李秀瀅，段曉毅，陳漢林

（北京電子科技學(xué)院 電子信息工程系，北京 100070）

基于專(zhuān)用芯片的密碼工程實(shí)驗(yàn)平臺(tái)的設(shè)計(jì)

李秀瀅，段曉毅，陳漢林

（北京電子科技學(xué)院 電子信息工程系，北京 100070）

針對(duì)當(dāng)前高校密碼工程教育缺少有效的實(shí)驗(yàn)平臺(tái)的問(wèn)題，設(shè)計(jì)了基于通用密碼安全芯片的軟硬件結(jié)合的實(shí)驗(yàn)平臺(tái)。以SoC技術(shù)為依托，平臺(tái)硬件設(shè)計(jì)了安全控制器模塊、ARM模塊和FPGA模塊三個(gè)部分。平臺(tái)的軟件設(shè)計(jì)遵循實(shí)踐教學(xué)規(guī)律，構(gòu)建了符合微軟規(guī)范的CSP，并開(kāi)發(fā)了若干實(shí)驗(yàn)例程。實(shí)踐表明，該平臺(tái)不僅讓學(xué)生全面的掌握密碼工程的相關(guān)知識(shí)，而且增強(qiáng)了學(xué)生的工程實(shí)踐能力和創(chuàng)新能力。該實(shí)驗(yàn)平臺(tái)對(duì)提升密碼工程教學(xué)效果具有重要意義。關(guān)鍵詞：密碼工程；Z32；實(shí)驗(yàn)平臺(tái)；密碼設(shè)備

信息安全技術(shù)重要的基礎(chǔ)就是密碼理論和技術(shù)，當(dāng)前針對(duì)密碼理論方面的人才培養(yǎng)較為普遍，而針對(duì)密碼工程的人才教育卻較為匱乏。隨著信息安全理論與技術(shù)的廣泛應(yīng)用，用于保障信息系統(tǒng)安全的專(zhuān)用密碼系統(tǒng) （文中統(tǒng)稱(chēng)為設(shè)備）已成為不可或缺的重要部分。當(dāng)前的密碼設(shè)備種類(lèi)繁多，如密碼機(jī)、服務(wù)器密碼機(jī)、PCI加密卡、智能IC卡、USB key等。為培養(yǎng)學(xué)生的密碼工程的實(shí)踐能力亟需設(shè)計(jì)開(kāi)發(fā)配套的實(shí)驗(yàn)實(shí)踐平臺(tái)，讓學(xué)生能在實(shí)踐中掌握密碼工程的相關(guān)技術(shù)[1]。

密碼工程（Cryptographic Engineering）主要指密碼系統(tǒng)的設(shè)計(jì)、實(shí)現(xiàn)、測(cè)試、驗(yàn)證和應(yīng)用等工程過(guò)程。密碼系統(tǒng)涉及的內(nèi)容包括加/解密引擎，數(shù)字簽名與驗(yàn)證的軟硬件系統(tǒng)，真隨機(jī)數(shù)，以及密鑰的產(chǎn)生、分發(fā)與管理系統(tǒng)等等。密碼工程涉及的學(xué)科包括數(shù)學(xué)、電子信息工程（硬件設(shè)計(jì)、嵌入式設(shè)計(jì)、各種通信網(wǎng)絡(luò)協(xié)議）及計(jì)算機(jī)科學(xué)（算法設(shè)計(jì)、復(fù)雜性理論、軟件設(shè)計(jì)等）。從以上概念中可以認(rèn)定，密碼工程實(shí)際上是密碼系統(tǒng)即相關(guān)密碼設(shè)備的工程實(shí)踐，所以密碼工程人才教育實(shí)質(zhì)就是培養(yǎng)學(xué)生密碼設(shè)備研發(fā)相關(guān)的工程實(shí)踐能力。

1 總體設(shè)計(jì)

