守在密钥存储区门口的权限逻辑
权限逻辑拆成三块
三块都集成在同一颗安全芯片的硅片上，下面按功能分开说明，并给出两颗芯片各自的做法。
左右滑动查看完整表格 →
| 部件 | 作用 | 材料与配置 |
|---|---|---|
| 认证逻辑单元 | 验证请求方是否持有正确的秘密或签名。ATECC608B支持基于SHA-256的挑战-应答：主机发来随机挑战，芯片用内部密钥算出MAC返回，总线上的旁听者推不出密钥；芯片也能用存储的或外部提供的ECC公钥验签。[1] OPTIGA Trust M的Auto(X)条件要求外部先提交与授权对象相符的授权值，V3版本同时最多维持4个独立的授权状态。[3] | 硅基CMOS电路。ATECC608B采用Microchip的CMOS EEPROM工艺制造。[1] |
| 策略执行模块 | 保存并执行每个存储区或对象的访问规则。ATECC608B把这些规则放在配置区里，配置锁定后规则固定下来。[1] OPTIGA Trust M把规则写在每个对象的元数据中，还可以把对象绑定到计数器：每调用一次计数加一，到达阈值后停止放行，用来限制预共享密钥参与密钥派生的次数。[3] | 规则存放在芯片内的非易失存储中。OPTIGA Trust M的安全控制器内置防篡改NVM。[2] |
| 输入输出接口 | 负责与主控之间的电气连接和命令收发。ATECC608B可选最高1 MHz的标准I2C接口或单线接口（SWI）；启用单线接口时，空出的引脚可作GPIO、认证输出或防拆输入。[1] OPTIGA Trust M使用最高1 MHz（FM+）的I2C接口，可开启Shielded Connection对总线通信加密。[2] | 芯片焊盘与封装引脚。ATECC608B有8焊盘UDFN、8引脚SOIC和3引脚触点封装[1]；OPTIGA Trust M为3 mm×3 mm的PG-USON-10封装。[2] |
十二项指标落到芯片规格书上
访问控制器随安全芯片一起交付，电气和环境数据取自整颗芯片的规格书。下面能给出数值的，都注明是ATECC608B还是OPTIGA Trust M；整机硬件安全模块的外壳、重量和防护等级按所选机型的规格书另定。
左右滑动查看完整表格 →
| 参数 | 资料与范围 | 选型含义 |
|---|---|---|
| 工作电压 | ATECC608B：电源2.0–5.5 V，IO电平1.8–5.5 V。[1] OPTIGA Trust M：I2C工作电源1.62–5.5 V。[2] | 芯片级器件直接挂在主控板的3.3 V或5 V逻辑电源上；12–24 V这类电压属于门禁控制器、机箱式设备的供电规格。 |
| 电流消耗 | ATECC608B：非ECC命令或等待IO时2–3 mA，ECC运算时最大14 mA（时钟分频0x0），空闲典型800 µA，睡眠典型30 nA。[1] OPTIGA Trust M：休眠时漏电流低于2.5 µA。[2] | 电池供电的终端按运算峰值电流选电源，按睡眠或休眠电流估算待机时间。 |
| 通信接口 | ATECC608B：1 MHz标准I2C或单线接口，订货代码中DA为I2C、CZ为单线。[1] OPTIGA Trust M：I2C，最高1 MHz，可选Shielded Connection加密通信。[2] | 主控与安全芯片之间的总线可能被探针监听，要求防板级窃听时选带总线加密或认证的方案。 |
| 访问时间 | OPTIGA Trust M V3在I2C 400 kHz、3.3 V、25 °C下：ECC P-256签名约65 ms，验签约85 ms，AES-128加密256字节约28 ms，开启Shielded Connection后各增加5–10 ms。[2] | 访问控制判断本身很快，命令总耗时主要由后续的密码运算决定；按实际用到的命令逐条累加，再定主控的超时时间。 |
