目前市場上的TPM芯片主要應用在PC終端上，但是隨著嵌入式系統的不斷發展，TPM在嵌入式系統上的應用也越來越廣，程序員在編寫可信計算應用程序的時候，其切入點應該是TSS，本文就TPM和TSS的概念、TSS在ARM平臺上的移植、調用TSS的API編寫應用程序以及如何與TPM進行交互做了詳細的介紹，最終實現了在嵌入式ARM平臺上的可信計算。
TPM芯片結構和TSS體系結構概述
可信計算的核心是TPM，它是一種安全加密芯片，提供了一種基于硬件的方法來管理用戶權限、網絡訪問、數據保護等。TPM芯片用來存儲數字密鑰、認證和密碼，有了TPM不管是虛擬的還是物理的攻擊都將變得更加困難。如圖1所示，TPM芯片主要由以下幾部分組成：I/O組件、非易失性存儲、身份密鑰、程序代碼、隨機數產生器、Sha-1算法引擎、RSA密鑰產生、RSA引擎、Opt-In選擇組件、執行引擎。

圖1 TPM芯片結構
TPM芯片里的資源是有限的，它僅僅對外提供了一些基本的功能接口。為了充分應用TPM的內部功能，需要在TPM外部套接一個可信計算軟件棧TSS，TSS作為可信計算平臺上TPM的支持軟件，其規范定義了一種能夠讓訪問TPM變得簡單和直接的體系結構。本文構建的嵌入式平臺為三星的ARM9TDMI-S3C2410處理器，TPM芯片為Atmel公司的AT97SC3204T。
由圖2可知，TSS的運行模式分為兩種：用戶模式和內核模式。用戶模式下，通常根據用戶的要求來加載和執行用戶應用程序和服務，有時候這些用戶應用程序和服務也可以作為啟動服務被載入。在內核模式下，通常運行設備驅動和操作系統的核心組件。

圖2 TSS體系結構
TSS由三個邏輯組件構成：TCG設備驅動程序庫（TCG Device Driver Library，TDDL）、TSS核心服務（TSS Core Services，TCS）、TCG服務提供者（TCG Service Provider，TSP）。
TDDL提供了一個與TPM設備驅動程序進行交互的API的庫，用來打開和關閉TPM設備驅動程序（TPM Device Driver）、發送和接收數據塊、查詢設備驅動程序的屬性、取消已經提交的TPM命令。TCS層主要用來管理TPM的資源，提供了一個TPM命令數據塊產生器和一個全局的密鑰存儲設備。TSP層通過共享對象或動態鏈接庫直接被應用程序調用。
TSS的工作流程如下：應用程序的命令參數通過接口TSPl發送到TSP，TSP通過處理后傳送給TCS，TCS將接收到的請求轉化為TPM能夠識別的字節流，通過TDDL和TDD傳給TPM，然后反向經TDDL、TDD、TCS、TSP傳回應用程序。
TSS在ARM上的移植
本文所使用的宿主機操作系統為Fedora，交叉編譯工具為arm-linux-gcc。
TSS在ARM上的移植分為3部分：交叉編譯OpenSSL、交叉編譯TSS、制作包含TSS的文件系統。在交叉編譯TSS之前，先交叉編譯安裝OpenSSL，因為交叉編譯TSS的時候需要用到其中的libcrypto庫文件，其流程如圖3所示：

圖3 TSS在ARM上的移植過程
交叉編譯OpenSSL
本文所使用的OpenSSL具體版本為1.0.0，在交叉編譯之前需要進行如下操作：
（1）配置：在對OpenSSL1.0.0進行配置時需要指定其安裝路徑，在后面配置TSS時需要調用OpenSSL安裝路徑里的庫文件，并且需要指定交叉編譯工具，具體命令如下：
$/config--prefix=/usr/local/openssl os/compiler:arm-linux-gcc
其中--prefix=/usr/local/openssl指定安裝的路徑，
os/compiler:arm-linux-gcc指定編譯器arm-linux-gcc；
（2）修改Makefile，里面對應的部分需要修改為:
CC=arm-linux-gcc
EX_LIBS=-ldl
AR=arm-linux-ar $(ARFLAGS) r
RANLIB=arm-linux-ranlib
交叉編譯TSS
本文所使用的可信計算軟件棧為trousers0.3.3.2，在交叉編譯之前需要進行如下操作：