古人云：“工欲善其事，必先利其器”，學(xué)生工程實(shí)踐能力的培養(yǎng)，離不開(kāi)實(shí)驗(yàn)設(shè)備。密碼設(shè)備所涉及的知識(shí)和技術(shù)比較龐雜，不可能讓學(xué)生從一點(diǎn)點(diǎn)搭建實(shí)踐環(huán)境開(kāi)始實(shí)驗(yàn)，而且當(dāng)前市場(chǎng)上缺少密碼工程實(shí)驗(yàn)教學(xué)系統(tǒng)，所以必須從實(shí)踐能力培養(yǎng)的知識(shí)體系出發(fā)，研發(fā)一套適合密碼工程能力培養(yǎng)的實(shí)驗(yàn)教學(xué)系統(tǒng)。

1.1 設(shè)計(jì)思想

該實(shí)驗(yàn)平臺(tái)研制的目的在于：讓學(xué)生了解現(xiàn)代密碼設(shè)備的組成原理、了解密碼工程設(shè)計(jì)思想以及掌握密碼工程相關(guān)技術(shù)。借助該實(shí)驗(yàn)平臺(tái)，學(xué)生可以進(jìn)行一系列與硬件相關(guān)的信息安全工程實(shí)驗(yàn)，如：密碼算法的軟硬件設(shè)計(jì)、密鑰的生成與管理、小型密碼系統(tǒng)的搭建、PKI證書(shū)的管理以及各種密碼服務(wù)設(shè)備的模型構(gòu)造等等?？紤]到實(shí)驗(yàn)設(shè)備的通用性、可擴(kuò)展性以及高效性，所以該實(shí)驗(yàn)平臺(tái)不僅能提供密碼工程相關(guān)課程的實(shí)驗(yàn)環(huán)境，還可以進(jìn)行EDA技術(shù)、電子系統(tǒng)設(shè)計(jì)和嵌入式系統(tǒng)方面的工程實(shí)踐，這樣可以極大的減少設(shè)備的維護(hù)量，提高設(shè)備的利用率。

該實(shí)驗(yàn)平臺(tái)是一個(gè)軟硬結(jié)合的教學(xué)系統(tǒng)，面向設(shè)計(jì)性與綜合性的軟硬件實(shí)驗(yàn)，將ARM、FPGA和通用密碼安全芯片整合到一個(gè)平臺(tái)上，每個(gè)部分又相互獨(dú)立，可進(jìn)行多門(mén)課程的實(shí)驗(yàn)。當(dāng)前嵌入式系統(tǒng)（設(shè)備）向著高度集成化和芯片化方向發(fā)展，所以實(shí)驗(yàn)平臺(tái)采用了面向SoC（片上系統(tǒng)）設(shè)計(jì)的理念，采用國(guó)內(nèi)比較成熟的商用密碼安全芯片作為硬件平臺(tái)的核心。軟件平臺(tái)的設(shè)計(jì)遵循開(kāi)放、通用以及面向教學(xué)的原則，開(kāi)發(fā)硬件平臺(tái)資源的驅(qū)動(dòng)程序、PC機(jī)接口API（應(yīng)用程序編程接口）以及簡(jiǎn)單的實(shí)驗(yàn)例程。其中將平臺(tái)API封裝符合微軟的Crypto API調(diào)用規(guī)范的CSP （Cryptographic Service Provider密碼服務(wù)提供者）。

1.2 平臺(tái)的總體框架

實(shí)驗(yàn)平臺(tái)包含硬件平臺(tái)和軟件平臺(tái)兩部分，硬件平臺(tái)由三大模塊組成：安全控制器模塊、ARM模塊和FPGA模塊。3個(gè)模塊之間既可以互相通信，又可以獨(dú)立工作。每個(gè)模塊都配有相應(yīng)的編程接口。安全控制器模塊的核心組件采用商用的安全控制器芯片Z32U-Flash，ARM模塊的核心組件采用ARM7芯片LPC2468，F(xiàn)PGA模塊的核心組件采用Altera芯片EP2C5Q208。在每個(gè)模塊中都配備相應(yīng)的鍵盤(pán)、按鍵、LED、數(shù)碼管、液晶等外圍電路資源。平臺(tái)的總體框架如圖1所示[2]。

