PSA Certified 是什么——物联网芯片安全认证的三级体系

PSA Certified 是 Arm 推出的物联网设备安全认证框架。它把"这个芯片安不安全"从一个模糊的问题变成了三级可量化的评估标准。这篇讲清楚三级认证各自测什么、怎么测、对芯片厂和设备厂意味着什么。结论先行，PSA的认证要求会越来越丰富，越来越高！

1. 为什么需要 PSA Certified

在 PSA Certified 之前，物联网设备的安全评估是碎片化的------每家芯片厂自己说自己的芯片安全，没有统一标准。设备厂选芯片的时候没法横向比较"谁更安全"，客户也没法验证芯片厂的安全声明是不是真的。

PSA Certified 解决这个问题的方式是：定义一套基于 Arm 平台安全架构（PSA）的安全要求，由独立实验室做评估，发证书。三个级别对应不同的安全强度------从"基本安全实践"到"抵御物理攻击"。

关键点：PSA Certified 不是 Arm 自己发证书------是独立的第三方实验室（如 Riscure、TrustCB、DEKRA）做评估。Arm 只定义标准和维护框架。

2. 三级认证体系

Level 1：基本安全实践

Level 1 是入门级------证明产品在开发过程中应用了良好的安全设计原则。

维度	内容
评估方式	自我评估 + 文档审查
测试内容	安全启动、加密库、固件更新流程是否实现
实验室介入	不需要渗透测试
防御能力	基础软件攻击
典型芯片	Cortex-M0+/M3/M4 级别，无 TrustZone

Level 1 的核心是"你有没有做该做的事"------安全启动实现了吗？加密库用了吗？固件更新有验签吗？不测试你做得有多好，只测试你做了没有。

Level 2：抵御软件攻击

Level 2 在 Level 1 的基础上，要求通过独立实验室的渗透测试------证明 PSA-RoT 能抵御远程、可扩展的软件攻击。

维度	内容
评估方式	独立实验室黑盒渗透测试
测试内容	源代码审查 + 漏洞分析 + 渗透测试
评估方法	SESIP Level 2
防御能力	远程软件攻击（不含物理攻击）
典型芯片	Cortex-M23/M33 + TrustZone

Level 2 的核心是"黑盒测试"------实验室不知道你的源码（黑盒），通过外部接口尝试攻击你的 PSA-RoT。如果能攻破，就不通过。测试覆盖九项安全要求（PSA-RoT Protection Profile）：

安全启动完整性
安全存储机密性和完整性
加密服务正确性
设备身份认证
安全调试
固件更新完整性
生命周期管理
隔离有效性
随机数质量

Level 3：抵御物理 + 软件攻击

Level 3 是最高级别------在 Level 2 的基础上，增加白盒评估和物理攻击测试。

维度	内容
评估方式	独立实验室白盒评估 + 物理攻击测试
测试内容	源代码审查 + 漏洞分析 + 渗透测试 + 侧信道攻击 + 故障注入
评估方法	SESIP Level 3
防御能力	软件攻击 + 物理攻击（侧信道、故障注入、篡改）
典型芯片	Cortex-M33/M55 + TrustZone + SAU + 硬件加密引擎

Level 3 的核心是"白盒测试"------实验室能看到你的源码和设计文档，做深度漏洞分析。同时做物理攻击测试：

侧信道攻击（SCA）：通过功耗、电磁辐射、时间延迟等信息推断密钥
故障注入（FI）：通过电压毛刺、时钟毛刺、激光注入让 CPU 跳过安全检查
篡改攻击：拆开芯片封装，直接探测总线

Level 3 适合高风险设备------智能门锁、支付终端、汽车电子。这些设备攻击者能物理接触，所以必须防物理攻击。

Level 4（新增）

Silicon Labs 在 2025 年推出了 PSA Level 4 认证------在 Level 3 基础上增加集成安全元件（iSE）或独立安全芯片（SE），防御更复杂的物理攻击（如激光故障注入）。目前 Level 4 还在推广阶段，认证产品极少。

3. PSA Certified 和 SESIP 的关系

很多人把 PSA Certified 和 SESIP 搞混。它们不是竞争关系------是配合关系。

维度	PSA Certified	SESIP
定义者	Arm	GlobalPlatform
评估方法	基于 SESIP	通用评估框架
灵活性	必须符合 PSA 参考架构	安全功能范围可自定义
关系	用 SESIP 做评估方法	PSA 是 SESIP 的一个应用

