4、密码学基础：对称加密（AES）、非对称加密（RSA/ECC）、哈希函数（SHA-256）在设备认证中的角色
TinyML设备通常指具备有限计算能力、存储空间和功耗预算的嵌入式终端，它们通过Wi-Fi、BLE、LoRa或NB-IoT等链路接入物联网平台。在设备认证场景中，密码学并非用于加密大流量业务数据，而是解决三个核心问题：证明设备身份的真实性、保护认证过程中交换的敏感参数、确保认证消息的完整性。对称加密、非对称加密和哈希函数在认证流程中承担完全不同的角色，理解它们的适用边界与组合方式，是设计安全TinyML设备注册与认证方案的前提。
上图展示了三类密码学原语在设备认证中的核心分工。实际TinyML认证方案几乎从不单独依赖某一种算法，而是采用“非对称做身份、对称做保护、哈希做校验”的组合策略。下面从原理、流程、案例和误区四个维度展开。
4.1 核心原理：三类密码学原语的数学基础与安全属性
对称加密（AES）基于替换-置换网络（SPN）结构，使用同一把密钥完成加密和解密。AES-128的密钥长度为16字节，在TinyML设备上，一次128位块加密仅需约200-400个CPU周期（取决于是否有硬件加速器）。其安全属性是机密性——防止未授权方读取认证令牌或会话密钥。但对称加密本身不解决密钥分发问题：如果攻击者能从设备固件中提取预共享密钥，整个认证体系即告崩溃。
非对称加密（RSA/ECC）基于数学难题（大整数分解或椭圆曲线离散对数）。RSA-2048的私钥操作（签名）在低端MCU上可能需要数百毫秒，而ECC P-256的签名时间通常缩短10-20倍。非对称加密提供不可否认性和身份真实性：设备持有私钥，服务器持有公钥，设备签名一条挑战消息，服务器验签成功即证明设备确实拥有对应私钥。ECC在TinyML中更受青睐，因为其密钥更短（256位ECC约等于3072位RSA的安全强度），且计算开销更低。
哈希函数（SHA-256）将任意长度输入映射为固定32字节输出，具备三个关键属性：抗原像性（无法从哈希值反推原文）、抗第二原像性（给定输入难以找到另一输入产生相同哈希）、抗碰撞性（难以找到任意两个不同输入产生相同哈希）。在认证中，SHA-256用于生成消息摘要、派生密钥（通过HKDF）、生成挑战值（nonce），以及校验固件完整性。哈希函数本身不提供机密性，但它是构建HMAC和数字签名的基础组件。
安全强度对照表（以2025年推荐基线为准）
| 算法 | 密钥/参数长度 | 安全强度 | TinyML适用性 | 典型用途 |
|---|---|---|---|---|
| AES-128 | 128 bit | 128 bit | 高（硬件加速常见） | 会话密钥加密、令牌保护 |
| AES-256 | 256 bit | 256 bit | 中（计算量增加约40%） | 高安全场景、密钥包装 |
| RSA-2048 | 2048 bit | 112 bit | 低（签名慢、内存占用大） | 兼容旧基础设施、证书签发 |
| ECC P-256 | 256 bit | 128 bit | 高（签名快、内存占用小） | 设备签名、ECDH密钥协商 |
| SHA-256 | — | 128 bit（抗碰撞） | 高（硬件加速常见） | 完整性校验、HKDF派生 |
4.2 判断方法与操作流程：如何为TinyML设备选择密码学组合
选择密码学方案时，需要评估四个维度：设备算力（MCU主频、是否有硬件加密引擎）、内存预算（RAM和Flash占用）、功耗约束（电池供电设备的认证耗时）、安全等级要求（消费级还是工业级）。以下是推荐的决策流程：
- 步骤1：评估硬件能力——查阅芯片数据手册，确认是否支持AES、SHA-256硬件加速，是否集成安全元件（Secure Element）或TrustZone。例如，ESP32-C3内置AES-128/256和SHA-256硬件加速，但无独立安全元件；nRF52840则支持ARM TrustZone和密码学加速器。
- 步骤2：确定认证模式——如果设备需要接入现有PKI体系（如AWS IoT Core、Azure IoT Hub），必须使用X.509证书，此时非对称加密（ECC P-256优先）是刚需。如果使用预共享密钥（PSK）模式（如MQTT over TLS-PSK），则对称加密为主，但需解决密钥安全存储问题。
- 步骤3：设计密钥生命周期——设备出厂时注入唯一密钥对（私钥写入安全存储区），服务器保存公钥。认证时设备使用ECDSA签名挑战值，服务器验签。同时，通过ECDH协商出AES会话密钥，用于后续通信加密。
- 步骤4：选择哈希函数用途——使用SHA-256计算固件哈希以验证启动完整性；使用HKDF-SHA256从共享秘密派生多个独立密钥（认证密钥、加密密钥、MAC密钥）；使用HMAC-SHA256保护认证消息的完整性。