圖1 密碼工程實(shí)驗(yàn)平臺(tái)的框架Fig.1 Architecture of cryptographic engineering experimental platform

2 硬件設(shè)計(jì)

實(shí)驗(yàn)平臺(tái)設(shè)計(jì)了豐富的硬件電路資源，目的是給學(xué)生提供更多的實(shí)踐機(jī)會(huì)，這里的安全控制器模塊是整個(gè)硬件平臺(tái)的核心，密碼工程相關(guān)的眾多實(shí)驗(yàn)都可在其上獨(dú)立進(jìn)行。FPGA模塊可以進(jìn)行硬件電路的擴(kuò)展，其中一個(gè)重要功能就是擴(kuò)展成密碼算法的硬件模塊。ARM模塊既可以作為安全芯片的協(xié)處理器，也可以作為構(gòu)建密碼系統(tǒng)的主控制器。

2.1 密碼安全模塊的硬件設(shè)計(jì)

過(guò)去對(duì)于設(shè)計(jì)一個(gè)提供密碼服務(wù)的設(shè)備來(lái)說(shuō)，需要組織多個(gè)器件，有控制器、大數(shù)運(yùn)算協(xié)處理器、隨機(jī)數(shù)產(chǎn)生器、存儲(chǔ)器以及接口電路等等，隨著芯片技術(shù)的飛速發(fā)展，這些器件都可以集成到一塊芯片中，既提高了性能、減小體積又增加了設(shè)備的安全性，所以本實(shí)驗(yàn)平臺(tái)的密碼安全模塊的核心采用了ZTEIC（中興集成電路公司）生產(chǎn)的一款較為成熟的Z32UF-Flash系列的安全控制器芯片 （簡(jiǎn)稱(chēng)Z32安全芯片），該芯片密碼功能較為齊全，且可以多次編程，適合學(xué)生進(jìn)行工程實(shí)踐。Z32安全芯片內(nèi)部的硬件邏輯單元如圖2所示[3]。

圖2 Z32內(nèi)部硬件邏輯結(jié)構(gòu)Fig.2 Inner logic structure of the Z32 chip

安全控制器模塊在Z32安全芯片的基礎(chǔ)上擴(kuò)展了一系列外圍硬件資源。這些外圍組件通過(guò)SPI、GPIO和UART與Z32芯片通信。Z32芯片的GPIO接口有27個(gè)引腳，支持2個(gè)外部中斷，其中1-14引腳可配置成通用并口，這里設(shè)計(jì)將Z32的并口作為與FPGA模塊通信的接口；Z32芯片的SPI接口是工作在主模式下的同步串行接口，與LPC2468芯片的SPI接口直接相連，形成兩模塊的通信通道。該模塊的硬件組成框圖如圖3所示[4]。

圖3 Z32模塊的硬件組成框圖Fig.3 Hardware composition block of Z32 module

2.2 ARM模塊的硬件設(shè)計(jì)

ARM7是一款32位RISC（精簡(jiǎn)指令集）的處理器，實(shí)驗(yàn)平臺(tái)的ARM模塊采用ARM7的LPC2468芯片作為核心組件，配有LCD液晶、撥碼開(kāi)關(guān)、數(shù)碼管、LED、矩陣鍵盤(pán)等外圍組件。利用LPC2468芯片的以太網(wǎng)接口和串口又?jǐn)U展了網(wǎng)絡(luò)模組和GSM模組。ARM7芯片與FPGA芯片通過(guò)32位總線(xiàn)進(jìn)行通信。ARM模塊的硬件組成結(jié)構(gòu)如圖4所示。

