專利名稱：使用受保護的非易失性存儲器的系統(tǒng)和方法
技術(shù)領(lǐng)域：
本發(fā)明公開的內(nèi)容一般涉及使用受保護的非易失性存儲器。
技術(shù)背景使用軟件可編程設(shè)備的電子設(shè)備供應(yīng)商關(guān)心軟件安全性。為了解決 對這些安全的擔(dān)心，這種設(shè)備經(jīng)常使用安全技術(shù)諸如驗證和加密。雖 然驗證和加密是有用的工具，但這種方法依賴于保護一個或多個用于驗 證或解密程序數(shù)據(jù)的密鑰。經(jīng)常將需要被保護的密鑰存儲在出售和使 用的電子設(shè)備的諸如非易失性存儲器之類的存儲器內(nèi)。在使用所述電 子設(shè)備乃至在開發(fā)期間，包含所述密鑰的存儲器可以由未被授權(quán)的第三 方訪問,從而引起安全問題。因此，需要一種保護軟件程序數(shù)據(jù)及保護 所述程序數(shù)據(jù)的安全程序的相關(guān)密鑰安全性的改進系統(tǒng)和方法，其中這 種密鑰被存儲在非易失性存儲器中。


圖1是說明能訪問部分受保護的非易失性存儲器設(shè)備的系統(tǒng)的方框圖；圖2是提供一部分圖1系統(tǒng)的更多細節(jié)的方框圖；以及 圖3是激活能訪問部分受保護非易失性存儲器的處理器設(shè)備的方法 流程圖。
具體實施方式
參見圖1，示出數(shù)據(jù)處理系統(tǒng)100。 該系統(tǒng)100包括處理器設(shè)備 102、易失性存儲器104、第一非易失性存儲器106和第二非易失性存儲 器108。系該統(tǒng)100還包括控制寄存器110和到JTAG控制模塊112的 JTAG接口 130。處該理器設(shè)備102被耦合用于訪問控制寄存器110并 且具有輸入端以經(jīng)由JTAG接口 130接收外部測試時鐘輸入。處理器設(shè) 備102包括與JTAG測試接口 130連接的測試保護邏輯126。處理器設(shè) 備102經(jīng)由存儲器總線114與易失性存儲器104耦合。在具體的實施
例中，該易失性存儲器104是隨機存取存儲器(RAM)設(shè)備。處理器 設(shè)備102經(jīng)由存儲器總線114以及經(jīng)由中間的屏蔽邏輯122與第一非易 失性存儲器106耦合。該屏蔽邏輯122耦合第一非易失性存儲器106 到存儲器總線114并且具有ROM屏蔽位124的輸入。ROM屏蔽位124 可以被存儲并且編程，作為多個控制寄存器110中的一個或可以在分離 的一次寫入存儲設(shè)備中執(zhí)行。該處理器設(shè)備102經(jīng)由存儲器總線114 與第二非易失性存儲器108耦合。第一非易失性存儲器106包括到屏 蔽邏輯122的第一接口 120和到存儲器總線114的外部接口 118。該第 二非易失性存儲器108包括到存儲器總線114的接口 116。該第一非易失性存儲器106包括存儲器第一屏蔽部分150，該第一 屏蔽部分150是屏蔽的部分；以及存儲器第二部分160。該屏蔽部分150 包括存儲的密鑰集數(shù)據(jù)152。在具體的實施例中，密鑰數(shù)據(jù)152包括驗 證密鑰、加密密鑰、密鑰集提取數(shù)據(jù)以及檢索和使用密鑰集信息所需的 密鑰集提取程序邏輯。第二非易失性存儲器108在具體的實施例中可 以實現(xiàn)為快速存儲器并且包括諸如引導(dǎo)程序代碼140的數(shù)據(jù)。在具體 的實施例中，第一非易失性存儲器106可以被實現(xiàn)為只讀存儲器 (ROM)。