简单说：SESIP 是评估方法，PSA Certified 是用 SESIP 评估 Arm PSA 架构的认证品牌。芯片厂做 PSA Certified Level 2 认证时，实验室用 SESIP Level 2 的方法做测试。

4. 认证对芯片厂和设备厂意味着什么

对芯片厂

认证级别	芯片厂需要做什么	价值
Level 1	实现安全启动 + 加密库 + 固件更新 + 文档	基础市场准入
Level 2	Level 1 + TrustZone + TF-M + 通过渗透测试	中高端 IoT 市场准入
Level 3	Level 2 + 硬件加密引擎 + 侧信道防护 + 通过白盒测试	高安全市场（汽车/支付/医疗）

芯片厂拿到 PSA Certified 之后，设备厂用这颗芯片做产品认证时可以复用芯片的认证结果------不需要从头做。这大幅降低了设备厂的认证成本。

对设备厂

场景	推荐认证级别	原因
消费级 IoT（灯泡、传感器）	Level 1	成本敏感，物理攻击风险低
智能家居（门铃、摄像头）	Level 2	有网络接口，需要防远程攻击
智能门锁、支付终端	Level 3	攻击者能物理接触，必须防物理攻击
汽车电子	Level 3	功能安全 + 信息安全双重要求

5. 已认证的芯片举例

芯片	厂商	认证级别	关键硬件
nRF5340	Nordic	Level 2	双核 Cortex-M33 + CryptoCell-312
nRF9160	Nordic	Level 2	Cortex-M33 + CryptoCell-310
RA8M1/RA8D1	Renesas	Level 3	Cortex-M85 + TrustZone
EFR32BG24	Silicon Labs	Level 3	Secure Vault + TrustZone
RW612	NXP	Level 3 + SESIP 3	TrustZone + 硬件加密

6. 和 EU CRA 的关系

欧盟 Cyber Resilience Act（CRA）2027 年强制执行，所有进入欧盟的 IoT 设备必须有安全认证。EN 18031 是 CRA 的统一基准。

PSA Certified 和 CRA 的对接方式：

PSA Level 1 对应 CRA 的基本安全要求
PSA Level 2 对应 CRA 的中等安全要求
PSA Level 3 对应 CRA 的高安全要求

如果你的产品要进欧盟市场，PSA Certified 是目前最直接的认证路径之一。

7. 客户需求调研------谁在要 PSA Certified

7.1 Matter 智能家居------Level 2 是事实门槛

Matter 1.2 规范要求设备支持安全启动、设备身份认证（X.509 PKI 证书）、AES-128-CCM 加密通信、ECDSA 签名固件更新。这些要求直接对应 PSA Level 2 的九项安全要求中的前四项。

实际市场反馈：

Nordic nRF54H 系列超过 PSA Level 3 要求，主打 Matter 智能家居
ESP32-C6 是全球首款 PSA Level 2 认证的 RISC-V 芯片，乐鑫明确对标 Matter 市场
NXP RW612 同时拿到 PSA Level 3 + SESIP 3，面向 Matter + 欧盟 RED 双合规
Silicon Labs 六代 SoC（SixG301）拿到 PSA Level 4，主打 Matter 智能照明

客户为什么需要：Matter 兼容平台认证要求芯片平台预集成安全机制。如果芯片已经通过 PSA Certified，设备厂做 Matter 认证时可以复用芯片的安全评估结果------不需要从头做。这直接降低 Matter 认证成本和时间。

7.2 欧盟 RED + CRA------2025-2027 强制合规

欧盟无线电设备指令（RED）第 3(3)条 d/e/f 项于 2025 年 8 月 1 日生效，要求所有进入欧盟的无线设备满足网络安全、隐私和欺诈防护要求。EN 18031 是 RED 的统一基准。

CRA（Cyber Resilience Act）2027 年强制执行，覆盖所有联网设备。

法规	生效时间	安全要求	PSA 对应级别
RED 3(3) d/e/f	2025-08-01	网络安全 + 隐私 + 防欺诈	PSA Level 1-2
CRA	2027	全生命周期安全	PSA Level 2-3
EN 18031-1	2025	基本安全要求	PSA Level 1
EN 18031-2	2025	中等安全要求	PSA Level 2
EN 18031-3	2025	高安全要求	PSA Level 3

客户为什么需要：不通过认证就不能进欧盟市场。这不是"做了更好"的问题，是"不做不行"的问题。芯片厂如果提前拿到 PSA Certified，设备厂用这颗芯片做 RED/CRA 合规时可以直接引用芯片的认证结果。