| 安全认证等级 | OPTIGA Trust M基于通过Common Criteria EAL6+（high）认证的硬件，SLS 32AIA010MK型号通过PSA Level 3认证，CC证书编号BSI-DSZ-CC-0961。[2] FIPS 140-3分四个逐级提高的安全等级；FIPS 140-2证书已于2026年9月22日全部转入历史清单。[4][5] | 新项目要求美国联邦采购认可的密码模块时，按FIPS 140-3证书选型；CC等级要看证书覆盖的是芯片硬件还是整个产品。 |
| 工作温度 | ATECC608B：标准工业级-40至+85 °C，扩展工业级-40至+100 °C。[1] OPTIGA Trust M：标准级-25至+85 °C，扩展级-40至+105 °C。[2] | 两颗芯片都按温度等级分订货代码，户外和车载设备选扩展级型号。 |
| 存储温度 | ATECC608B绝对最大额定值：-65至+150 °C。[1] | 这是器件存放的应力极限；已写入密钥的芯片长期存放还要看EEPROM数据保持能力，ATECC608B在+55 °C下至少10年。[1] |
| 湿度 | 按芯片的湿敏等级（MSL）管理包装、开封和回流焊前烘烤；整机硬件安全模块按其使用环境规格选定。 | 英飞凌按无铅焊接的更高回流温度重新划分了封装的湿敏等级。[2] |
| 防护等级 | IP等级只适用于整机：芯片焊在电路板上，由终端或硬件安全模块的外壳提供防尘防水，按整机使用场所选定。 | 芯片本身的物理防护体现在防篡改设计和安全认证上，见“安全认证等级”。 |
| 材料 | 硅基CMOS芯片加塑封或无引线封装；ATECC608B采用CMOS EEPROM工艺。[1] 英飞凌说明其所用材料不含PBB和PBDE。[2] | 有环保合规要求时，向芯片原厂索取RoHS和材料声明。 |
| 重量 | 芯片级器件的重量可忽略；整机硬件安全模块的重量按所选机型规格书给出。 | 只有设计机箱式加密设备时才需要把重量列入技术协议。 |
| 封装尺寸 | OPTIGA Trust M：PG-USON-10封装，3 mm×3 mm。[2] ATECC608B：8焊盘UDFN、8引脚SOIC（0.150英寸宽体）、3引脚触点封装，晶圆级封装面向合格客户提供。[1] | 按电路板空间和组装方式选封装；3引脚触点封装适合装在耗材、配件一侧做防伪认证。 |
读出、改写、调用、更新元数据：权限按访问类型分别设
同一个密钥对象，四种访问可以给出完全不同的条件。典型做法是私钥“读出”设为永不允许，“调用”设为始终允许或须先认证，这样主控可以让芯片用私钥签名，却拿不到私钥本身。OPTIGA Trust M的条件写法见下表。[3]
ATECC608B在芯片内部生成随机私钥，私钥从生成起就只存在于芯片里，对外只返回对应的公钥。[1] 这一点和上面“调用允许、读出禁止”的设定配合，是TLS双向认证和设备身份认证最常用的配置。
左右滑动查看完整表格 →
配置一旦锁定就固定下来，量产前要把规则写对
ATECC608B的权限设定写在配置区，写好后执行锁定，锁定后无法再改动这些限制；数据区（存放密钥的区域）另有一次锁定，ATECC608B允许在数据区锁定之后再修改I2C地址。[1] OPTIGA Trust M的生命周期分创建、初始化、运行、终止四个状态，只能从低向高推进，例如从初始化进入运行态后就回不到初始化。[3]
ATECC608B还加入了运输密钥锁定，用来保护已经写好密钥、正在运往贴片厂途中的芯片；易失性密钥许可功能则把芯片和特定主机绑定，防止芯片被拆下挪到别的设备上使用。[1] 安全芯片由原厂或代理商做预配置时，要先确认这些功能在交付批次里是否开启。
量产导入时，向芯片原厂或预配置服务方一次要齐以下资料：每个槽位或对象的权限配置表及其版本号、锁定状态说明、预置证书链与根证书、芯片订货代码对应的温度等级和接口类型，以及所用安全认证的证书编号和覆盖范围。
猜错次数多了会怎样：安全监控和单调计数器
OPTIGA Trust M内置一个安全监控模块，统一执行芯片的安全策略。解密或完整性校验失败、调用持久对象做密钥派生、使用芯片内私钥或对称密钥，都会作为安全事件上报；监控模块按单位时间内的事件次数判断，超出允许的使用频率就降低芯片性能，从而压低攻击可尝试的频率。[2]
