安全存储实战
Trusty安全存储系统为敏感数据提供硬件级保护，利用TrustZone技术实现安全隔离，确保即使操作系统被攻破，存储的密钥和凭据仍能保持安全。
设备加密存储(Device Encryption)用于保护设备上的所有用户数据，使用设备特定的密钥进行加密。
凭据加密存储(Credential Encryption)用于保护高度敏感的认证凭据，如密码、生物特征模板等。
| 特性 | 设备加密存储(DE) | 凭据加密存储(CE) |
|---|---|---|
| 加密范围 | 设备所有用户数据 | 高敏感凭据数据 |
| 密钥来源 | 设备特定密钥 | 用户认证派生密钥 |
| 解锁时机 | 设备启动后 | 用户每次认证后 |
| 性能影响 | 低 | 中等 |
| 安全级别 | 标准 | 高级 |
Trusty系统采用先进的密钥派生策略防止暴力破解攻击，确保即使攻击者获取了加密数据也无法轻易恢复原始密钥。
// 伪代码示例：Trusty中的密钥派生过程
Key deriveCredentialEncryptionKey(String password, byte[] salt) {
// 使用硬件加速的PBKDF2实现
byte[] intermediateKey = HwPbkdf2(
algorithm: "HMAC-SHA256",
password: password,
salt: salt,
iterations: 100000, // 高迭代次数防止暴力破解
keyLength: 256
);
// 进一步派生CEK(凭据加密密钥)
return Hkdf(
ikm: intermediateKey,
salt: deviceUniqueSalt,
info: "CEK_DERIVATION",
keyLength: 256
);
}