4. 密钥生命周期管理：从出生到销毁的全流程把控

密钥管理这件事，说白了就是管好一把钥匙的「一生」。从它被生成出来，到最终被销毁，每一个环节都不能出岔子。我在做安全芯片项目时见过太多「密钥泄露」的案例，十有八九不是算法被攻破，而是管理流程出了漏洞。

你想想看，一个密钥如果被随意复制、长期不换、或者销毁不彻底，那加密再强也没用。所以这一章，咱们把密钥的六个阶段掰开揉碎讲清楚。

4.1 密钥生成：起点决定安全基线

密钥生成是第一步，也是最容易被轻视的一步。我见过有人直接用「12345678」当密钥——嗯，这跟没锁门差不多。

真正的密钥生成必须满足三个条件：

• 真随机性：不能靠软件伪随机，必须用硬件真随机数发生器（TRNG）
• 足够熵源：至少混合芯片噪声、时钟抖动、热噪声等多种物理源
• 不可预测：生成过程不能被外部观测或干扰

我个人习惯在产线烧录阶段做两件事：一是用芯片内置TRNG生成设备唯一密钥，二是把生成过程的状态记录到安全日志中。这样万一出问题，还能追溯。

4.2 密钥分发：传输即风险

密钥分发是最容易出问题的环节。为什么？因为密钥一旦离开生成环境，就要经过通信链路，而链路永远不可信。

我曾经在一个IoT项目中遇到这样的情况：厂商把批量密钥用U盘拷贝到产线，结果U盘丢了——整个批次的产品都得报废重做。

安全的分发方式只有两种：

分发方式	适用场景	安全等级
物理运输（安全芯片内预置）	高安全需求、小批量	高
密钥协商协议（如ECDH）	产线自动化、大批量	中高
加密传输（用传输密钥保护）	远程分发、OTA	中

4.3 密钥存储：锁在保险柜里

密钥存储的核心就一句话：密钥不能以明文形式出现在非安全存储区。

常见的存储方案有：

• 安全元件（SE）：独立硬件，防物理攻击，适合金融级应用
• TEE（可信执行环境）：在主CPU内隔离出一个安全区，适合移动设备
• eFuse/OTP：一次性可编程存储，适合烧录后不可更改的场景
• 加密存储：用主密钥加密后存到Flash，但主密钥本身必须硬件保护

我个人最推荐的做法是：密钥永远不离开安全硬件。使用时在硬件内部完成运算，只输出结果，不输出密钥本身。这就是所谓的「密钥不出域」原则。

4.4 密钥使用：用对地方，用对方式

密钥不是万能钥匙。每种密钥都有它的用途，混用是大忌。

举个例子：签名密钥和加密密钥必须分开。如果你用签名密钥去加密数据，攻击者就可能通过签名操作推导出密钥信息。

密钥使用时的几个铁律：

1. 最小权限：每个密钥只做一件事
2. 使用计数：限制密钥的使用次数，防止暴力破解
3. 审计日志：每次使用都要记录，包括时间、操作类型、结果
4. 超时锁定：连续失败N次后锁定密钥

我记得有一次调试固件签名流程，发现签名密钥被反复调用了几十万次——原来是测试代码忘了关循环。从那以后，我强制要求所有密钥使用必须带计数器和超时保护。

4.5 密钥轮换：定期换锁芯

密钥用久了，泄露风险就会累积。轮换的目的就是让攻击者即使拿到旧密钥，也无法解密新数据。

轮换策略一般分两种：

轮换类型	触发条件	典型周期
时间驱动	固定时间间隔	90天 / 180天 / 1年
事件驱动	密钥泄露、人员变动、安全审计	立即执行

在固件签名场景中，我建议采用双密钥机制：同时维护新旧两套密钥，旧密钥用于验证已签名的固件，新密钥用于签名新固件。等所有旧固件都升级完成后，再废弃旧密钥。

4.6 密钥销毁：死要见尸

密钥销毁是最后一个环节，也是最容易被忽略的。很多人觉得「删掉文件就行了」——其实远远不够。

真正的销毁必须做到：

• 物理不可恢复：对于OTP/eFuse，直接熔断或烧毁存储单元
• 覆盖写入：对于可写存储，至少覆盖3次不同数据（全0、全1、随机数）
• 证书撤销：如果密钥有对应的证书，必须在CA端撤销
• 审计记录：销毁操作必须留痕，包括销毁时间、操作人、见证人

我曾经处理过一个返厂设备，里面还残留着产线测试密钥。虽然测试密钥权限很低，但万一被恶意利用，还是能造成影响。从那以后，我要求所有产线设备在出厂前必须执行一次「密钥清零」流程。

4.7 全生命周期流程图

下面这张图把六个阶段串起来了。你可以把它贴在工位上，每次做密钥管理时对照检查。

4.8 实战中的常见坑

最后，我把自己踩过的坑总结一下，希望能帮你少走弯路：

• 坑一：密钥生成时用了伪随机数。结果就是同一批设备的密钥都一样——等于没加密。
• 坑二：密钥分发时用了明文传输。虽然只是内部网络，但被测试工具抓包抓到了。
• 坑三：密钥销毁只做了文件删除。后来用恢复工具一读，数据还在。
• 坑四：密钥轮换时忘了更新备份。结果旧密钥一删，备份数据全废了。