圖4 ARM模塊硬件組成框圖Fig.4 Hardware composition block of ARM module

2.3 FPGA模塊的硬件設(shè)計(jì)

FPGA模塊[5]是采用Altera公司的二代FPGA芯片EP2C5 Q208作為核心組件，并將FPGA最小系統(tǒng)部分設(shè)計(jì)成可插拔板塊，便于維修更換。FPGA最小系統(tǒng)增加了EPCS4配置芯片，可以實(shí)現(xiàn)掉電不失程序，它的配置下載方式既有JTAG方式又有AS方式。FPGA模塊配有撥碼開(kāi)關(guān)、數(shù)碼管、LED、矩陣鍵盤(pán)等外圍組件。FPGA模塊獨(dú)立供電，可以單獨(dú)使用。FPGA模塊的硬件組成結(jié)構(gòu)如圖5所示。

圖5 FPGA模塊硬件組成框圖Fig.5 Hardware composition block of FPGA module

3 軟件設(shè)計(jì)

對(duì)于一個(gè)實(shí)驗(yàn)平臺(tái)來(lái)說(shuō)，假如說(shuō)硬件是身體，那么軟件就是靈魂，只有系統(tǒng)的資源完備，有充足的學(xué)習(xí)指導(dǎo)和參考，學(xué)生才能快速且完整的掌握實(shí)踐技能。本實(shí)驗(yàn)系統(tǒng)的軟件平臺(tái)由多部分組成：各模塊的固件程序、ARM7的μC/OS-II操作系統(tǒng)、密碼安全模塊的下載（boot）程序、Window平臺(tái)下的Crypto API所需的CSP以及密碼工程實(shí)驗(yàn)例程。對(duì)于學(xué)習(xí)密碼工程技術(shù)的學(xué)生來(lái)說(shuō)，讓他們了解各器件的電路原理固然重要，但更重要的是讓他們較快的掌握密碼設(shè)備的基本原理和相關(guān)技術(shù)。所以該實(shí)驗(yàn)平臺(tái)一個(gè)重要的目標(biāo)是：讓學(xué)生在掌握硬件電路基本構(gòu)造的基礎(chǔ)上，利用平臺(tái)提供的軟件接口，進(jìn)行各種信息安全工程應(yīng)用相關(guān)的程序設(shè)計(jì)。

3.1 模塊間接口協(xié)議幀

實(shí)驗(yàn)平臺(tái)的3個(gè)硬件模塊包含了眾多的外圍組件，在每個(gè)模塊的固件程序包中都有該部分的接口驅(qū)動(dòng)例程，便于學(xué)生快速的掌握該組件的應(yīng)用。為了讓學(xué)生掌握實(shí)驗(yàn)平臺(tái)的設(shè)計(jì)，各模塊固件程序中設(shè)計(jì)了模塊間的通信協(xié)議幀[6]。封裝的通信接口協(xié)議幀如表1所示。

表1 模塊間通信的接口協(xié)議幀Tab.1 Communication frame between the Modules

接口協(xié)議幀的長(zhǎng)度有10個(gè)字節(jié)組成。Model代表某一硬件模塊；Port指模塊內(nèi)的某個(gè)組件；FrameType指定幀類(lèi)型，包括命令幀、數(shù)據(jù)幀和測(cè)試幀三種；DataFlag表明該幀之后有無(wú)數(shù)據(jù)傳送；DataWidth說(shuō)明數(shù)據(jù)傳送的寬度，不同器件的輸入輸出的數(shù)據(jù)寬度不同，所以在幀頭中說(shuō)明了傳送數(shù)據(jù)的寬度；BufferAdd為傳送數(shù)據(jù)的緩沖區(qū)地址，對(duì)于數(shù)據(jù)幀來(lái)說(shuō)該字段尤為重要；checkBit用來(lái)進(jìn)行幀數(shù)據(jù)的校驗(yàn)，在本接口協(xié)議中采用了CRC校驗(yàn)。

3.2 CryptoAPI層

為了讓學(xué)生深入理解密碼技術(shù)在信息系統(tǒng)中的應(yīng)用，本實(shí)驗(yàn)平臺(tái)利用微軟的MFC編程環(huán)境，將設(shè)備接口（API）封裝成遵循微軟CryptoAPI調(diào)用規(guī)范的CSP，學(xué)生可以在Windows操作系統(tǒng)下，直接調(diào)用CryptoAPI函數(shù)進(jìn)行數(shù)據(jù)加/解密、密鑰生成存儲(chǔ)以及證書(shū)存儲(chǔ)等密碼應(yīng)用。本實(shí)驗(yàn)平臺(tái)的CryptoAPI架構(gòu)如圖6所示[7]。