7.3 车载电子------Level 3 是起点

车载蓝牙数字钥匙、TPMS、车载音频等场景对物理攻击的防御要求高------攻击者能直接接触车辆。

实际需求：

Renesas RA8M1/RA8D1（Cortex-M85）拿到 PSA Level 3，面向车载 + 工业
车规级认证还需要 ISO 26262 功能安全认证，和 PSA Certified 是互补关系

客户为什么需要：车企定点要求芯片通过 PSA Level 3 或等效安全认证。没有认证的芯片连定点资格都没有。

7.4 支付终端------Level 3 起步，Level 4 趋势

支付终端面临最高级别的物理攻击风险------攻击者有经济动机拆机探测。

实际需求：

Silicon Labs SixG301（PSA Level 4）明确面向支付级安全
PSA Level 4 要求集成安全元件（iSE）或独立安全芯片（SE），防御激光故障注入
传统支付终端用独立安全芯片（SE），PSA Level 4 允许 SoC 集成 iSE 替代独立 SE

客户为什么需要：支付行业认证（PCI PTS）要求硬件安全模块。PSA Level 4 是目前最接近 PCI PTS 要求的 IoT 芯片级认证。

7.5 医疗设备------Level 2-3

医疗设备需要保护患者隐私数据（HIPAA 法规），同时面临物理接触风险。

实际需求：

连续血糖监测（CGM）设备需要安全存储 + 安全通信
远程医疗设备需要设备身份认证 + 端到端加密
PSA Level 2 满足大部分医疗 IoT 需求，Level 3 用于植入式设备

7.6 需求汇总

应用场景	推荐 PSA 级别	驱动因素	市场规模
Matter 智能家居	Level 2	Matter 认证 + RED 合规	大（亿级设备）
欧盟出口 IoT	Level 1-2	RED/CRA 强制	大（欧盟全市场）
车载电子	Level 3	车企定点 + ISO 26262	中（千万级）
支付终端	Level 3-4	PCI PTS + 物理攻击防御	小（百万级）
医疗设备	Level 2-3	HIPAA + 患者数据保护	中（千万级）
工业物联网	Level 2	IEC 62443 + 远程攻击防御	中（千万级）

8. 认证流程和周期

8.1 认证步骤

复制代码

① 准备阶段          ② 评估阶段           ③ 认证阶段
┌──────────┐       ┌──────────┐       ┌──────────┐
│ 威胁建模  │──────→│ 实验室评估 │──────→│ 发证 + 维护│
│ 安全设计  │       │ 渗透测试  │       │ 年度复审  │
│ 文档准备  │       │ 漏洞分析  │       │          │
│ 自评估    │       │ 物理攻击  │       │          │
└──────────┘       └──────────┘       └──────────┘
  3-6 个月            2-4 个月           持续

阶段	Level 1	Level 2	Level 3
准备	1-2 个月	3-6 个月	6-12 个月
评估	自评估	2-3 个月	3-4 个月
总周期	2-3 个月	6-9 个月	12-16 个月
费用（估）	低（文档审查）	中（实验室测试）	高（白盒+物理攻击）

8.2 认证维护

PSA Certified 不是一次性的------证书有效期内需要年度复审。如果芯片固件有重大更新（如安全启动流程变更），需要重新评估。

9. 九项安全要求详解（PSA-RoT Protection Profile）

Level 2/3 的渗透测试围绕九项安全要求展开。每一项都有明确的测试目标和攻击场景：

#	安全要求	测什么	攻击场景
1	安全启动完整性	固件签名验证能否被绕过	替换固件、篡改签名验证逻辑
2	安全存储	密钥和敏感数据是否加密存储	拆 Flash 直接读、调试接口读取
3	加密服务正确性	AES/SHA/ECC 实现是否有漏洞	侧信道分析、随机数质量测试
4	设备身份认证	设备证书能否被伪造或复制	克隆设备、伪造 Attestation Token
5	安全调试	调试接口是否需要认证	JTAG/SWD 直接连接读取密钥
6	固件更新完整性	OTA 更新能否被注入恶意固件	中间人攻击、回滚攻击
7	生命周期管理	设备状态转换是否受控	从调试状态提取生产密钥
8	隔离有效性	安全世界和非安全世界是否真正隔离	从 NS 访问 S 内存、分区越界
9	随机数质量	TRNG 输出是否满足熵要求	NIST SP800-22 测试套件

