AM261x PKE硬件加密引擎：从ECC/RSA加速到抗侧信道攻击实战

1. 项目概述：深入AM261x PKE硬件加密引擎

在嵌入式系统，尤其是物联网终端、工业控制器和汽车电子领域，安全不再是“锦上添花”，而是“生死攸关”的底线需求。这些设备往往资源受限，却要处理密钥协商、身份认证、固件签名验证等复杂的密码学运算。如果全靠软件实现，不仅会严重消耗宝贵的CPU周期和内存，更可能因侧信道攻击（如功耗分析、时序分析）而泄露密钥。因此，集成专用的硬件密码学加速引擎，成为高性能、高安全嵌入式处理器的标配。

德州仪器（TI）的AM261x系列处理器内置的PKE（Public Key Engine，公钥引擎）正是这样一个为“硬核”安全场景设计的模块。它不是一个简单的协处理器，而是一个高度集成、指令化的专用硬件，能够以远高于软件的速度，且以抗侧信道攻击的方式，执行椭圆曲线密码学（ECC）和RSA这两大公钥密码体系的底层数学运算。我们这次要拆解的，就是这颗引擎如何“庖丁解牛”般地处理像Ed25519、X25519（Curve25519）这样的现代椭圆曲线算法，以及经典的RSA。

简单来说，PKE扮演了一个“密码学算盘”的角色。你（软件）不需要知道蒙哥马利阶梯算法具体怎么一步步算，也不需要操心大数模乘的优化。你只需要按照约定好的“菜谱”（即命令和内存映射），把原料（私钥、公钥坐标、曲线参数）放进指定的“碗”（SRAM中的存储槽Slot），然后喊一声“开始炒菜”（写入MCG命令）。PKE就会在后台火力全开，完成所有复杂的点乘、模幂运算，最后把成品（计算出的公钥、签名或解密结果）放回指定的“碗”里。整个过程，CPU几乎可以“袖手旁观”，极大地提升了系统整体性能和实时性。

2. PKE引擎的架构与核心设计思路

要理解PKE怎么用，必须先理解它的“工作台”设计。这直接决定了我们软件驱动的编写方式。

2.1 双引擎架构：MCG与MAU的分工

PKE内部并非铁板一块，它清晰地分为两个层级，这反映了从高级密码学原语到底层大数运算的抽象。

MCG（Mau Command Generator）：这是面向密码学应用的“高级厨房”。它理解像ED25519_KEYGEN（生成Ed25519密钥对）、RSA_DECRYPT（RSA解密）这样的高级指令。当你下发一个MCG命令，MCG会将其分解成一系列更底层的算术运算步骤，并调度MAU去执行。你可以把它看作一个“自动炒菜机”，你告诉它“做一份宫保鸡丁”，它会自动按顺序完成“切丁、过油、爆炒、勾芡”等步骤。

MAU（Modular Arithmetic Unit）：这是执行基础数学运算的“灶台和锅具”。它直接处理大整数（通常256位、384位或更长）的模加、模减、模乘、模逆等操作。MCG分解出来的每一个步骤，最终都会转化为一个或多个MAU命令。MAU是真正进行“翻炒”和“加热”的单元。

这种分工带来了巨大的灵活性。对于标准算法（如Ed25519签名），你可以直接使用MCG命令，省心省力。如果你需要实现一个非标准的椭圆曲线协议，或者进行自定义的密码学构造，你也可以绕过MCG，直接向MAU发送一系列精心编排的底层运算命令，实现“手动炒菜”。输入资料中提到的POINT_MUL_ADD（点乘加）命令就是一个介于两者之间的例子，它是一个特定的、但非完整的密码学原语。

2.2 核心工作区：Slot内存映射模型

PKE与软件交互的核心是一个结构化的内存工作区，通常是一块专用的SRAM，被划分为16个（或更多）固定大小的“槽”（Slot）。每个Slot可以存放一个大整数（例如一个坐标或一个密钥分量）。

