 60 57 fa 53 cc 17 2b 52 b9 ff ca 69 8e 18 31
INFO:            1f ac d0 f3 b0 6e ca ae f7 9e 17 06 67 73 68 61
INFO:            2d 32 35 36 a4 01 69 46 57 5f 43 4f 4e 46 49 47
INFO:            05 58 20 53 78 79 63 07 53 5d f3 ec 8d 8b 15 a2
INFO:            e2 dc 56 41 41 9c 3d 30 60 cf e3 22 38 c0 fa 97
INFO:            3f 7a a3 02 58 20 9a 92 ad bc 0c ee 38 ef 65 8c
INFO:            71 ce 1b 1b f8 c6 56 68 f1 66 bf b2 13 64 4c 89
INFO:            5c cb 1a d0 7a 25 06 67 73 68 61 2d 32 35 36 a4
INFO:            01 6c 54 42 5f 46 57 5f 43 4f 4e 46 49 47 05 58
INFO:            20 53 78 79 63 07 53 5d f3 ec 8d 8b 15 a2 e2 dc
INFO:            56 41 41 9c 3d 30 60 cf e3 22 38 c0 fa 97 3f 7a
INFO:            a3 02 58 20 23 89 03 18 0c c1 04 ec 2c 5d 8b 3f
INFO:            20 c5 bc 61 b3 89 ec 0a 96 7d f8 cc 20 8c dc 7c
INFO:            d4 54 17 4f 06 67 73 68 61 2d 32 35 36 a4 01 6d
INFO:            53 4f 43 5f 46 57 5f 43 4f 4e 46 49 47 05 58 20
INFO:            53 78 79 63 07 53 5d f3 ec 8d 8b 15 a2 e2 dc 56
INFO:            41 41 9c 3d 30 60 cf e3 22 38 c0 fa 97 3f 7a a3
INFO:            02 58 20 e6 c2 1e 8d 26 0f e7 18 82 de bd b3 39
INFO:            d2 40 2a 2c a7 64 85 29 bc 23 03 f4 86 49 bc e0
INFO:            38 00 17 06 67 73 68 61 2d 32 35 36 58 60 31 d0
INFO:            4d 52 cc de 95 2c 1e 32 cb a1 81 88 5a 40 b8 cc
INFO:            38 e0 52 8c 1e 89 58 98 07 64 2a a5 e3 f2 bc 37
INFO:            f9 53 74 50 6b ff 4d 2e 4b e7 06 3c 4d 72 41 92
INFO:            70 c7 22 e8 d4 d9 3e e8 b6 c9 fa ce 3b 43 c9 76
INFO:            1a 49 94 1a b6 f3 8f fd ff 49 6a d4 63 b4 cb fa
INFO:            11 d8 3e 23 e3 1f 7f 62 32 9d e3 0c 1c c8
INFO:    DELEGATED ATTEST TEST END