在具體的實施例中，引導(dǎo)程序代碼140包括多個散布的驗證字。多 個驗證字在從第二非易失性存儲器108傳輸引導(dǎo)程序代碼到隨機存取存 儲器104期間使用，并且提供一種驗證引導(dǎo)程序代碼有效性的方法以檢 測第三方的越權(quán)使用或黑客攻擊。在具體的實施例中，使用在非易失 性存儲器106的屏蔽部分150的密鑰集152內(nèi)得到的驗證密鑰評估和驗 證所述驗證字。在操作期間， 一旦給系統(tǒng)100加電，非易失性存儲器106的屏蔽部 分150處于無屏蔽模式,該模式允許對密鑰集152的讀訪問。在無屏蔽 模式中的初始化期間，處理器102可以檢索密鑰集152并且可以使用密 鑰集內(nèi)的密鑰以執(zhí)行將所述應(yīng)用程序代碼140從第二非易失性存儲器108 傳輸?shù)诫S機存取存儲器104中的傳輸處理。密鑰集可能包括驗證密鑰 和/或解密密鑰。驗證密鑰可被用于驗證程序代碼的有效性以及訪問和 比較傳輸?shù)臄?shù)據(jù)和第一驗證字，并且如果這種代碼已經(jīng)在先前加密，解
密密鑰可被用于解密所述程序代碼。因此，密鑰集152可以由處理器設(shè)備102使用以提供將程序代碼140從非易失性存儲器108到隨機存取 存儲器104的安全初始傳輸。在程序代碼已經(jīng)被傳輸?shù)诫S機存取存儲器104中之后，但是在由處 理器102執(zhí)行所述程序代碼之前，ROM屏蔽位124可以由處理器102 設(shè)置。通過設(shè)置ROM屏蔽位124，第一非易失性存儲器106的屏蔽部 分150進入屏蔽模式，其中在該模式下密鑰集152不可讀。在這個情 況中，屏蔽邏輯122阻止對第一非易失性存儲器106的屏蔽部分150的 訪問，并且代之以可能提供表示已屏蔽和不可讀存儲器狀態(tài)的錯誤代碼 或固定值。在ROM屏蔽位124已經(jīng)被設(shè)置并且第一非易失性存儲器106 的屏蔽部分150進入屏蔽模式以限制對密鑰集152的訪問之后，處理器 設(shè)備102可以從監(jiān)控模式轉(zhuǎn)換為用戶操作模式并且然后可以執(zhí)行來自隨 機訪問存儲器104的指令。其后，在用戶模式下的處理器設(shè)備102在 正常操作期間執(zhí)行指令。在用戶執(zhí)行模式和正常操作期間，應(yīng)注意屏 蔽部分150保持在屏蔽模式從而限制對密鑰集152的訪問。因此，ROM 屏蔽位124和第一非易失性存儲器106的屏蔽部分150，連同密鑰集152 一起，提供程序代碼傳輸?shù)诫S機存取存儲器104的增強的安全性。未被授權(quán)的第三方可能經(jīng)由諸如JTAG控制接口 130之類的測試接 口嘗試對密鑰集152的訪問。為了限制這種未授權(quán)訪問，處理器設(shè)備102 包括測試保護邏輯126。測試保護邏輯126響應(yīng)于外部時鐘輸入并且可 以檢測屏蔽部分150的嘗試未授權(quán)訪問。在具體的實施例中，處理器 設(shè)備102，響應(yīng)于由測試保護邏輯126檢測多個超過閾值的時鐘周期， 可以設(shè)置ROM屏蔽位124。在具體的范例中，檢測閾值小于四十時鐘 周期，諸如一組二十時鐘周期。在JTAG指令的情況中，最小JTAG指 令將需要多個大于二十的時鐘周期。因此，小于四十的閾值和優(yōu)選的 二十時鐘周期可被用于檢測并且然后對經(jīng)由JTAG接口訪問密鑰集152 的未授^i嘗試作出響應(yīng)。參見圖2，示出系統(tǒng)100部分的具體實施例，其說明第一非易失性 存儲器106和屏蔽邏輯122的功能。第一非易失性存儲器106經(jīng)由第 一接口 120與讀多路復(fù)用器(MUX) 202耦合。MUX202經(jīng)由接口 118