这个模型是理解所有命令的关键。每一个MCG高级命令，都严格定义了它的“输入配方”和“输出摆盘”：

• 输入映射表：明确告诉你，执行这个命令前，必须把参数A放到Slot 0，参数B放到Slot 1，曲线参数C放到Slot 14等等。表格中的“In ROM?”列尤其重要，它告诉你这个参数是必须由软件提供（No），还是PKE内部ROM已经预置了标准曲线的值（Yes）。例如，对于ED25519_KEYGEN，magic值、生成器坐标gu、模数p、参数A24都是“In ROM? Yes”，这意味着对于标准Curve25519，你不需要自己填写这些复杂的数字，引擎已经内置了。
• 输出映射表：命令执行成功后，计算结果会存放在指定的Slot中。例如，ED25519_KEYGEN成功后，压缩形式的公钥pyc在Slot 11，而私钥的两个分量s0和s1会在Slot 3和4中被“重新盲化”后输出。

这种设计的精妙之处在于：

1. 确定性：软件驱动编写有据可依，流程固定。
2. 安全性：通过Slot的“清除”行为（On success/On error clears slots...）自动擦除敏感中间数据，防止残留信息泄露。
3. 高效性：数据在引擎内部SRAM中流动，避免了与系统主存频繁交换带来的性能开销和安全风险。

2.3 核心算法加速：蒙哥马利曲线与阶梯算法

为什么Ed25519在PKE上这么快？核心在于它利用了曲线的等价形式和高效率算法。

Curve25519与蒙哥马利曲线：Ed25519签名算法底层使用的椭圆曲线实际上是Curve25519，但它用的是扭曲爱德华兹曲线形式。而Curve25519与蒙哥马利曲线在数学上是同构的。蒙哥马利曲线有一个巨大的优势：它的点运算公式特别简单，尤其适合一种叫做“蒙哥马利阶梯”的算法来计算点乘k * P。

蒙哥马利阶梯：这是PKE硬件加速的灵魂。它是一种计算标量乘法的算法，其最突出的特点是运算过程与标量k的每一位具体是0还是1无关。无论k是0还是1，算法都执行相同序列的点和加倍操作。这从根本上消除了通过观测功耗或执行时间来推测密钥k（即私钥）的可能性，是一种天然的、高效的抗侧信道攻击手段。PKE在硬件层面固化实现了这个阶梯算法，因此执行X25519（ECDH）或Ed25519签名中的核心点乘运算时，既快又安全。

“Magic”值的奥秘：在Ed25519的密钥生成和签名过程中，需要从蒙哥马利坐标转换回爱德华兹坐标。这个转换过程需要知道曲线上一个特定点的x坐标，即资料中提到的“magic”值。这个值是固定的，对于Curve25519，它是(2^259)*G这个点在爱德华兹曲线上的x坐标。PKE的ROM里已经预存了这个值，所以软件无需关心其来源，直接使用即可。这体现了硬件引擎“黑盒化”复杂数学细节的设计哲学。

3. 核心命令详解与实战操作流程

了解了架构，我们来看具体怎么“炒菜”。我们以最常用的Ed25519签名和验证为例，拆解整个流程。

3.1 Ed25519密钥生成（ED25519_KEYGEN）

目标：生成一个Ed25519密钥对（私钥sk，公钥pk）。

软件准备流程：

1. 生成私钥种子：在软件侧，使用安全的随机数生成器（如硬件TRNG）产生一个32字节的随机数，作为私钥种子seed。

2. 计算私钥并盲化：这是关键的安全步骤。私钥sk并非直接使用seed，而是对seed进行哈希（SHA-512）等处理后的结果。更重要的是，PKE要求私钥以加法盲化的形式输入。这意味着你需要：

   • 生成一个随机的盲化因子blind。
   • 将私钥sk拆分为两个共享s0和s1，满足(s0 + s1) mod q = sk，其中q是子群的阶。
   • 将s0和s1分别写入PKE SRAM的Slot 3和Slot 4。
   • （注意：输入资料中显示s0, s1是“additively-blinded private key”，即加法盲化。而ECDH_MONTGOMERY命令使用的是“XOR-blinded”，即异或盲化。这是不同命令针对不同算法和攻击模型采用的不同侧信道防护策略。）

3. 填充ROM参数：对于标准Curve25519/Ed25519，你不需要手动设置Slot 2 (magic)、12 (gu)、13 (q)、14 (p)、15 (A24)。因为它们的“In ROM?”标记为Yes，PKE在执行命令时会自动从内部ROM加载这些预定义的曲线参数。这是一个重要的简化。