JSON格式：

{
    "CCA_ATTESTATION_PROFILE": "tag:arm.com,2023:cca_platform#1.0.0",
    "CCA_PLATFORM_CHALLENGE": "b'0D22E08A98469058486318283489BDB36F09DBEFEB1864DF433FA6E54EA2D711'",
    "CCA_PLATFORM_IMPLEMENTATION_ID": "b'7F454C4602010100000000000000000003003E00010000005058000000000000'",
    "CCA_PLATFORM_INSTANCE_ID": "b'0107060504030201000F0E0D0C0B0A090817161514131211101F1E1D1C1B1A1918'",
    "CCA_PLATFORM_CONFIG": "b'CFCFCFCF'",
    "CCA_PLATFORM_LIFECYCLE": "secured_3003",
    "CCA_PLATFORM_HASH_ALGO_ID": "sha-256",
    "CCA_PLATFORM_VERIFICATION_SERVICE": "https://veraison.example/.well-known/veraison/verification",
    "CCA_PLATFORM_SW_COMPONENTS": [
        {
            "SW_COMPONENT_TYPE": "RSE_BL1_2",
            "SIGNER_ID": "b'5378796307535DF3EC8D8B15A2E2DC5641419C3D3060CFE32238C0FA973F7AA3'",
            "MEASUREMENT_VALUE": "b'9A271F2A916B0B6EE6CECB2426F0B3206EF074578BE55D9BC94F6F3FE3AB86AA'",
            "CCA_SW_COMPONENT_HASH_ID": "sha-256"
        },
        {
            "SW_COMPONENT_TYPE": "RSE_BL2",
            "SIGNER_ID": "b'5378796307535DF3EC8D8B15A2E2DC5641419C3D3060CFE32238C0FA973F7AA3'",
            "MEASUREMENT_VALUE": "b'53C234E5E8472B6AC51C1AE1CAB3FE06FAD053BEB8EBFD8977B010655BFDD3C3'",
            "CCA_SW_COMPONENT_HASH_ID": "sha-256"
        },
        {
            "SW_COMPONENT_TYPE": "RSE_S",
            "SIGNER_ID": "b'5378796307535DF3EC8D8B15A2E2DC5641419C3D3060CFE32238C0FA973F7AA3'",
            "MEASUREMENT_VALUE": "b'1121CFCCD5913F0A63FEC40A6FFD44EA64F9DC135C66634BA001D10BCF4302A2'",
            "CCA_SW_COMPONENT_HASH_ID": "sha-256"
        },
        {
            "SW_COMPONENT_TYPE": "AP_BL1",
            "SIGNER_ID": "b'5378796307535DF3EC8D8B15A2E2DC5641419C3D3060CFE32238C0FA973F7AA3'",
            "MEASUREMENT_VALUE": "b'1571B5EC78BD68512BF7830BB6A2A44B2047C7DF57BCE79EB8A1C0E5BEA0A501'",
            "CCA_SW_COMPONENT_HASH_ID": "sha-256"
        },
        {
            "SW_COMPONENT_TYPE": "AP_BL2",
            "SIGNER_ID": "b'5378796307535DF3EC8D8B15A2E2DC5641419C3D3060CFE32238C0FA973F7AA3'",
            "MEASUREMENT_VALUE": "b'10159BAF262B43A92D95DB59DAE1F72C645127301661E0A3CE4E38B295A97C58'",
            "CCA_SW_COMPONENT_HASH_ID": "sha-256"
        },
        {
            "SW_COMPONENT_TYPE": "SCP_BL1",
            "SIGNER_ID": "b'5378796307535DF3EC8D8B15A2E2DC5641419C3D3060CFE32238C0FA973F7AA3'",
            "MEASUREMENT_VALUE": "b'10122E856B3FCD49F063636317476149CB730A1AA1CFAAD818552B72F56D6F68'",
            "CCA_SW_COMPONENT_HASH_ID": "sha-256"
        },
        {
            "SW_COMPONENT_TYPE": "SCP_BL2",
            "SIGNER_ID": "b'F14B4987904BCB5814E4459A057ED4D20F58A633152288A761214DCD28780B56'",
            "MEASUREMENT_VALUE": "b'AA67A169B0BBA217AA0AA88A65346920C84C42447C36BA5F7EA65F422C1FE5D8'",
            "CCA_SW_COMPONENT_HASH_ID": "sha-256"
        },
        {
            "SW_COMPONENT_TYPE": "AP_BL31",
            "SIGNER_ID": "b'5378796307535DF3EC8D8B15A2E2DC5641419C3D3060CFE32238C0FA973F7AA3'",
            "MEASUREMENT_VALUE": "b'2E6D31A5983A91251BFAE5AEFA1C0A19D8BA3CF601D0E8A706B4CFA9661A6B8A'",
            "CCA_SW_COMPONENT_HASH_ID": "sha-256"
        },
        {
            "SW_COMPONENT_TYPE": "RMM",
            "SIGNER_ID": "b'5378796307535DF3EC8D8B15A2E2DC5641419C3D3060CFE32238C0FA973F7AA3'",
            "MEASUREMENT_VALUE": "b'A1FB50E6C86FAE1679EF3351296FD6713411A08CF8DD1790A4FD05FAE8688164'",
            "CCA_SW_COMPONENT_HASH_ID": "sha-256"
        },
        {
            "SW_COMPONENT_TYPE": "HW_CONFIG",
            "SIGNER_ID": "b'5378796307535DF3EC8D8B15A2E2DC5641419C3D3060CFE32238C0FA973F7AA3'",
            "MEASUREMENT_VALUE": "b'1A252402972F6057FA53CC172B52B9FFCA698E18311FACD0F3B06ECAAEF79E17'",
            "CCA_SW_COMPONENT_HASH_ID": "sha-256"
        },
        {
            "SW_COMPONENT_TYPE": "FW_CONFIG",
            "SIGNER_ID": "b'5378796307535DF3EC8D8B15A2E2DC5641419C3D3060CFE32238C0FA973F7AA3'",
            "MEASUREMENT_VALUE": "b'9A92ADBC0CEE38EF658C71CE1B1BF8C65668F166BFB213644C895CCB1AD07A25'",
            "CCA_SW_COMPONENT_HASH_ID": "sha-256"
        },
        {
            "SW_COMPONENT_TYPE": "TB_FW_CONFIG",
            "SIGNER_ID": "b'5378796307535DF3EC8D8B15A2E2DC5641419C3D3060CFE32238C0FA973F7AA3'",
            "MEASUREMENT_VALUE": "b'238903180CC104EC2C5D8B3F20C5BC61B389EC0A967DF8CC208CDC7CD454174F'",
            "CCA_SW_COMPONENT_HASH_ID": "sha-256"
        },
        {
            "SW_COMPONENT_TYPE": "SOC_FW_CONFIG",
            "SIGNER_ID": "b'5378796307535DF3EC8D8B15A2E2DC5641419C3D3060CFE32238C0FA973F7AA3'",
            "MEASUREMENT_VALUE": "b'E6C21E8D260FE71882DEBDB339D2402A2CA7648529BC2303F48649BCE0380017'",
            "CCA_SW_COMPONENT_HASH_ID": "sha-256"
        }
    ]
}

