1. 课程导入与受限设备密钥管理全景

在物联网、工业控制、车联网和身份识别等场景中，密钥是设备身份可信与数据机密性的根基。然而，大量终端设备并非功能完整的服务器，而是资源极其有限的受限设备。它们可能是只有几十KB RAM的MCU、靠纽扣电池运行数年的无线传感器、仅能通过射频场取电的RFID标签，或是算力与存储都受严格约束的智能卡安全芯片。本章的目标是建立一张"全景图"：先看清受限设备到底"受限"在哪里，再理解密钥从生成到销毁的完整生命周期，以及每个阶段在资源约束下会遇到的核心挑战。

一、学习目标

完成本章后，读者应能够：

• 准确界定受限设备的四类约束——算力、存储、能耗与通信，并说明它们如何影响密码算法的选择与密钥长度；
• 描述密钥生命周期七个阶段（生成、分发、存储、使用、更新、撤销、销毁）的输入、输出与关键安全目标；
• 识别受限设备密钥管理中最典型的矛盾，例如"安全强度要求高"与"算力能耗预算低"之间的冲突；
• 为后续章节建立统一术语：密钥层级、信任根、密钥句柄、密钥槽位、防回滚计数器等。

二、受限设备"受限"在何处

把一台服务器和一枚RFID标签放在一起比较，差异不是"性能高低"，而是"约束维度不同"。理解约束，才能理解为什么受限设备不能照搬通用密码工程的做法。

算力约束。典型低端MCU主频在16～120MHz，无硬件乘法器或仅有单周期乘法，缺少MMU和浮点单元。RSA-2048签名在纯软件实现下可能耗时数百毫秒到数秒，而ECC P-256点乘通常只需几十毫秒。因此受限设备普遍倾向椭圆曲线密码（ECC）而非RSA，或直接使用对称算法与轻量级密码（如AES-128、PRESENT、Ascon）。

存储约束。Flash常在64KB～1MB，RAM在8KB～256KB。密钥本身虽小（AES-128密钥仅16字节），但密钥管理需要额外的元数据：密钥ID、用途标识、有效期、使用计数器、完整性校验值。若为每个密钥保留32字节元数据，16个密钥就占用512字节，这在8KB RAM中已不可忽视。更关键的是，密钥不能以明文长期驻留可被读取的Flash，必须依赖安全存储区或加密后存储。

能耗约束。无线传感器常以电池供电，目标寿命3～10年。一次ECC点乘的能耗可能相当于数小时休眠电流，因此密钥协商不能频繁执行。设计上通常采用"一次协商、长期使用会话密钥派生"的策略，把非对称运算次数压到最低。

通信约束。NB-IoT、LoRa、RFID等链路带宽低、时延大、可能间歇断连。密钥分发与更新协议必须容忍丢包、支持分片、避免多轮往返。例如RFID标签与读写器之间一次交互可能只有几百比特的传输预算，无法承载完整的证书链。

三、密钥生命周期全景

密钥不是"生成后一直用"的静态数据，它有明确的生命周期。七个阶段构成一条闭环链路，任一环节失守都会让整体安全归零。

生成：密钥必须来自密码学安全的随机源。受限设备常缺少真随机数发生器（TRNG），若用伪随机数或低熵种子，密钥空间会被大幅压缩。工程上常用"片上TRNG+DRBG"组合，并在出厂时注入设备唯一种子。

分发：把密钥安全地送到设备。方式包括出厂预置、安全通道下发、基于密钥协商的派生。受限设备常采用预共享密钥（PSK）或基于设备证书的轻量握手。

存储：密钥在静态时必须受保护。手段包括安全芯片内部存储、Flash加密存储、密钥加密密钥（KEK）包裹。核心目标是防止提取与篡改。

使用：密钥参与加解密、签名、MAC计算。理想情况下密钥不离开安全边界，只暴露"使用接口"而非密钥值。

更新：定期或事件触发地更换密钥，限制单密钥泄露的影响范围。更新需防回滚，避免攻击者重放旧密钥。

撤销：当设备丢失、密钥泄露或设备退役时，使密钥立即失效。受限网络常用短有效期证书、CRL分片或在线状态查询。

销毁：密钥生命周期终点。必须确保密钥材料被覆写而非简单删除，防止从残留存储中恢复。

四、为什么受限设备的密钥管理更难

通用服务器上，密钥可以放在HSM或TPM中，用完整的证书链、在线OCSP和定期轮换来保障。受限设备没有这些条件，于是产生了几组典型矛盾。

第一组：安全强度与算力预算。若强行在8位MCU上跑RSA-2048，签名时间可能超过通信超时窗口，导致协议失败。工程上的折中是改用ECC P-256，或对对称场景直接使用AES-128-GCM，把非对称运算限制在极少数关键握手环节。

第二组：密钥数量与存储容量。一台设备可能需要设备身份密钥、固件签名验证公钥、会话密钥、组播密钥、恢复密钥。若每个都独立存储，元数据开销迅速膨胀。常见做法是建立密钥层级：一个根密钥（KEK）保护多个工作密钥，工作密钥以密文形式存储，用时才解密到RAM，用完立即清零。

第三组：更新频率与能耗寿命。频繁更新密钥会显著缩短电池寿命。合理的策略是：会话密钥每次通信派生，长期密钥按事件（如设备迁移、管理员指令）或按较长周期（如90天）更新，并用单调计数器防止回滚。

第四组：撤销实时性与通信间歇。设备可能长时间离线，无法及时收到撤销指令。因此受限网络更依赖"短有效期+本地策略"：证书有效期设为数天，设备在每次连接时校验有效期，过期即拒绝使用，从而把撤销的实时性要求转化为时间窗口约束。

五、贯穿全课的统一术语

为避免后续章节歧义，先约定几个核心术语。信任根（Root of Trust）是设备启动和密钥操作的不可变信任起点，通常由固化在ROM中的公钥或安全芯片实现。密钥句柄（Key Handle）是应用层引用密钥的标识，应用只能通过句柄请求加解密，无法直接读取密钥值。密钥槽位（Key Slot）是安全存储中预留给密钥的固定位置，带用途和权限属性。防回滚计数器（Monotonic Counter）是只能递增的计数器，用于拒绝旧版本密钥或旧固件的重放。

这四类约束与七个阶段共同构成本课程的分析框架。后续每一章都会回到这张全景图：先定位当前阶段，再分析它受哪类约束影响最大，最后给出可落地的工程做法。读者在阅读时不妨持续自问：这个方案在算力、存储、能耗、通信四个维度上分别付出了什么代价，又换来了什么安全收益。