與存儲器總線114耦合。MUX 202具有固定值206的輸入，其可能是 錯誤代碼或屏蔽狀態(tài)的其他指示。MUX 202包括由邏輯模塊204提供 的選擇輸入。邏輯模塊204響應(yīng)于可能由一次寫入存儲器220提供的 ROM屏蔽位124。邏輯模塊204還響應(yīng)于經(jīng)由存儲器接口 118從存儲 器總線114提供的地址代碼118。在操作期間，ROM屏蔽位124被提供到邏輯模塊204以指示非易 失性存儲器106的屏蔽部分150的狀態(tài)。邏輯模塊204還從存儲器總 線114中接收地址。當(dāng)從存儲器總線114中請求的地址在存儲器150 的屏蔽部分之外時，然后數(shù)據(jù)諸如引導(dǎo)程序或來自于存儲器160的無屏 蔽部分內(nèi)的其他數(shù)據(jù)，從第一非易失性存儲器106通過MUX 202經(jīng)由 接口 118提供到存儲器總線114中。然而，當(dāng)從存儲器總線114中請求的地址是在存儲器150的屏蔽部 分內(nèi)的地址時以及當(dāng)ROM屏蔽位已經(jīng)設(shè)置時，邏輯模塊204提供選擇 器給MUX 202，以僅僅經(jīng)由接口 118提供固定值206作為給存儲器總 線114的輸出。在這種情況下，存儲器150的屏蔽部分內(nèi)容處于安全 屏蔽狀態(tài)并且被保護不受訪問。此外，為了避免對ROM屏蔽位124的 未授權(quán)修改，ROM屏蔽位可以存儲和編程到一次寫入存儲器220中。對 于一次寫入存儲器， 一旦ROM屏蔽位已經(jīng)設(shè)置，存儲器不能被修改。使 用一次寫入存儲器從而對于保持屏蔽非易失性存儲器106的第一部分150 提供增強的安全性。在具體的實施例中，作為在無屏蔽操作模式期間 從非易失性存儲器中檢索密鑰集的需要，存儲器150的屏蔽部分包括驗 證密鑰、解密密鑰，和密鑰集提取程序和數(shù)據(jù)。因此，非易失性存儲 器106包括存儲器150的第一部分，該第一部分是受保護的并且在當(dāng)屏 蔽位指示無屏蔽操作模式時是可讀的，但是當(dāng)屏蔽位指示屏蔽操作模式 時是不可讀的。此外，非易失性存儲器106包括未保護的第二部分160， 不管屏蔽位124的值如何該第二部分160是可讀的。參見附圖3，示出激活能訪問非易失性存儲器的處理器設(shè)備的方 法。所述方法包括給處理器設(shè)備加電，如在302所示。在具體的實施 例中，處理器設(shè)備耦合到只讀存儲器(ROM)，該只讀存儲器具有屏蔽 的存儲器的受保護部分，但是一旦加電受保護的部分處于無屏蔽模式。
所述方法進一步包括從處于無屏蔽操作模式的非易失性存儲器的受保護 部分讀密鑰集數(shù)據(jù)，如在304所示，并且從諸如快速存儲器之類的第二非易失性存儲器傳輸數(shù)據(jù)到諸如隨機存取存儲器(RAM)之類的主存儲 器中。這個步驟還包括訪問密鑰集提取數(shù)據(jù)以及使用密鑰集提取數(shù)據(jù) 和程序邏輯以訪問密鑰集來執(zhí)行如傳輸數(shù)據(jù)所需要的驗證和解密操作， 如在306所示。在具體的例證性的范例中，傳輸?shù)臄?shù)據(jù)是包括由處理 器執(zhí)行的程序指令的應(yīng)用程序。