【EB AutoCore 模組精解】
KeyM 金鑰與憑證管理模組
因應 CRA 與 ISO 21434 的金鑰生命週期與 X.509 憑證鏈驗證實務。密碼學系統的安全性取決於金鑰儲存與管理的嚴密性。深入剖析 EB AutoCore 架構下 KeyM 的金鑰全生命週期管理機制、X.509 憑證階層校驗，以及如何以標準 BSW 模組構築防竄改的安全更新信任鏈。
1. 車載金鑰管理所面臨的法規衝擊：從靜態常數到動態管控
在過去早期 ECU 開發中，部分專案為圖方便，往往將對稱金鑰（如 AES Key）或公鑰以硬編碼（Hard-coded）方式儲存在 Flash 常數陣列中。然而在當前的法規環境下，這種做法將被判定為重大資安缺失：
- ISO/SAE 21434 規範要求：金鑰資產（Cryptographic Assets）必須根據威脅分析（TARA）實施相應等級的實體與邏輯隔離，金鑰必須具備不可導出性（Non-exportable），且具備嚴格的讀寫存取限制。
- 歐盟 CRA（Cyber Resilience Act）要求：連網設備必須具備強固的身分驗證與憑證撤銷機制；所有韌體鏡像在刷寫前必須經過公鑰數位簽名驗證，並防止因金鑰外洩導致的全車隊系統性崩潰。
為此，AUTOSAR 在 Classic Platform（ACP）中正式規範了 KeyM（Key Management，金鑰管理器） 模組，EB AutoCore 則提供了標準化、符合 AUTOSAR 規範設計的完整模組實現方案。
2. EB AutoCore KeyM 核心功能架構與雙模子系統
EB AutoCore KeyM 內部邏輯上劃分為兩個相互協同的子系統：金鑰管理子系統（Crypto Key Management） 與 憑證管理子系統（Crypto Certificate Management）。
• 金鑰注入、更新與作廢
• KDF 密鑰派生 (HKDF / PBKDF2)
• 金鑰狀態機追蹤 (Valid / NotValid)"]:::keymCore KM_CERT["【KeyM 憑證管理器 (Cert Handler)】
• ASN.1 / DER 格式憑證解析
• X.509 憑證鏈遞迴校驗
• 證書有效期限與 CRL 清單檢核"]:::keymCore CSM["【CSM 密碼服務管理器】
執行簽名驗證、雜湊、金鑰派生演算法"]:::serviceLayer NVM["【NvM 非揮發性儲存層】
持久化加密金鑰槽位與憑證資料"]:::storageLayer KM_KEY -->|調用密碼原語| CSM KM_CERT -->|校驗數位簽章| CSM KM_KEY -->|持久化寫入/讀取| NVM KM_CERT -->|憑證資料存儲| NVM
3. 金鑰全生命週期管理 (Key Lifecycle Management)
在 EB AutoCore KeyM 中，一組金鑰從產生到銷毀經歷完整的受控狀態轉移：
產線安全注入 (Provisioning)
金鑰以密文封裝包形式由後台伺服器或產線設備送達，KeyM 調用解密原語後直接寫入安全儲存區，明文絕不在通訊匯流排上洩漏。
動態派生 (Derivation)
主金鑰（Master Key）保持封存，運行時 KeyM 利用隨機數（Salt）與情境標籤（Label）派生臨時 Session Key，防止主金鑰暴露。
存取權限控制 (Authorization)
配置 Usage Flags（例如：僅限 MAC_VERIFY，禁止 ENCRYPT），嚴格遵循最小授權原則。
安全作廢與零化 (Zeroization)
當金鑰生命週期終止或偵測到底層硬體入侵攻擊時，KeyM 觸發覆寫擦除，使儲存區徹底清零。
4. X.509 憑證鏈遞迴校驗機制：守護 OTA 安全更新
為滿足歐盟 CRA 對「軟體供應鏈安全與防偽造軟體更新」的強制要求，ECU 必須具備完整的公鑰憑證體系（PKI）。
EB AutoCore KeyM 具備高度優化的 ASN.1 解析器，支援標準 X.509 v3 證書鏈校驗流程：
5. 與 CSM 及 NvM 的跨層協同架構
KeyM 本身不實作具體的底層加密演算法，也不直接操作 Flash 物理磁區，而是透過 AUTOSAR 標準協同體系運作：
- 與 CSM 的協同：KeyM 需要計算雜湊或驗證簽名時，建立
CsmJob並指派至對應通道；KDF 金鑰派生（如 AES-CMAC KDF）亦直接調用 CSM 密碼原語完成。 - 與 NvM 的協同：金鑰元資料（Key Metadata）、有效狀態、計數器與憑證資料，透過 NvM Block 持久化保存於 Flash。可配置寫入保護與 CRC 完整性校驗。
6. EB tresos 配置實踐與關鍵參數詳解
在 EB tresos 配置 KeyM 專案時，建議遵循以下核心容器定義：
| 配置容器 / 參數項 | 類型與參考值 | 設計意圖與工程要點 |
|---|---|---|
KeyMKey / KeyMKeyName |
字串（如 KeyM_SecOC_CANFD_Key） |
邏輯金鑰唯一標識符，供上層業務或通訊模組關聯引用。 |
KeyMKey / KeyMCsmKeyRef |
引用 CryIfKey |
將 KeyM 維護的金鑰實體無縫綁定至底層 CryIf / Crypto Driver 槽位。 |
KeyMCertificate / KeyMCertStorageRef |
引用 NvMBlockDescriptor |
指定 X.509 憑證持久化儲存區塊，確保斷電後證書鏈完整保存。 |
KeyMUseCertificateValidation |
TRUE |
啟用 ASN.1 與 X.509 驗證邏輯，滿足 CRA 嚴格的安全刷寫標準。 |
🚀 Jotactic（捷策動能）：EB AUTOSAR 金鑰管理技術支持與配置服務
金鑰與憑證管理涉及 NvM 安全存儲、CSM 原語與應用層的多模組配合。Jotactic（捷策動能） 基於 EB AUTOSAR 原生架構與標準配置工作流程，在不修改 EB 原廠代碼的前提下，為客戶提供專業技術服務：
- EB tresos KeyM 模組參數配置服務：協助客戶在 EB tresos Studio 中進行 KeyM 金鑰槽位、NvM 存儲區塊綁定、CSM 原語關聯與 X.509 憑證鏈解析的標準參數配置與 ARXML 匯入匯出。
- 技術支持與諮詢服務：提供 EB AUTOSAR KeyM 模組標準配置流程與金鑰管理介面的技術諮詢，協助客戶排查配置過程中的問題。
- 基於 EB 機制的客製化 Demo 專案開發：基於 EB 原生架構與標準 API 建立金鑰操作與憑證校驗驗證 Demo 專案，輔助客戶進行模組功能驗證。
💡 備註：EB AUTOSAR 提供標準化 KeyM 金鑰與憑證管理模組供客戶開發使用；ECU 與整車是否符合法規或通過資安認證，屬於 Tier 1 與 OEM 客戶系統層級之工程範疇。捷策動能基於 EB 原生機制提供配置與技術支持服務，不修改 EB 原廠代碼，非 AUTOSAR 基礎軟體開發商。歡迎聯絡捷策動能團隊獲取技術支持。