計算機從設(shè)備安全代碼加載的方法與系統(tǒng)的制作方法
【專利摘要】本發(fā)明提出了一種計算機從設(shè)備安全代碼加載的方法與系統(tǒng)，屬于計算機安全【技術(shù)領(lǐng)域】，計算機從設(shè)備中的安全處理器負(fù)責(zé)管理以加密形式存儲的可執(zhí)行代碼及數(shù)據(jù)的安全加載；安全處理器對加密的可執(zhí)行代碼及數(shù)據(jù)進(jìn)行解密，對解密后的內(nèi)容進(jìn)行驗證，并將其存放在只能由計算機從設(shè)備訪問的保密存儲區(qū)域；安全處理器在安全加載可執(zhí)行代碼及數(shù)據(jù)時阻塞計算機從設(shè)備主處理器的操作，并在安全驗證完成后解除阻塞；同時，安全處理器負(fù)責(zé)存放用于對加密的可執(zhí)行代碼及數(shù)據(jù)進(jìn)行解密的密鑰。本發(fā)明涉及計算機從設(shè)備代碼加載前的數(shù)據(jù)管理、專用存儲器控制管理以及代碼加載完成后的安全區(qū)域劃分，貫穿計算機從設(shè)備代碼加載的全過程，全面提升代碼加載的安全性。
【專利說明】計算機從設(shè)備安全代碼加載的方法與系統(tǒng)

【技術(shù)領(lǐng)域】
[0001]本發(fā)明屬于計算機安全【技術(shù)領(lǐng)域】，具體涉及一種計算機從設(shè)備安全代碼加載的方法與系統(tǒng)。

【背景技術(shù)】
[0002]隨著安全意識的不斷增長，提供從受損對象對信息或系統(tǒng)的訪問保護(hù)成為一個研究熱點?；ヂ?lián)系統(tǒng)的發(fā)展非常迅速，越來越少的設(shè)備以獨立的方式進(jìn)行工作，當(dāng)今的大部分系統(tǒng)都表現(xiàn)為復(fù)雜網(wǎng)絡(luò)的一部分，而網(wǎng)絡(luò)的發(fā)展則需要不斷提高系統(tǒng)性能及系統(tǒng)靈活性。同時，提高系統(tǒng)安全性抵抗非法訪問也成為主要關(guān)注點。
[0003]PC將成為未來家庭的中心設(shè)備，越來越多的應(yīng)用將系統(tǒng)作為中心點來發(fā)布視頻或音頻等數(shù)據(jù)。但是，這也給計算機插卡生產(chǎn)商帶來知識產(chǎn)權(quán)保護(hù)問題。這些企業(yè)必須將二進(jìn)制代碼、現(xiàn)場可編程門陣列(FPGA)代碼或其它知識產(chǎn)權(quán)產(chǎn)品裝入其生產(chǎn)的設(shè)備中，而最常用的存儲上述代碼的設(shè)備則是計算機硬件。這種存儲方式使代碼面臨如非法訪問等安全威脅。這些代碼可以通過任何標(biāo)準(zhǔn)的二進(jìn)制查看工具被很多人訪問，同時，銷售方可能想存儲一些一般情況下大眾無法獲得的敏感硬件參數(shù)或文件。對于本領(lǐng)域的普通技術(shù)人員而言，傳統(tǒng)方法的其它缺點是顯而易見的。