所述方法進一步包括設(shè)置屏蔽位，從而設(shè)置非易失性存儲器的受保 護部分在密鑰集不可讀時處于屏蔽模式。在數(shù)據(jù)傳送已經(jīng)完成之后但 是在由處理器執(zhí)行RAM中的傳輸?shù)某绦虼a之前，存儲器受保護的部 分被設(shè)置為屏蔽模式。所述方法進一步包括由處理器執(zhí)行程序數(shù)據(jù)，其中這種程序數(shù)據(jù)包 括被傳輸?shù)絉AM中的指令，如在310所示。在由處理器從RAM中執(zhí) 行程序代碼期間，處理器設(shè)備可以在用戶模式中執(zhí)行，并且在這種用戶 模式中非易失性存儲器的屏蔽部分保持設(shè)置以阻止對密鑰集的未授權(quán)訪 問。因此，說明的激活處理器設(shè)備的方法提供從非易失性存儲器到隨機 存取存儲器由處理器設(shè)備可用的程序代碼的初始安全傳輸。上述公開的主題被認(rèn)為是示例性而不是限制性的，并且附加權(quán)利要 求書意圖覆蓋落入本發(fā)明真實精神和范圍內(nèi)的所有修改、改進及其他實 施例。因此，在法律所允許的最大范圍，本發(fā)明的范圍將由下列權(quán)利 要求書和它們的等效表述的最寬可允許解釋來限定，而不應(yīng)該由上述詳 細說明約束或限制。
權(quán)利要求
1、 一種系統(tǒng)，包括 處理器；處理器可訪問的易失性存儲器；處理器可訪問的第一非易失性存儲器，該第一非易失性存儲器包括 存儲器的第一部分，該存儲器的第一部分是受保護的并且當(dāng)屏蔽位指示 無屏蔽的操作模式時是可讀的，但是當(dāng)屏蔽位指示屏蔽操作模式時是不 可讀的；以及存儲器的第二部分，該存儲器的第二部分是未受保護的并 且不管屏蔽位的值如何該存儲器的第二部分是可讀的；和第二非易失性存儲器，該第二非易失性存儲器包括被傳輸?shù)揭资?存儲器中的數(shù)據(jù)。
2、 如權(quán)利要求1所述的系統(tǒng)，其中密鑰集存儲在第一部分內(nèi)，一 旦密鑰集傳輸?shù)揭资源鎯ζ?，該密鑰集至少執(zhí)行對第二非易失性存儲 器中的數(shù)據(jù)進行驗證和解密的其中一種操作。
3、 如權(quán)利要求1所述的系統(tǒng)，其中被傳輸?shù)臄?shù)據(jù)是程序代碼。
4、 如權(quán)利要求3所述的系統(tǒng)，其中該程序代碼包括多個驗證字。
5、 如權(quán)利要求3所述的系統(tǒng)，其中所述屏蔽位在執(zhí)行從第二非易 失性存儲器傳輸程序代碼到易失性存儲器的操作之后、但在由處理器執(zhí) 行程序代碼之前被設(shè)置。
6、 如權(quán)利要求5所述的系統(tǒng)，其中所述屏蔽位在執(zhí)行程序代碼的 第一指令之前被設(shè)置。
7、 如權(quán)利要求1所述的系統(tǒng)，進一步包括外部測試接口保護邏輯， 所述外部測試接口保護邏輯響應(yīng)于外部測試時鐘輸入，并且其中該屏蔽 位在檢測到外部測試時鐘輸入的多個周期超過閾值之后被設(shè)置。
8、 如權(quán)利要求7所述的系統(tǒng)，其中所述閾值小于40時鐘周期。
9、 如權(quán)利要求8所述的系統(tǒng)，其中所述閾值是20時鐘周期并且其 中該外部測試時鐘輸入是與JTAG指令有關(guān)的JTAG時鐘。
10、 如權(quán)利要求2所述的系統(tǒng)，其中密鑰集與唯一的產(chǎn)品制造商有關(guān)。
11、 如權(quán)利要求1所述的系統(tǒng)，其中第一非易失性存儲器的第二部 分包括音頻數(shù)據(jù)。