OPTIGA Trust M允许的使用频率是每5秒（±5%）一次受保护操作；一旦检测到可疑系统行为，安全事件计数器直接置为最大值255。[2] 设计时要把这一节流特性算进业务时序：需要连续高频签名的设备，按5秒一次的最坏情况评估吞吐。
ATECC608B和OPTIGA Trust M分别带2个和4个单调计数器，计数只增不减。[1][2] 把计数器绑定到某把密钥上，就能给这把密钥设定使用寿命，例如耗材芯片只允许认证一定次数。
规格书上的认证怎么读：FIPS 140-3、CC与PSA
FIPS 140-3是美国NIST发布的密码模块安全要求，2019年3月22日发布，取代FIPS 140-2，给出四个逐级提高的安全等级，覆盖模块接口，角色、服务与认证，物理安全，非侵入式攻击防护，敏感参数管理，自检和生命周期保证等方面。[4]
NIST的过渡说明写明：FIPS 140-2证书在2026年9月22日全部转入历史清单，美国密码模块验证项目仍支持已有系统继续采购和使用这些模块。[5] 规格书或报价里仍写“FIPS 140-2 Level 3”的产品，按历史清单状态看待，新项目以FIPS 140-3证书为准。
安全芯片的另一类常见认证是Common Criteria评估等级和PSA认证。OPTIGA Trust M写明其硬件通过CC EAL6+（high）认证，SLS 32AIA010MK型号通过PSA Level 3认证，证书可在德国BSI网站按编号BSI-DSZ-CC-0961查询。[2] 比较不同芯片时，把认证对象（硬件平台、芯片加固件、整个产品）和证书编号一起列出。
关联的应用系统与部件
以下入口来自产品关系，用于继续查阅；具体机型的装配和兼容性仍需对应型号资料。
应用系统
关联部件
资料来源与适用范围
核对日期：2026-10-17。电气、环境和权限机制的数据取自Microchip与英飞凌两颗安全芯片的原厂规格书和参考手册，认证要求取自NIST公开页面。整机硬件安全模块的外壳、重量和防护等级随机型而定，页面只写选型条件。
- Microchip ATECC608B CryptoAuthentication Device Summary Data Sheet（DS40002239B）第1–15页：16个密钥槽位与配置锁定、I2C和单线接口、挑战-应答与片内生成私钥、电压电流、温度等级、ESD与EEPROM可靠性、封装和订货代码、运输密钥锁定与易失性密钥许可，用于定义、部件表、参数表和锁定一节。
- Infineon OPTIGA Trust M Datasheet Revision 3.70（2024-10-09）特性页、第1章、表1–2、表7、表18–19和第7章：CC EAL6+与PSA Level 3、I2C与Shielded Connection、电源电压、温度等级、USON-10封装、密码运算耗时、安全事件与安全监控策略，用于参数表和防暴力尝试一节。
- Infineon OPTIGA Trust M Solution Reference Manual v3.70“Access Conditions (ACs)”与“Life Cycle Status”章节：RD/CHA/EXE/MUPD访问类型、ALW/NEV/LcsO/Conf/Int/Auto/Luc条件、简单与复杂条件表达式、四个生命周期状态，用于工作原理、部件表和四种访问一节。
- NIST FIPS 140-3 Security Requirements for Cryptographic Modules发布日期、取代关系、四个安全等级及要求覆盖范围，用于认证等级一节和参数表。
- NIST CSRC：FIPS 140-3 Transition EffortFIPS 140-2证书于2026年9月22日转入历史清单及历史清单模块的继续使用说明，用于认证等级一节、参数表和FAQ。