2、基础知识：智能门锁的硬件组成、本地存储介质（Flash/eMMC）与安全芯片（SE/TEE）的作用
智能门锁作为物理入口与数字世界的交汇点，其安全性的根基并非仅靠软件算法，而是建立在精心设计的硬件架构之上。要理解人脸特征如何被安全加密、权限表如何被防篡改、开锁日志如何防抵赖，首先必须厘清门锁内部的“物理家底”。本章将深入拆解智能门锁的硬件组成，重点剖析本地存储介质（Flash/eMMC）与安全芯片（SE/TEE）在安全存储体系中的核心角色与协同机制。
2.1 智能门锁硬件组成全景
智能门锁的硬件系统可划分为五大功能域：感知输入域、主控计算域、安全信任域、本地存储域以及执行与通信域。每个域承担明确职责，且域间通过特定总线或接口进行数据交换。
- 感知输入域：包括红外/可见光摄像头（用于人脸识别）、指纹传感器（电容式或光学式）、密码键盘、触摸感应、蓝牙/NFC模块。这些传感器采集原始生物特征或凭证信息，其数据精度直接影响后续特征提取质量。
- 主控计算域：通常采用一颗应用级SoC（如瑞芯微RV1126、君正T41、海思Hi3516等），运行Linux或RTOS。该域负责运行人脸检测/识别算法、管理业务逻辑、驱动外设，并作为TEE（Trusted Execution Environment）的宿主。
- 安全信任域：由独立安全芯片（SE）和SoC内部的TEE共同构成。SE是一颗独立于主控的专用安全微控制器，具有自己的CPU、存储和密码运算引擎；TEE则是主SoC内划分出的安全世界，与普通世界（REE）隔离。
- 本地存储域：以SPI NOR Flash、NAND Flash或eMMC为主，用于持久化存储人脸特征密文、权限表、开锁日志、固件镜像等。存储介质的选择直接影响读写速度、寿命和安全性。
- 执行与通信域：包括直流电机驱动模块（控制锁芯离合）、电磁锁体、Wi-Fi/BLE通信模块、蜂鸣器、LED指示灯以及防拆开关。该域是物理动作的最终执行者，也是远程攻击的潜在入口。
值得注意的是，电源管理单元（PMU）虽不直接参与安全逻辑，但其稳定性至关重要——电压跌落可能导致Flash写入不完整，进而破坏权限表完整性。因此，高端门锁会配备超级电容或电池电量监测芯片，确保在低电量时仍能完成关键数据的原子写入。
2.2 本地存储介质：Flash与eMMC的选型与安全考量
本地存储介质是安全数据的“最终落脚点”，其物理特性和管理策略直接决定数据安全的下限。当前主流方案为SPI NOR Flash和eMMC，两者在容量、速度、可靠性上差异显著。
| 对比维度 | SPI NOR Flash | eMMC |
|---|---|---|
| 典型容量 | 1MB ~ 64MB | 4GB ~ 128GB |
| 读取速度 | 约 40~80 MB/s（XIP模式） | 约 150~300 MB/s |
| 写入速度 | 约 0.5~2 MB/s（页编程） | 约 20~90 MB/s |
| 擦除粒度 | 扇区（4KB）或块（64KB） | 块（512B~4MB，由FTL管理） |
| 磨损均衡 | 需软件实现（如littlefs） | 内置FTL（Flash Translation Layer） |
| 掉电保护 | 需外部电容或文件系统日志 | 内置紧急掉电保护（需固件配合） |
| 安全特性 | 支持OTP区域、读保护（RDP） | 支持RPMB（Replay Protected Memory Block） |
| 典型应用 | 固件引导、密钥存储、小容量日志 | 人脸特征库、大容量日志、系统镜像 |
在安全存储设计中，RPMB（重放保护内存块）是eMMC最具价值的安全特性。RPMB允许主机与eMMC之间通过共享密钥进行认证读写，每次访问都携带单调递增计数器，有效防止重放攻击。对于人脸特征这类敏感数据，若使用eMMC，应优先将特征密文存放于RPMB分区；若使用NOR Flash，则需依赖SE的计数器机制实现类似保护。
2.3 安全芯片（SE）与TEE：信任根的双保险
