[参考译文] AM625：Linux 用户区的 AM625上具有唯一的每设备加密

嗨、Ben  

我们的加密硬件也通过标准内核加密 API 在 Linux 用户空间中公开

https://software-dl.ti.com/processor-sdk-linux/esd/AM62X/11_00_09_04/exports/docs/linux/Foundational_Components Crypto/Kernel/SA2UL_OMAP.html Kernel_Drivers

 您可以在在线找到一些简单示例的参考资料、了解如何通过 C 代码手动使用该 API。  

快速谷歌,非常第一结果看起来很好, https://blog.cloudflare.com/the-linux-crypto-api-for-user-applications/

我们在这一主题上的主要 Linux 专家将在接下来的几周内停止工作、因此对于后续查询、回复可能会延迟、但希望这会有所帮助。

此致

Mukul  

您好：

Unknown 说：

我们需要能够对 AM625平台上的某些数据进行唯一的每台设备加密

如果希望每个器件具有唯一性加密、则必须使用与 SoC 相关联的某种唯一身份。 为此、可用于对称密钥的是 DKEK：

https://software-dl.ti.com/tisci/esd/latest/2_tisci_msgs/security/dkek_management.html

此致、

Prashant

你好 Mukul、Prashant、

感谢您的回答。

为了检索 DKEK、是否有关于如何从 Linux 用户空间使用 TISCI 接口的更通用指南？ 例如、我如何检索用于对称加密的 DKEK (实际执行加密不是问题、因为我已经使用 OpenSSL 进行这些操作)。

我已经浏览过 ti_ski.c 内核模块、但我不能立即清楚如何从用户空间与它进行交互、希望有一个指南？

此致、
Ben  

您好 Ben、

可能无法从 Linux 获取 DKEK、因为 Linux 是非安全主机、而 TISCI_MSG_CRYPT_GET_DKEK 只能从 ATF/OPTEE 等安全主机请求。

因此、您必须通过 OPTEE 路由请求

https://github.com/OP-TEE/optee_os/blob/master/core/arch/arm/plat-k3/drivers/ti_sci.c#L308-L308

同样用于导出 HUK：

https://github.com/OP-TEE/optee_os/blob/master/core/arch/arm/plat-k3/main.c#L95-L95

此致、

Prashant

您好、Prashant、

感谢您的澄清。

那么、我如何通过 OP-TEE 路由请求呢？ 我是否需要实施定制的 OP-TEE 软件来实现此目标？ 您能给我介绍一个代码示例吗？

此致、
Ben

您好：

这将涉及编写一个 OPTEE userpace 应用程序、如下所示：

https://github.com/linaro-swg/optee_examples

我将在内部检查一次是否有任何可用的参考代码。

此致、

Prashant

您好：

在内部讨论后、不建议在非安全的世界中暴露 DKEK。 您是否可以将 OPTEE 中的安全存储用于您的用例？

谢谢！

您好 Prashant、

是的、我认为 OP-TEE 安全存储将对我们有效。 您能提供一个使用示例吗、最好是 C 用户空间应用吗？

此致、
Ben