4. 触发命令：将命令码0x1A（对应ED25519_KEYGEN）写入MCG命令寄存器。

5. 等待与获取结果：轮询状态寄存器或等待中断，确认命令完成。成功后：

   • Slot 3和4：会输出重新盲化后的私钥分量。这意味着每次操作后，盲化因子都更新了，进一步增强了抗侧信道攻击能力。
   • Slot 11：存放着压缩公钥pyc（32字节）。这就是最终的Ed25519公钥。
   • Slot 5-10, 12：这些Slot的内容会被引擎自动清除，确保不留下中间计算数据。

实操心得：私钥管理永远不要在PKE外部以明文形式存储或处理完整的私钥sk。最佳实践是：在安全环境中（如安全启动的初始阶段）生成seed和初始盲化因子，计算得到初始的s0和s1，然后立即将它们写入PKE的SRAM。此后，私钥仅以盲化分量的形式存在于PKE内部。每次签名操作后，PKE会输出新的盲化分量，软件需要将其安全存储，用于下一次签名。这样，即使系统内存被窃取，攻击者也无法获得完整的有效私钥。

3.2 Ed25519签名（ED25519_SIGN_P1&ED25519_SIGN_P2）

Ed25519签名被分为两个阶段，这是因为签名算法S = r + H(R, A, M) * sk mod q中的哈希计算H(R, A, M)需要用到消息M，而PKE没有哈希硬件。因此需要软件介入完成哈希。

第一阶段（P1）：计算R = r * G

1. 生成Nonce并盲化：软件使用私钥和消息的哈希（RFC 8032规范）来生成一个随机数r。同样，需要对其进行加法盲化，拆分为n0,n1，存入Slot 0和1。
2. 输入私钥分量：将当前（已盲化的）私钥分量s0,s1放入Slot 3和4。
3. ROM参数：同样，magic,gu,q,p,A24（Slot 2, 12, 13, 14, 15）由ROM自动提供。
4. 触发P1命令：写入命令码0x1B（ED25519_SIGN_P1）。
5. 获取中间结果：完成后，Slot 11中得到了签名组件R（的编码）。同时，Slot 0和1中的nonce被更新为修改后的盲化形式，Slot 3和4中的私钥被重新盲化。

软件介入：计算挑战值c6.哈希计算：软件需要根据Ed25519标准，将R（来自Slot 11）、公钥A和消息M进行SHA-512哈希，得到64字节的哈希值，取其前半部分（或按规定处理）作为挑战值c（一个标量）。 7.盲化挑战值c：为了在后续计算中保持抗侧信道，同样需要对c进行盲化处理（如果需要，根据PKE的要求可能拆分为c0,c1），并准备好放入P2阶段的输入Slot。

第二阶段（P2）：计算S = r + c * sk8.准备P2输入： * Slot 0, 1: 放入P1阶段更新后的n0,n1。 * Slot 2, 5: 放入盲化后的挑战值分量c0,c1（根据输入表，Ed25519没有c2）。 * Slot 3, 4: 放入P1阶段更新后的私钥分量s0,s1。 * Slot 13: 放入阶q（来自ROM）。 9.触发P2命令：写入命令码0x1C（ED25519_SIGN_P2）。 10.获取最终签名：完成后，签名的s分量出现在Slot 12。最终的Ed25519签名就是(R, s)。

注意事项：状态保持与Slot管理输入资料特别指出：ED25519_SIGN_P2不会清除Slot 11（存放R）和Slot 12。这意味着在P1和P2之间，以及P2完成后，R都安然无恙地待在Slot 11里。这设计非常贴心，允许软件在P2完成后，一次性从Slot 11和Slot 12读取完整的(R, s)签名。务必仔细阅读每个命令的“On success, it clears slots...”和“On error, it clears slots...”部分，错误的Slot管理会导致数据丢失或状态混乱。

3.3 Ed25519验证（ED25519_VERIFY）

验证是相对简单的单命令操作，因为验证公式[8]R = [8]S * G - [8]c * P中的所有参数都是公开的。

1. 准备输入：
   • Slot 0: 压缩公钥pyc。
   • Slot 2, 3, 4, 5: 挑战值c（盲化后）、签名分量r（即R的编码）、签名分量s。
   • Slot 10, 11, 12, 13, 14, 15: 曲线参数i（-1的平方根）、生成器坐标gy,gx、阶q、模数p、爱德华兹曲线参数d。注意：验证命令使用的是爱德华兹坐标形式，且这些参数大多需要从ROM加载或手动计算填入。
2. 触发命令：写入命令码0x1D（ED25519_VERIFY）。
3. 判断结果：命令执行成功即代表验证通过。如果签名无效，命令会返回错误。输出Slot 3和11会保留r值，用作故障对抗措施。