12、 如權(quán)利要求2所述的系統(tǒng)，其中所述密鑰集包括驗證密鑰和解 密密鑰。
13、 如權(quán)利要求1所述的系統(tǒng)，其中該第一非易失性存儲器是只讀 存儲器，并且該第二非易失性存儲器是快速存儲器。
14、 一種存儲設(shè)備，包括存儲器的第一部分，該存儲器的第一部分是受保護的并且當(dāng)屏蔽位 指示無屏蔽操作模式時是可讀的，而當(dāng)屏蔽位指示屏蔽模式操作時是不 可讀的；和存儲器的第二部分，該存儲器的第二部分是未受保護的并且不管屏 蔽位的值如何該存儲器的第二部分是可讀的。
15、 如權(quán)利要求14所述的存儲設(shè)備，進一步包括與存儲器的第一 部分耦合的讀多路復(fù)用器，控制所述多路復(fù)用器以至少部分地響應(yīng)于屏蔽位。
16、 如權(quán)利要求15所述的存儲設(shè)備，其中該多路復(fù)用器在無屏蔽 操作模式期間從存儲器的第一部分中輸出值，并且其中該多路復(fù)用器在 屏蔽操作模式期間輸出指示錯誤狀態(tài)的固定輸出值。
17、 如權(quán)利要求14所述的存儲設(shè)備，其中屏蔽位被存儲在一次寫 入存儲設(shè)備中，以便在單一的寫操作之后屏蔽位不是用戶可變更的。
18、 一種激活能訪問只讀存儲器的處理器設(shè)備的方法，所述方法包括給處理器設(shè)備加電，其中只讀存儲器具有存儲器受保護的部分，該 存儲器受保護的部分是可屏蔽的并且一旦加電處于無屏蔽模式；從存儲器保護部分中讀取密鑰集連同執(zhí)行向隨機存取存儲器 (RAM)傳輸數(shù)據(jù)；和在執(zhí)行數(shù)據(jù)傳輸之后，設(shè)置存儲器受保護的部分為屏蔽模式，其中 密鑰集不再是從只讀存儲器中可讀的。
19、 如權(quán)利要求18所述的方法，其中在讀出密鑰集之后，該密鑰 集被用于對傳輸?shù)絉AM中的數(shù)據(jù)執(zhí)行驗證和解密。
20、 如權(quán)利要求18所述的方法，其中傳輸?shù)絉AM的數(shù)據(jù)包括程序指令以及進一步包括由處理器設(shè)備執(zhí)行程序指令。
21、 如權(quán)利要求18所述的方法，其中受保護的部分進一步包括密 鑰集提取數(shù)據(jù)，當(dāng)受保護的部分處于無屏蔽模式時該密鑰集提取數(shù)據(jù)是 可讀的。
22、 如權(quán)利要求18所述的方法，其中與存儲器受保護部分有關(guān)的 屏蔽位存儲在一次寫入存儲器中。
全文摘要
本發(fā)明所公開的內(nèi)容包括使用處理器和受保護存儲器的系統(tǒng)和方法。在具體的實施例中，所述系統(tǒng)包括處理器、處理器可訪問的易失性存儲器和處理器可訪問的第一非易失性存儲器。該第一非易失性存儲器包括受保護的存儲器的第一部分，當(dāng)屏蔽位指示無屏蔽操作模式時該存儲器的第一部分是可讀的，但是當(dāng)屏蔽位指示屏蔽操作模式時該存儲器的第一部分是不可讀的；以及未保護的存儲器的第二部分，不管屏蔽位的值如何該存儲器的第二部分是可讀的。所述系統(tǒng)包括第二非易失性存儲器，該第二非易失性存儲器包括被傳輸?shù)揭资源鎯ζ鞯臄?shù)據(jù)。
文檔編號G06F12/14GK101124768SQ200580017575
公開日2008年2月13日 申請日期2005年9月20日 優(yōu)先權(quán)日2005年6月24日
發(fā)明者D·C·巴克 申請人:西格馬特爾公司