[参考译文] CC3220SF：代码签名证书的最小密钥大小增加到3072位

您好，

1. TI 不是供应商，因此我们无法提供此服务。 我不知道有哪些特定授权机构仍可以提供2048个密钥，但如果有的话，您肯定可以使用它。
2. 您可以在串行闪存中使用 OTP 使用专用目录。 它所做的只是替换 TI 提供的目录证书，使客户能够完全控制目录中引入的根 CA 证书。 在这种情况 下，客户需要生成公钥和私钥，并将公钥存储在 OTP 中(使用此密钥而不是 ROM 中的 TI 公钥)。 此选项仍然允许连接到安全站点，并且具有使用 TI 目录的所有优点(因此它是无缝的)。 在这种情况下，解决方案是存储新的根 CA (支持大于2K 的密钥)，但同时保留一个自签名根 CA，该根 CA 仅为 MCU 映像使用2K 密钥，可以在生产过程中绕过限制。 请注意，例如，在 OTA 期间，NWP 具有4K 关键支持。 限制仅在生产过程中出现，因为引导加载程序不支持4K 密钥。
3. 设备不会检查用于文件系统操作(仅用于连接到安全站点)的证书的过期时间。 这可能会引发问题，但这并不是真正的安全漏洞，因为用于文件系统的证书完全控制存储这些证书的用户，并且没有服务器发送证书链进行身份验证，因为该链已经在文件上 系统。

此致，

什洛米

您好，

只需快速评论第2点。 OTP 目录的使用有一个很大的缺点。 OTP 目录只能由 Uniflash 软件(通过 UART)编写。 这意味着在这种情况下，通过嵌入式编程或 Gang 编程进行的生产编程不起作用。 这会使大规模生产复杂化。

1月

请 确认，选项3允许代码签名证书过期不会影响设备编程或过期后的 OTA 更新。  如果是这样，这似乎是我们中拥有现有代码签名证书的用户的最佳选择。

对于选项2，是否可以更新已部署设备的 OTP？  OTP 编程记录在哪里？     我们目前参考 SWPA230A，“CC3120和 CC3220 SimpleLink Wi-Fi嵌入式编程”进行设备编程。

谢谢你，

标记