五、基于 RSE 的 DICE 保护环境（DPE）

DICE Protection Environment（DPE） 服务使得能够在隔离的执行环境中执行 DICE 指令。

它向客户端提供一个接口，以 CBOR 对象编码的方式发送 DICE 指令，作用于不透明的上下文句柄。

DPE 服务在其内部上下文上执行 DICE 派生和认证，而不会将 DICE 机密（私钥和 CDI）暴露在隔离环境之外。

---

5.1. DPE API

定义位置：

include/lib/psa/dice_protection_environment.h

API 原型如下：

dpe_error_t
dpe_derive_context(int      context_handle,
                   uint32_t cert_id,
                   bool     retain_parent_context,
                   bool     allow_new_context_to_derive,
                   bool     create_certificate,
                   const DiceInputValues *dice_inputs,
                   int32_t  target_locality,
                   bool     return_certificate,
                   bool     allow_new_context_to_export,
                   bool     export_cdi,
                   int     *new_context_handle,
                   int     *new_parent_context_handle,
                   uint8_t *new_certificate_buf,
                   size_t   new_certificate_buf_size,
                   size_t  *new_certificate_actual_size,
                   uint8_t *exported_cdi_buf,
                   size_t   exported_cdi_buf_size,
                   size_t  *exported_cdi_actual_size);

---

5.2. 构建时配置选项

• MEASURED_BOOT：启用可信启动功能。

• DICE_PROTECTION_ENVIRONMENT：布尔值标志，用于在启用 RSE 可信启动时，指定是否使用 DPE 作为后端。默认值为 0。若设置为 1，则可信启动过程中收集的度量值及其元数据将发送至 DPE 进行存储和处理。

• DPE_ALG_ID：指定测量镜像所使用的哈希算法，默认值为 sha-256。

---

5.3. 示例证书链

参见：

plat/arm/board/tc/tc_dpe.h

---

六、RSE OTP 资产管理

RSE 为 AP 提供对 OTP 中资产的访问权限，包括用于镜像签名验证的密钥，以及用于回滚保护的非易失性计数器。

---

6.1. 非易失性计数器 API

AP 与 RSE 之间用于获取和递增非易失性计数器的接口如下：

定义位置：

include/lib/psa/rse_platform_api.h

psa_status_t rse_platform_nv_counter_increment(uint32_t counter_id)

psa_status_t rse_platform_nv_counter_read(uint32_t counter_id,
        uint32_t size, uint8_t *val)

该服务允许读取/递增 ARM CCA 平台上使用的以下三种非易失性计数器：

• 用于 CCA 固件（BL2、BL31、RMM）的计数器；

• 用于安全固件的计数器；

• 用于非安全固件的计数器。

---

6.2. 公钥 API

AP 与 RSE 之间用于读取 ROTPK（Root of Trust Public Key）的接口如下：

定义位置：

include/lib/psa/rse_platform_api.h

psa_status_t rse_platform_key_read(enum rse_key_id_builtin_t key,
        uint8_t *data, size_t data_size, size_t *data_length)

该服务允许读取 ARM CCA 平台上使用的以下三种 ROTPK：

• 用于 CCA 固件（BL2、BL31、RMM）的 ROTPK；

• 用于安全固件的 ROTPK；

• 用于非安全固件的 ROTPK。

---

6.3. 获取熵的 API

AP 与 RSE 之间用于读取熵值的接口如下：

定义位置：

include/lib/psa/rse_platform_api.h

psa_status_t rse_platform_get_entropy(uint8_t *data, size_t data_size)

该服务允许读取由 RSE 生成的熵值。