安全芯片（SE）与TEE构成了智能门锁的“双信任根”体系。两者并非替代关系，而是互补：SE提供物理级防护，TEE提供隔离执行环境。
SE（Secure Element）是一颗独立的安全微控制器，典型产品如恩智浦SE050、紫光同芯THD89、华大电子CIU98系列。其核心能力包括：
- 密钥安全存储：私钥永远不离开SE硬件，即使主控被完全攻破，攻击者也无法直接读取私钥。
- 密码运算加速：内置AES、RSA、ECC、SM2/SM3/SM4国密算法引擎，运算过程不经过主控总线。
- 防物理攻击：具备主动屏蔽层、电压/频率/温度检测、光攻击防护，拆片分析难度极高。
- 安全通道协议：支持与主控建立加密通道（如SCP03），防止总线窃听。
TEE（Trusted Execution Environment）则基于ARM TrustZone技术，在SoC内部划分出安全世界。TEE的优势在于：
- 高性能隔离：人脸特征提取算法可在TEE中运行，避免特征明文出现在普通世界内存中。
- 安全存储扩展：TEE内部有安全存储API，可将数据加密后存储在Flash，密钥由TEE管理。
- 安全外设访问：可配置仅允许安全世界访问摄像头、指纹传感器等外设的中断和DMA通道。
2.4 案例拆解：某型号门锁因存储设计缺陷导致权限绕过
为加深理解，我们复盘一个真实的安全事件。某品牌智能门锁（型号M1）被安全研究员发现存在严重漏洞：攻击者可通过物理拆机，短接Flash芯片的地址线，直接读取存储内容。
背景与约束：M1门锁使用SPI NOR Flash存储所有数据，包括管理员指纹特征、密码哈希和开锁日志。该门锁未配备独立SE，仅依赖SoC内置的加密引擎对数据进行AES-ECB加密，且加密密钥硬编码在固件中。
攻击过程：
- 攻击者拆下门锁主板，使用编程器读取Flash全部内容（约16MB）。
- 通过固件逆向，提取出硬编码的AES密钥（32字节）。
- 使用该密钥解密Flash中的权限表，发现权限表未做完整性校验（无MAC或签名）。
- 攻击者修改权限表，将自己添加为管理员，重新加密并写回Flash。
- 重新安装主板，使用新添加的管理员指纹成功开锁。
关键失败点分析：
| 失败环节 | 具体问题 | 正确设计 |
|---|---|---|
| 密钥管理 | 密钥硬编码在固件中，未使用SE保护 | 密钥应存储在SE内部，固件仅存密钥ID |
| 加密模式 | 使用ECB模式，相同明文产生相同密文，易被分析 | 使用AES-GCM或AES-CCM，带随机IV和认证标签 |
| 完整性校验 | 权限表无签名，可被篡改 | 权限表需SE私钥签名，修改后签名失效 |
| 防拆响应 | 无防拆开关或防拆后未擦除密钥 | 防拆触发后SE立即销毁DEK，Flash数据变为不可解密 |
修复方案与代价：厂商后续推出M1 Pro版本，增加了SE芯片（型号为某国产安全芯片），并将密钥迁移至SE内部。同时，权限表增加SM2签名，日志采用哈希链防篡改。代价是单颗SE芯片成本增加约8-12元人民币，且固件开发周期延长约3周。该事件也促使行业形成共识：没有SE的门锁，不能声称具备“安全存储”能力。
2.5 常见误区与设计复盘
在智能门锁硬件安全设计中，工程师常陷入以下误区：
- 误区一：认为加密=安全。加密只解决机密性问题，不解决完整性和重放问题。必须配合MAC/签名和计数器机制。
- 误区二：忽略掉电保护。写入权限表时突然断电，可能导致半写状态，使权限表损坏。应使用“双备份+原子切换”策略，或依赖eMMC的紧急掉电保护。
- 误区三：TEE与SE混为一谈。TEE运行在主SoC上，若SoC被物理剖片，TEE中的密钥仍可能被提取；SE是独立芯片，物理防护等级更高。高安全场景必须使用SE。
- 误区四：日志明文存储。开锁日志包含时间、用户ID、开锁方式，若明文存储，攻击者可分析用户作息规律。日志应加密存储，并定期由SE签名。
通过本章的硬件剖析，我们明确了智能门锁安全存储的物理基础。下一环节将聚焦于“人脸特征加密”的具体实现路径，包括特征提取后的数据格式、加密密钥层次结构以及防重放机制的设计。