（1）執行bootstrap.sh腳本，具體命令如下：
[root@happy trousers-0.3.3.2]#sh bootstrap.sh
（2）對軟件包進行配置，命令如下：
[root@happy trousers-0.3.3.2]# /configure
--host=arm-linux --with-openssl=/usr/local/openssl --prefix=/usr/tss
其中--host=arm-linux指定目標平臺為ARM，并使用交叉編譯工具；--with-openssl=/usr/local/openssl指定OpenSSL所在的位置，交叉編譯的時候需要用到其中的libcrypto庫文件；--prefix=/usr/tss指定安裝位置。
包含TSS的文件系統制作
文件系統在宿主機上的目錄為~/rootfs，將交叉編譯安裝好的TSS（在宿主機上的位置為/usr/tss）拷貝到~/rootfs/usr下，將TSS安裝后生成的庫文件拷貝到~/rootfs的lib目錄下。
然后使用文件系統制作工具mkcramfs1.0，將目錄rootfs制作成鏡像文件，通過串口工具minicom下載到ARM開發板。
如果TSS啟動成功，則會出現如下提示：TCSD trousers 0.3.3.2:TCSD up and running。
注意事項
在制作文件系統時，~/rootfs/etc中需要添加關于TSS的group、passwd文件，hosts里面應該包含localhost。否則，制作成文件系統燒寫進開發板之后，當輸入#./usr/tss/sbin/tcsd-f啟動TSS時，會報錯。
將不希望用戶修改的文件都放在只讀的cramfs分區下，修改初始化腳本liunxrc，將TSS所在的目錄掛載為yaffs格式。另外下文中將要用到的/tmp目錄也要掛載為yaffs格式，保證可讀可寫。
應用程序編寫
在完成了TSS在ARM平臺的移植之后，可以使用TSS所提供的API編寫應用程序與TPM進行交互。下面主要介紹一下獲取屬主身份、創建密鑰、對文件進行加密和解密。
屬主身份獲取
首次使用TPM時，需要先獲取屬主身份，主要用到函數Tspi_TPM_TakeOwnership()，示例代碼如下：
TSS_RESULT rc=Tspi_TPM_TakeOwnership(a_hTpm, a_hSrk, NULL_HKEY);
if(rc!=TSS_SUCCESS)
{
fprintf(stderr,"Tspi_TPM_TakeOwnership:%s ", Trspi_Error_String(rc));
goto out_close;
}
printf("result is %d ",result);
return result;
如果獲取成功則返回值為0，如圖4所示：

圖4 屬主身份獲取
密鑰創建
對文件進行加密時需要使用密鑰，這可以使用函數Tspi_Key_CreateKey()來創建，示例代碼如下：
TSS_RESULT result = Tspi_Key_CreateKey(hKey,hSrk,NULL_HOBJECT);
if(result!=TSS_SUCCESS)
{
fprintf(stderr,"Tspi_Key_CreateKey: %s ", Trspi_Error_String(rc));
goto out_close;
}
printf("create key success! ");
創建密鑰之前/tmp目錄下的文件只有dir，創建成功后會打印信息，并生成密鑰文件UserKeyBlob.cer，如圖5所示：

圖5 密鑰創建
文件加密
加密操作主要使用函數Tspi_Data_Bind()，示例代碼如下：
TSS_RESULT rc=Tspi_Data_Bind(hEncdata,hKey, strlen(testCipher),(unsigned char*)testCipher);
if(result !=TSS_SUCCESS)
{
fprintf(stderr,"Tspi_Data_Bind: %s ",Trspi_Error_String(rc));
goto out_close;
}
交叉編譯后生成命令encryptFile。如果要加密的文件為/tmp/dir/test，前面創建的密鑰所在的目錄為/tmp，則編譯后執行命令時的格式為encryptFile -e /tmp/dir /tmp。
加密之前，/tmp/dir目錄下只有test一個文件，使用cat命令查看該文件的內容為：Hello，world！執行加密命令之后，使用cat命令再次查看該文件的內容，看到的是亂碼，而不是原始內容，可見加密成功。加密后在test文件所在的目錄下會生成一個FileKey.cer文件。如圖6所示：

圖6 文件加密
文件解密

解密操作使用函數Tspi_Data_Unbind()，示例代碼如下：
TSS_RESULT rc=Tspi_Data_Unbind(hEncdata,hKey, &unsealedDataLength, &unsealedData)
if(rc!=TSS_SUCCESS)
{
fprintf(stderr,"Tspi_Data_Unbind: %s ",Trspi_Error_String(rc));
goto out_close;
}
解密文件和加密文件使用的是同一個命令，但后綴參數不同，格式為encryptFile –d /tmp/dir /tmp。執行解密操作后，使用cat命令查看加密的文件test，則可以看到原始的內容，說明解密成功。此時，test文件所在的目錄下加密時生成的FileKey.cer文件消失。如圖7所示：

圖7 文件解密
除了上面的幾個示例之外，還可以調用TSS的API編寫各種應用程序對TPM進行操作?？傊?，只要給定了TPM芯片，掌握了TPM的基本知識和TSS的API，就可以寫出可信計算的應用程序。
結束語
傳統的可信計算一般是基于PC平臺的，本文通過可信計算軟件棧TSS在ARM平臺上的實現，調用TSS的API編寫應用程序與TPM進行交互，對于實現可信計算在嵌入式ARM平臺上的應用提供了重要的橋梁和支持。