圖6 實(shí)驗(yàn)平臺(tái)的CryptoAPI應(yīng)用架構(gòu)Fig.6 CryptoAPI architecture of the experimental platform

3.3 密碼工程實(shí)驗(yàn)例程

對(duì)于多數(shù)教學(xué)實(shí)驗(yàn)平臺(tái)來(lái)說(shuō)，實(shí)驗(yàn)例程既是學(xué)生高效、快速掌握密碼工程實(shí)踐技能不可或缺的部分，又是檢驗(yàn)實(shí)驗(yàn)平臺(tái)實(shí)際功能水平的重要方法。在該實(shí)驗(yàn)平臺(tái)的CryptoAPI的基礎(chǔ)之上，系統(tǒng)開(kāi)發(fā)了多個(gè)實(shí)驗(yàn)例程[8]。包括：RSA1024、AES、DES等多種密碼算法的應(yīng)用實(shí)驗(yàn)、FPGA擴(kuò)展密碼算法的應(yīng)用實(shí)驗(yàn)、密鑰產(chǎn)生/刪除/恢復(fù)的實(shí)驗(yàn)、證書(shū)申請(qǐng)和存儲(chǔ)的實(shí)驗(yàn)、密鑰管理（生成、刪除和備份等）的實(shí)驗(yàn)、密碼設(shè)備用戶(hù)管理的實(shí)驗(yàn)等。 圖7是密鑰管理實(shí)驗(yàn)的示例程序。程序?qū)⒋鎯?chǔ)在實(shí)驗(yàn)平臺(tái)IC卡中的主密鑰恢復(fù)到Z32存儲(chǔ)空間中，用于對(duì)新產(chǎn)生的密鑰進(jìn)行加密保護(hù)。

圖7 密鑰管理實(shí)驗(yàn)例程Fig.7 Example program of key management

4 結(jié)束語(yǔ)

密碼工程涉及多個(gè)學(xué)科的知識(shí)和技能，單從課堂上講授，鍛煉不了學(xué)生的實(shí)戰(zhàn)能力。所以本實(shí)驗(yàn)平臺(tái)一方面可作為教學(xué)演示，另一方面為學(xué)生搭建了密碼與信息安全類(lèi)工程實(shí)踐訓(xùn)練的環(huán)境，意在培養(yǎng)學(xué)生的電子設(shè)計(jì)、嵌入式系統(tǒng)設(shè)計(jì)及密碼系統(tǒng)設(shè)計(jì)和實(shí)現(xiàn)的能力。該平臺(tái)資源豐富，對(duì)于電子和信息安全類(lèi)專(zhuān)業(yè)的學(xué)生來(lái)說(shuō)，可以進(jìn)行相關(guān)的課程設(shè)計(jì)和畢業(yè)設(shè)計(jì)。該平臺(tái)目前在北京電子科技學(xué)院電子工程實(shí)驗(yàn)室已經(jīng)有了實(shí)際應(yīng)用，當(dāng)前高校缺少專(zhuān)門(mén)針對(duì)密碼工程的實(shí)驗(yàn)教學(xué)平臺(tái)，該平臺(tái)的研制在一定程度上彌補(bǔ)了我國(guó)在該領(lǐng)域?qū)嵺`教學(xué)設(shè)備的缺失。

[1]惠珗，董剛，張媛，等.網(wǎng)絡(luò)信息安全實(shí)驗(yàn)平臺(tái)的創(chuàng)新設(shè)計(jì)與實(shí)現(xiàn)[J].實(shí)驗(yàn)室研究與探索，2011，30（7）:50-53.

HUI Yue，DONG Gang，ZHANG Yuan，et al.Design and implementation ofinnovation experimentalplatform for internet information security[J].Research and Exploration in Laboratory，2011，30（7）:50-53.

