终端密钥在线下发系统

在终端设备实际使用过程中，终端设备与服务器端可能会存在通信的情况，为确保通信过程中数据的安全，一般会对通信数据进行加密操作。
（最近一直研究的是本地的通信）

而在终端设备生产过程中，由于产品的生产批次和后续安全功能的扩展，通信所需要的密钥并不一定会在产品出厂之前就预置到终端设备中，

此时就可使用TEE来构建终端密钥的在线下发系统来确保密钥被安全分发到特定的终端设备中，后期就可使用下发的密钥实现终端设备与服务器端进行密文通信。

密钥在线下发系统的框架

将下发的密文密钥包发送到OP-TEE中，由OP-TEE来完成对密文数据包的解密以及密钥的保存就能确保下发的密钥的安全性，如果在使用该密钥时也将相关加密操作放在OP-TEE中，这样可以确保密钥在任何时候都不被暴露在REE侧，这样可以构建一个安全的通信密文环境。整个终端密钥在线下发系统的框架图如图23-1所示。

密钥在线下发系统在REE侧会运行一个常驻进程用于接收服务器端发送的密文密钥数据包，该进程在接收到数据包后直接调用下发系统的CA接口，将数据发送给OP-TEE中密钥下发系统的TA，该TA会按照约定的数据格式和密钥解析并解密下发的数据包，从而获得明文的密钥，然后调用OP-TEE的安全存储功能保存该密钥，在使用时同样也通过该TA来获取该密钥。当然读者也可以借助自己的实际环境将密钥保存到希望保存的地方，但最好采取密文的形式保存该密钥