IoT芯片制造商PKI合作方案

TPM让芯片可信化

可信平台模块（Trusted Platform Module）是一种植于计算机内部为计算机提供可信根的芯片。TPM可作为可信子系统嵌入到PC平台，扩展信任到整个平台上，建立信任链。最终TPM扩展其可信赖性，提供设备身份认证保护隐私安全，建立信任根基，为安全交易提供可信PC。TPM可用于广泛领域的应用，例如在远程访问网络过程中验证平台服务器，反之平台服务器也可以验证客户端；在电子商务交易过程中，通过TPM非对称加密功能用数字签名签署合同；客户端PC设备配置TPM可以向服务器报告客户端状态，以便管理员了解客户端的可信赖性。TPM作为系统的服务提供者，可以让交易更加安全可信。

EK证书——TPM可信模块的核心

EK 证书，又称认可密钥证书，或称背书密钥证书，是采用PKI 技术的密钥对。认可密钥是一个加密密钥，它永久内置在可信平台模块(TPM)安全硬件(芯片)中，一般在安全硬件制造时预埋。认可密钥的私钥永远不能导出TPM，而认可密钥公钥证书则用于证明TPM 的身份，认可密钥由可信计算工作组(TCG)定义。 微软有关文档要求，所有内置可信平台模块(TPM 2.0)的系统中都必须在TPM 中预置一张EK 证书存放在TPM NV RAM 中。EK 证书不能是芯片厂商或平台厂商自己制作的自签证书，必须是由通过微软认证的Windows 受信任根证书颁发机构(CA)从Windows 信任根下签发，并且必须在证书增强密钥用法中包括认可密钥证书OID: 2.23.133.8.1。

沃通TPM EK 证书实时签发系统

沃通TPM EK 证书实时签发系统，可帮助芯片制造商快速获取内置于TPM中的可信EK证书，不仅完全符合TCG 标准，而且完全满足微软的要求。 TPM EK 证书实时签发系统实际上是一台加密机外加一套证书签发系统，外观就是一台工控机，内置从沃通CA 受Windows 信任的根证书下签发的以厂商名称命名的中级根证书，所有EK 证书将从此专用中级根证书下签发。系统通过RJ45 网线与TPM 厂商的生产系统TCP/IP 连接，输入证书请求文件(CSR)，输出EK证书公钥文件，证书签发速度可达5000 张/秒。