[2]趙佳，劉蘊(yùn)紅.基于模擬開(kāi)關(guān)技術(shù)的可切換實(shí)驗(yàn)平臺(tái)設(shè)計(jì)[J].電子設(shè)計(jì)工程，2011，19（23）:67-70.

ZHAO Jia，LIU Yun-hong.Design of switchable experimental platform based on analog switching technology[J].Electronic Design Engineering，2011，19（23）:67-70.

[3]32位安全控制器Z32U-Flash系列用戶(hù)手冊(cè)[S].深圳:國(guó)民技術(shù)股份有限公司，2007.

[4]梁偉，王建華，陳建泗.即插即用的個(gè)人信息安全設(shè)備的設(shè)計(jì)與實(shí)現(xiàn)[J].自動(dòng)化儀表，2010，31（6）:73-75.

LIANG Wei，WANG Jian-hua，CHEN Jian-si.Design and realization of plug and play personal information security equipment[J].Process Automation Instrumentation，2010，31（6）:73-75.

[5]陳亮，劉金學(xué).基于DSP和FPGA的導(dǎo)航計(jì)算機(jī)系統(tǒng)設(shè)計(jì)[J].現(xiàn)代電子技術(shù)，2012（2）:1-3，6.

CHEN Liang，LIU Jin-xue.Design of navigation computer system based on DSP and FPGA[J].Modern Electronics Technique，2012（2）:1-3，6.

[6]宛鵬飛，黃俊，萬(wàn)志衛(wèi)，等.EPON測(cè)試儀中協(xié)議幀采集的FPGA設(shè)計(jì)與實(shí)現(xiàn)[J].光通信技術(shù)，2011（1）:51-53.

WAN Peng-fei，HUANG Jun，WAN Zhi-wei，et al.Design and implementation of protocol frame acquisition for EPON analyzerbased on FPGA [J].OpticalCommunication Technology，2011（1）:51-53.

[7]Microsoft Crypto API and Cryptographic Service Providers[EB/OL].http:msdn.Microsoft.com.

[8]劉亞楠，劉衛(wèi)東，張小平，等.THINPAD教學(xué)計(jì)算機(jī)實(shí)驗(yàn)平臺(tái)設(shè)計(jì)[J].實(shí)驗(yàn)技術(shù)與管理，2012，29（11）:115-118.

LIU Ya-nan，LIU Wei-dong，ZHANG Xiao-ping，et al.Design of THINPAD experimental platform of teaching coputer[J].Experimental Technology and Management，2012，29 （11）:115-118.

Design of experimental platform for cryptographic engineering based on special-purpose chip

LI Xiu-ying， DUAN Xiao-yi， CHEN Han-lin
（Department of Electronics&Information Engineering， Beijing Electronic Science&Technology Inst.，Beijing 100070 ，China）

An experimental platform for cryptographic engineering based on the general crypt security chip is proposed.It solves the problem that colleges are lack of experimental platform for cryptographic engineering practice education.The platform hardware design relies on System-on-Chip （SoC）.It includes three modules:security chip， ARM and FPGA.The CSP software complying with Microsoft standards and example programs are developed.The practice shows that the platform can not only make students fully master the learning of cryptographic engineering，but also improve their practice capability and innovative ability.It has important significance to improve the teaching effect of cryptographic engineering.

cryptographic engineering；Z32；experimental platform；cryptographic equipment

TP 393.07

A

1674-6236（2014）15-0011-04

2014-03-03 稿件編號(hào)：201403024

新聞出版重大科技工程項(xiàng)目—數(shù)字版權(quán)保護(hù)技術(shù)研發(fā)工程（GXTC-CZ-1015004/05）；2013北京市共建項(xiàng)目；中央高?；究蒲袠I(yè)務(wù)費(fèi)（工程2013）

李秀瀅（1975—），女，黑龍江伊春人，碩士，講師。研究方向：電子工程、信號(hào)處理、信息安全。