经验提醒：在TinyML设备上，尽量避免在每次认证时都执行完整的RSA-2048签名操作。如果必须兼容RSA，可考虑将签名操作放在启动时执行一次，后续使用AES会话密钥。ECC P-256在Cortex-M4 @ 100MHz上签名耗时约50-100ms，而RSA-2048可能需要300-800ms，差距显著。
4.3 案例拆解：基于ECC P-256与AES-CCM的TinyML设备注册认证
某智能农业项目部署了2000个基于ESP32-S3的土壤传感器节点，每个节点配备8MB Flash和512KB RAM，通过LoRaWAN网关上报数据。初始方案使用全局PSK，导致一个节点被物理攻击提取密钥后，整个网络沦陷。重新设计后的认证方案如下：
初始现象与目标：攻击者通过JTAG接口读取了Flash中的PSK，伪造数据包注入网关。目标是将认证强度提升至“单设备密钥泄露不影响其他节点”，同时保持单次认证耗时不超过200ms。
关键输入参数：ESP32-S3支持AES-128/256硬件加速、SHA-256加速，无安全元件；LoRaWAN数据包最大242字节；认证超时要求150ms以内；Flash剩余空间约1.2MB可用于存储证书和密钥。
分析判断过程：由于无安全元件，私钥只能存储在Flash的eFuse或加密分区中。ESP32-S3支持Flash加密（AES-XTS），但密钥仍存储在eFuse中，物理攻击者可通过电压故障注入读取。因此，方案采用“每设备唯一密钥对 + 服务器端白名单”模式，即使私钥被提取，攻击者也只能伪装该单一节点。
实际操作步骤：
- 设备出厂时，在安全环境中生成ECC P-256密钥对，私钥写入eFuse（不可读），公钥导出并注册到服务器数据库。
- 设备首次上电，固件计算自身固件哈希（SHA-256），并与服务器下发的期望哈希比对，确保固件未被篡改。
- 设备发起认证请求，服务器返回16字节随机挑战值（nonce）。
- 设备使用私钥对nonce进行ECDSA签名，同时生成临时ECDH公钥，将签名结果和临时公钥一并发送。
- 服务器使用设备注册公钥验签，通过后使用ECDH协商出AES-128会话密钥。
- 后续通信使用AES-128-CCM模式加密，CCM同时提供加密和完整性保护，避免额外HMAC计算。
结果对比：单次认证耗时约120ms（其中ECDSA签名约60ms，ECDH约40ms，其余为通信开销），满足150ms要求。攻击者即使提取了某个节点的私钥，也只能伪造该节点，无法影响其他1999个节点。相比原PSK方案，安全性从“全局共享”提升至“单点隔离”。
风险与代价：服务器需要维护2000个公钥的数据库，密钥轮换需要重新烧录eFuse（不可在线更新）。此外，eFuse写入后不可逆，若密钥生成错误，设备只能报废。因此，出厂烧录环节需要严格的质量控制和抽检。
风险提示：切勿将私钥以明文形式存储在外部SPI Flash中，即使启用了Flash加密，攻击者仍可通过冷启动攻击或电压故障注入获取解密密钥。对于高安全场景，应选用集成安全元件（如ATECC608B）的MCU，将私钥存储在硬件隔离区域。
4.4 常见误区与总结复盘
误区1：认为AES加密就能保证认证安全。AES只提供机密性，不提供身份验证。攻击者可以重放加密后的认证请求，除非使用带随机数的挑战-响应机制或单调计数器。正确做法是使用AES-GCM或AES-CCM认证加密模式，同时提供机密性和完整性。
误区2：在TinyML设备上使用RSA-2048进行每次认证。RSA签名计算量大，且公钥/私钥长度长，占用Flash和RAM。对于资源受限设备，ECC P-256是更优选择。如果必须兼容RSA，建议将RSA操作放在网关或边缘服务器执行，设备仅使用AES。
误区3：忽略哈希函数的侧信道风险。虽然SHA-256本身抗碰撞，但在实现HMAC时，如果密钥长度不足或随机数生成器熵源不良，攻击者可能通过时序分析恢复密钥。应使用硬件随机数生成器（TRNG）生成nonce，并确保密钥长度至少为256位。
误区4：将密钥硬编码在固件中。这是最常见的低级错误。即使固件经过加密存储，攻击者仍可通过动态调试或内存转储提取密钥。正确做法是使用设备唯一ID（如MAC地址、芯片唯一序列号）结合HKDF派生密钥，或使用安全元件存储。
总结复盘：在TinyML设备认证中，密码学选型应遵循“最小必要强度”原则——不是越强越好，而是在满足安全目标的前提下，尽量降低计算和存储开销。推荐基线组合为：ECC P-256（身份认证）+ ECDH（密钥协商）+ AES-128-CCM（会话保护）+ SHA-256（完整性校验）。同时，必须考虑密钥的物理安全存储、随机数生成质量、防重放机制和密钥轮换策略。密码学算法只是安全链条的一环，硬件安全、安全启动、安全更新和运维审计同样不可或缺。