3.4 RSA操作与模幂运算

PKE同样为RSA提供了硬件加速，分为公开指数操作和私有指数操作。

RSA公开操作（RSA_PUBLIC, 0x21）：用于加密或验证签名。即计算c = m^e mod N。

• 输入：Slot 0放明文/消息m，Slot 2放模数N，Slot 3放公钥指数e。
• 输出：Slot 0输出密文c。
• 关键检查：引擎会检查m < N且N为奇数，这是RSA运算的基本要求。

RSA私有操作（RSA_DECRYPT/RSA_SIGN, 0x22/0x23）：用于解密或生成签名。即计算m = c^d mod N。这是最需要保护的操作，因为私钥d参与运算。

• 侧信道防护：私钥d以异或盲化的形式输入：d = d0 XOR d1。运算过程中，引擎还会引入随机盲化因子b，实际计算(c * b)^d * b^{-d} mod N，以对抗差分功耗分析（DPA）。
• 输入：Slot 0放密文c，Slot 2放N，Slot 3放一个公开指数e（用于盲化验证），Slot 4和5放盲化私钥分量d0,d1。
• 输出：Slot 0输出明文m。
• 后验证：命令内部会计算m^e mod N，并与原始的c比较，作为故障注入攻击的检测手段。如果不等，返回“bad parameters”错误。

通用模幂（MODEXP, 0x24）：这是一个更底层的命令，用于计算x^d mod N。当d是公开的，或者其最高位信息不重要时使用（因为它使用从左到右的扫描算法，会泄露d的最高位）。私钥指数同样需要异或盲化。

4. 故障注入攻击（FIA）对抗措施详解

对于安全芯片，攻击者不仅会偷听（侧信道），还会“搞破坏”（故障注入）。PKE集成了多层硬件防御。

4.1 BCH编码：内存与寄存器的“纠错码”

这是最底层的防护。PKE对所有关键的时序逻辑单元（寄存器）、只读存储器（ROM）、静态RAM（SRAM）和暂存器中的数据与地址总线，都采用了距离为4的BCH码进行保护。

• 原理：在写入数据时，硬件会根据数据内容生成额外的校验位（奇偶校验位）一起存储。读取时，重新计算校验位并与存储的校验位对比。
• 能力：距离为4的BCH码可以100%检测出3位或更少的随机比特翻转。对于超过3位的故障，检测概率也极高（>90%）。这能有效防御由电压毛刺、时钟扰动或电磁脉冲引起的随机比特错误。
• 影响：一旦检测到错误，PKE不会尝试纠正（为了安全性和复杂度），而是直接触发恐慌（Panic）状态，停止当前操作并清除敏感状态。

4.2 算法级与状态机防护

1. 椭圆曲线点校验：在执行任何ECC点运算（如点加、倍点）后，PKE在输出结果前，会验证结果点是否仍然满足曲线方程。如果故障导致计算出了一个不在曲线上的点，操作会被中止并报错。这可以防止利用无效点攻击来提取私钥。
2. RSA私有操作验证：如前所述，RSA_DECRYPT在内部计算完毕后，会再用公钥指数e进行验算。如果(c^d)^e mod N != c，则说明在计算c^d的过程中可能发生了故障，或者密钥参数无效，命令会返回错误。
3. 状态机“默认情况恐慌”：PKE内部有许多状态机。在硬件描述语言（如Verilog）中，通常用case语句实现。设计上，所有未明确列出的状态转移（default case）都会导向触发恐慌。这防止了攻击者通过故障将状态机打入一个未定义的、可能绕过安全检测的非法状态。