这九项不是独立的------它们互相支撑。比如第 1 项（安全启动）依赖第 3 项（加密正确性，验签用的 ECC）和第 9 项（随机数质量， nonce 生成）。第 5 项（安全调试）依赖第 7 项（生命周期管理，调试只在特定阶段开放）。

10. 和其他安全认证的对比

PSA Certified 不是唯一的安全认证。芯片厂经常面临"做哪个认证"的问题：

认证	定义者	适用场景	和 PSA 的关系
PSA Certified	Arm	IoT 芯片 + 设备	---
SESIP	GlobalPlatform	IoT 产品安全评估	PSA 用 SESIP 做评估方法
Common Criteria (CC)	ISO/IEC 15408	政府/军用高安全	SESIP 从 CC 演化而来
FIPS 140-3	NIST	加密模块（美国/加拿大）	和 PSA 不冲突，可并行做
IEC 62443	ISA	工业自动化安全	PSA Level 2 可辅助 IEC 62443-4-2
PCI PTS	PCI SSC	支付终端	PSA Level 4 接近 PCI PTS 要求
ISO 26262	ISO	汽车功能安全	和 PSA 互补（功能安全 vs 信息安全）

实际操作中，芯片厂通常先做 PSA Certified（因为 Arm 生态支持最完整），然后根据目标市场追加其他认证。比如：

进欧盟 → PSA + EN 18031
进美国 → PSA + FIPS 140-3
进车载 → PSA + ISO 26262
进支付 → PSA Level 4 + PCI PTS

11. 芯片厂的实操路径

如果要做 PSA Certified，路径大致如下：

11.1 Level 1 路径（最低门槛）

步骤	内容	前提
1	实现安全启动（固件签名验证）	硬件支持 RSA/ECC 验签
2	集成加密库（PSA Crypto API）	TF-M 或自研
3	实现安全固件更新（防回滚）	Flash 分区 + 版本号管理
4	编写安全文档	威胁模型 + 安全设计文档
5	自评估 + 提交	对照 Level 1 清单逐项检查

Level 1 不需要 TrustZone。

11.2 Level 2 路径（中高端门槛）

步骤	内容	前提
1	Level 1 全部内容	---
2	集成 TF-M（安全分区 + SPM）	TrustZone for Cortex-M
3	实现安全调试（ADAC 或等效）	调试口认证
4	实现设备身份认证（Attestation）	设备证书 + 签名 Token
5	通过独立实验室渗透测试	2-3 个月
6	修复实验室发现的问题	可能需要 1-2 轮修复

Level 2 需要 TrustZone，需要用 PMP 做等效隔离（参考 ESP32-C6 的做法）。

11.3 Level 3 路径（高安全门槛）

步骤	内容	前提
1	Level 2 全部内容	---
2	硬件加密引擎（抗侧信道）	DPA/CPA 防护设计
3	故障注入防护（时钟/电压监测）	硬件 tamper 检测
4	白盒评估（实验室看源码）	源码 + 设计文档提交
5	物理攻击测试	侧信道 + 故障注入 + 篡改
6	修复 + 复测	可能需要 2-3 轮

Level 3 的硬件成本最高------需要专门的抗侧信道设计和 tamper 检测电路。

12. 常见踩坑

坑	说明	规避
安全启动验签太慢	验签时间 > 2s，客户不接受	参考 $\[安全启动时间测量与优化$ ] 的优化方案
TRNG 熵不够	NIST 测试不通过，随机数质量不达标	硬件 TRNG + 健康检查 + 熵池累积
调试口没关	实验室通过 JTAG 直接读出密钥	生命周期管理：生产阶段强制关闭调试口
固件回滚攻击	旧版本固件有已知漏洞，攻击者刷回旧版	防回滚：固件版本号写入 eFuse，单调递增
TF-M 固件太大	安全分区占 Flash 太多，挤压应用空间	参考 $\[安全启动时间测量与优化$ ] 的固件压缩方案
侧信道泄露	AES/ECC 的功耗曲线泄露密钥	掩码方案 + 随机化操作顺序 + 硬件 DPA 对抗

13. Spec 参考

文档	内容
PSA Certified Level 1 Requirements	Level 1 的安全功能要求清单
PSA-RoT Protection Profile	Level 2/3 的九项安全要求
SESIP Methodology	评估方法（黑盒/白盒/渗透测试）
EN 18031-1/2/3	EU CRA 合规基准
DEN0063 (FF-M)	PSA 固件框架规范