UKey aparatūras maka drošības arhitektūra ir balstīta uz stingriem fiziskās izolācijas principiem. Tās galvenā stratēģija ir ar iebūvēto drošības mikroshēmu (Secure Element, SE), Pilnībā izolējiet lietotāja galveno kriptogrāfijas līdzekļu akreditācijas datus (privātās atslēgas) no jebkuras ārējās vides (termiskās vides) ar tīkla savienojamības īpašībām.
Tālāk ir sniegta UKey aparatūras ierīču standarta darbplūsma un pamatā esošā drošības mehānisma apraksts.
1. Darījuma parakstu mijiedarbības standarta process
Sadarbojoties ķēdē, UKey aparatūras ierīcēm un programmatūras klientiem ir skaidra darba sadale. Aparatūra ir atbildīga tikai par parakstiem, un programmatūra ir atbildīga par tīkla saziņu. Pilns process ir šāds:
Izveidojiet un izsniedziet pieprasījumus: kad lietotājs uzsāk darījumu ķēdē, izmantojot UKey programmatūras klientu (piemēram, mobilo lietotni vai pārlūkprogrammas paplašinājumu), Klients ir atbildīgs par oriģinālās transakciju datu pakotnes (ieskaitot marķieru skaitu, mērķa adresi, viedā līguma parametrus utt.) konstruēšanu un nosūtīšanu uz pievienoto aparatūras ierīci kā paraksta pieprasījumu.
Vietējā analīze un fiziska apstiprināšana: UKey aparatūras ierīce saņem bināro neapstrādāto ziņojumu no programmatūras puses un pabeidz neatkarīgu parsēšanu ierīces iekšienē. Parsētās atslēgas transakcijas informācija tiks parādīta aparatūras ekrānā. Lietotājiem ir jāveic manuāla apstiprināšana, izmantojot fiziskas pogas vai aparatūras skārienekrānus.
Mikroshēmas līmeņa bezsaistes paraksts: Ja un tikai pēc lietotāja fiziskās atļaujas iegūšanas, UKey iebūvētā drošības mikroshēma (SE) izsauks atbilstošo privāto atslēgu, kas iegūta no mnemoniskas frāzes tās pilnībā slēgtajā mikroizolācijas zonā, lai transakcijai veiktu šifrētu ciparparakstu.
Paraksta datu atgriešana: Kad paraksta aprēķins ir pabeigts, drošības mikroshēma izvada tikai parakstīto transakcijas virkni, un aparatūras ierīce to nosūta atpakaļ ārējam programmatūras klientam.
Darījuma pārraide ķēdē: programmatūras klients saņem un apkopo visu parakstīto transakcijas ziņojumu un pēc tam pārraida to mērķa blokķēdes tīklā, gaidot tīkla mezglu verifikāciju un kalnraču iesaiņošanu.
2. Galveno drošības elementu apraksts
Privātās atslēgas robežas izolācija: UKey aparatūras arhitektūras dizains nodrošina, ka privātā atslēga ir stingri iekapsulēta drošības mikroshēmā visa dzīves cikla laikā (ģenerēšana, uzglabāšana un zvana darbība), un tā nekādā veidā neatstās drošības robežas.
Komandu līmeņa atļauju ķēdes pārtraucējs: UKey ierīču sistēmas programmaparatūra pamata koda līmenī noņem jebkuru komandu interfeisu privāto atslēgu lasīšanai vai eksportēšanai. Šis arhitektūras dizains būtiski novērš loģisku iespēju, ka privātā atslēga tiek ļaunprātīgi iegūta.
Ierobežota vienvirziena komunikācija: pastāv tikai ierobežota vienvirziena datu plūsmas mijiedarbība starp UKey aparatūras ierīci un jebkuru pievienoto trešās puses programmatūru (tostarp resursdatora operētājsistēmu) (parakstīto datu saņemšana un parakstītu datu izvadīšana). Ārējās programmas nevar piekļūt vai iekļūt aparatūras kodola šifrētajā krātuves zonā bez atļaujas, tādējādi nodrošinot digitālo līdzekļu absolūtu bezsaistes drošību.