4.3 软件配合的故障应对策略

当PKE因故障进入ERROR或PANIC状态后，软件不能视而不见。

• ERROR状态：通常可通过向PKE_RESET_CTRL寄存器的pkeFlush位写1来刷新引擎状态，清除错误，使其回到IDLE。这适用于可恢复的软错误。
• PANIC状态：通常意味着检测到了严重的、可能危及安全的故障（如BCH校验失败）。此时，简单的刷新可能不够安全。最稳妥的做法是由系统级软件触发对整个PKE模块的硬件复位，或者将其置于不可用状态，并向上层报告严重安全事件。输入资料中明确提到“does not make any attempt to recover from faults”，因此软件必须负责处置。

5. 软件驱动开发实战与排坑指南

理解了原理和命令，最终要落到代码上。以下是基于AM261x PKE编写驱动时的核心流程和常见陷阱。

5.1 标准操作流程（以MCG命令为例）

// 伪代码示例：Ed25519签名流程 pke_status_t ed25519_sign(const uint8_t *priv_key_share0, const uint8_t *priv_key_share1, const uint8_t *msg, uint32_t msg_len, uint8_t *signature_out) { pke_status_t ret = PKE_OK; // 1. 检查PKE状态，确保IDLE if (PKE_get_status() != PKE_STATE_IDLE) { return PKE_ERR_BUSY; } // 2. 准备Nonce (r)。实践中，r = SHA512(dom2(F, ctx) || prefix || PH(M)) // 其中prefix是私钥哈希的后32字节。这里简化表示。 uint8_t nonce[64]; ed25519_generate_nonce(priv_key_share0, priv_key_share1, msg, msg_len, nonce); // 3. 盲化Nonce，得到n0, n1 (满足 n0 + n1 = r mod q) uint8_t n0[32], n1[32]; pke_blind_scalar_additive(nonce, n0, n1); // 4. 将盲化后的Nonce分量写入SRAM Slot 0, 1 PKE_write_slot(PKE_SLOT_0, n0, 32); PKE_write_slot(PKE_SLOT_1, n1, 32); // 5. 将当前（已盲化）的私钥分量写入Slot 3, 4 PKE_write_slot(PKE_SLOT_3, priv_key_share0, 32); PKE_write_slot(PKE_SLOT_4, priv_key_share1, 32); // 6. 触发ED25519_SIGN_P1命令 (0x1B) PKE_write_mcg_command(MCG_CMD_ED25519_SIGN_P1); // 7. 等待命令完成（轮询或中断） ret = PKE_wait_for_completion(); if (ret != PKE_OK) { PKE_flush(); // 发生错误，刷新引擎 return ret; } // 8. 从Slot 11读取R分量 uint8_t R[32]; PKE_read_slot(PKE_SLOT_11, R, 32); // 9. 软件计算挑战值 c = SHA512(R || public_key || message) (取前32字节处理) uint8_t c[32]; ed25519_challenge_compute(R, public_key, msg, msg_len, c); // 10. 盲化挑战值c（如果需要，根据PKE要求） uint8_t c0[32], c1[32]; pke_blind_scalar_additive(c, c0, c1); // 11. 准备P2阶段输入 // 读取P1更新后的Nonce和私钥分量（它们已在Slot 0,1,3,4中） // 写入盲化后的挑战值到Slot 2, 5 PKE_write_slot(PKE_SLOT_2, c0, 32); PKE_write_slot(PKE_SLOT_5, c1, 32); // Slot 13的q应由ROM自动设置，通常无需软件写入 // 12. 触发ED25519_SIGN_P2命令 (0x1C) PKE_write_mcg_command(MCG_CMD_ED25519_SIGN_P2); // 13. 等待命令完成 ret = PKE_wait_for_completion(); if (ret != PKE_OK) { PKE_flush(); return ret; } // 14. 从Slot 12读取s分量，与Slot 11的R组合成最终签名 uint8_t s[32]; PKE_read_slot(PKE_SLOT_12, s, 32); memcpy(signature_out, R, 32); memcpy(signature_out + 32, s, 32); // 15. （重要）读取并保存PKE输出的、重新盲化后的私钥分量，用于下次签名 PKE_read_slot(PKE_SLOT_3, new_priv_share0, 32); PKE_read_slot(PKE_SLOT_4, new_priv_share1, 32); // 将new_priv_share0/1安全存储，替换旧的私钥分量 return PKE_OK; }

5.2 常见问题与排查技巧

问题1：命令执行返回“bad parameters”错误。

• 可能原因1：Slot数据未按规范准备。这是最常见的原因。务必对照技术参考手册（TRM）中的输入映射表，检查每个Slot的数据格式、字节序（通常是大端序）、长度是否正确。特别注意“In ROM?”为Yes的Slot，如果你错误地写入了数据，可能会覆盖ROM值或造成冲突。
• 可能原因2：数据值域不合法。例如，在ECC操作中，提供的点坐标（gx,gy,px,py）可能不在曲线上；模数p或阶q是偶数；A24或magic值大于等于p。对于RSA，检查m < N且N为奇数。
• 排查步骤：
  1. 仔细核对TRM中对应命令的“This command will raise an error if:”列表。
  2. 在写入PKE SRAM前，在软件中增加完整性检查，例如验证点是否在曲线上（对于自定义曲线）。
  3. 使用调试工具，在命令执行前dump所有相关Slot的内容，与预期值进行比对。

问题2：性能不如预期，或操作耗时波动大。

• 可能原因1：频繁的Slot读写。每次通过AHB总线读写SRAM都有开销。应尽量减少不必要的读写。例如，对于ROM参数，不要每次命令前都写一遍。
• 可能原因2：未充分利用命令流水。PKE的FIFO深度为2（对于MAU命令）。这意味着你可以连续写入两个MAU命令，让引擎在执行第一个时接收第二个，实现轻微的流水化。但对于MCG命令，由于没有FIFO，必须等待上一个完成才能下发下一个。
• 可能原因3：系统总线竞争。如果AHB总线被其他主设备（如DMA、另一个CPU核）大量占用，会影响PKE读写SRAM和命令寄存器的速度。
• 优化建议：
  1. 将一次密码学操作所需的所有输入数据集中准备好，再一次性写入对应的Slot。
  2. 对于由多个MAU命令组成的复杂操作，尝试按顺序连续写入命令，而不是写一个等一个。
  3. 确保PKE所在的总线时钟频率足够高，且总线优先级设置合理。

问题3：如何安全地处理私钥？

• 核心原则：私钥全程以盲化形式存在。
• 初始化：在安全启动阶段，由真随机数生成器（TRNG）生成seed和初始盲化因子。计算初始盲化私钥分量s0,s1后，立即存入PKE SRAM，并将明文seed和盲化因子从内存中彻底清除。
• 持久化存储：如果需要将私钥状态保存到非易失性存储器（如Flash），只存储盲化后的分量s0和s1，绝不存储完整的私钥或原始的seed。
• 每次使用后：PKE命令（如KEYGEN,SIGN）成功后会输出“重新盲化”后的私钥分量。必须用新分量替换旧分量，并安全地更新持久化存储。这实现了前向安全，即使某次运算的盲化因子被攻破，也不会影响之前或之后的签名。

问题4：FIFO进入ERROR状态。

• 触发条件：向已满的FIFO写入命令。对于MAU命令FIFO（深度2），连续写入3条命令而第一条还未被取出时，就会触发。对于MCG命令，连续写入两条（因为MCG命令寄存器只能存一条）就会触发。
• 解决方法：在写入命令前，检查PKE_STATUS寄存器中的FIFO状态。或者，采用“写命令-等待完成”的简单模式，避免并发写入。一旦进入ERROR状态，需要通过pkeFlush操作来复位FIFO。

问题5：选择RSA_SIGN还是RSA_DECRYPT？

• 两者功能相同，都是计算c^d mod N。
• 区别：资料中提到“in the future RSA_DECRYPT might have more blinding”。这意味着RSA_DECRYPT（0x23）在将来可能会引入更强的抗侧信道盲化措施。因此，对于解密操作，建议使用RSA_DECRYPT；对于签名操作，两者皆可，但为了一致性和可能的未来增强，也可以优先使用RSA_DECRYPT。目前，它们的实现可能完全相同。

开发AM261x PKE驱动的过程，是一个与硬件深度对话的过程。它要求开发者不仅理解密码学算法的原理，更要理解硬件引擎的设计哲学、数据流和安全考量。这份手册提供的细节，正是连接高层算法和底层硬件的桥梁。耐心阅读每一张输入输出映射表，理解每个错误条件的含义，严格管理Slot数据的生命周期，你就能充分发挥这颗硬件安全引擎的威力，为你的嵌入式系统构筑起高效而坚固的安全防线。