【發(fā)明內(nèi)容】

[0004]本發(fā)明要解決的技術(shù)問題在于克服現(xiàn)有技術(shù)的不足，提出一種計算機從設(shè)備安全代碼加載的方法與系統(tǒng)，通過加密可執(zhí)行代碼提高安全性。
[0005]本發(fā)明解決其技術(shù)問題所采用的技術(shù)方案是:
計算機從設(shè)備安全代碼加載的方法，應(yīng)用于包含從設(shè)備的計算機處理設(shè)備中，所述方法包括:在從設(shè)備中設(shè)置一個安全處理器，用于管理從設(shè)備中可執(zhí)行代碼與數(shù)據(jù)的加載，并負(fù)責(zé)從設(shè)備中可執(zhí)行代碼與數(shù)據(jù)的解密，以及將解密后的可執(zhí)行代碼與數(shù)據(jù)存儲在從設(shè)備的專用存儲器的保密區(qū)域；所述保密區(qū)域指存儲器中僅能被從設(shè)備訪問的區(qū)域。
[0006]進(jìn)一步的，本發(fā)明的計算機從設(shè)備安全代碼加載的方法，所述方法包括安全處理器對解密后的可執(zhí)行代碼及數(shù)據(jù)的驗證。
[0007]進(jìn)一步的，本發(fā)明的計算機從設(shè)備安全代碼加載的方法，所述方法包括安全處理器在可執(zhí)行代碼及數(shù)據(jù)的安全加載期間阻塞主處理器的操作，以及在安全處理器完成可執(zhí)行代碼及數(shù)據(jù)的驗證后解除對主處理器的阻塞。
[0008]進(jìn)一步的，本發(fā)明的計算機從設(shè)備安全代碼加載的方法，所述方法包括在安全處理器中存儲用于對可執(zhí)行代碼及數(shù)據(jù)進(jìn)行解密的密鑰。
[0009]進(jìn)一步的，本發(fā)明的計算機從設(shè)備安全代碼加載的方法，所述方法包括在可執(zhí)行代碼加載期間通過從設(shè)備安全直接存儲訪問管理單元對專用存儲器的控制及管理。
[0010]進(jìn)一步的，本發(fā)明的計算機從設(shè)備安全代碼加載的方法，所述方法中的從設(shè)備包括外圍控制器PCI設(shè)備。
[0011]從另一方面，本發(fā)明還提出一種計算機從設(shè)備安全代碼加載的系統(tǒng)，在從設(shè)備中包括一個或多個電路，該電路包含可用來管理可執(zhí)行代碼及數(shù)據(jù)安全加載的安全處理器；安全處理器負(fù)責(zé)可執(zhí)行代碼與數(shù)據(jù)的解密以及解密后的可執(zhí)行代碼與數(shù)據(jù)的存儲；在從設(shè)備的專用存儲器包括一用于存儲解密后的代碼及數(shù)據(jù)的專用區(qū)域，該專用區(qū)域為僅能被從設(shè)備訪問的區(qū)域。
[0012]作為上述方法的變形，本發(fā)明還提出一種計算機從設(shè)備安全代碼加載的方法，應(yīng)用于包含從設(shè)備的計算機處理設(shè)備中，所述方法包括:在從設(shè)備設(shè)置一個安全處理器，用于管理從設(shè)備中可執(zhí)行代碼與數(shù)據(jù)的加載，并負(fù)責(zé)從設(shè)備中可執(zhí)行代碼與數(shù)據(jù)的解密；將專用存儲器的動態(tài)劃分為通用訪問區(qū)域及保密區(qū)域，保密區(qū)域指存儲器中僅能被從設(shè)備訪問的區(qū)域，解密后的代碼及數(shù)據(jù)應(yīng)存儲在從設(shè)備的專用存儲器的保密區(qū)域。
[0013]作為上述系統(tǒng)的變形，本發(fā)明還提出一種計算機從設(shè)備安全代碼加載的系統(tǒng)，在從設(shè)備中包括一個或多個電路，該電路包含可用來管理可執(zhí)行代碼及數(shù)據(jù)安全加載的安全處理器；安全處理器還負(fù)責(zé)從設(shè)備中可執(zhí)行代碼與數(shù)據(jù)的安全加載與解密；從設(shè)備的專用存儲器包括通用訪問區(qū)域及保密區(qū)域；保密區(qū)域指存儲器中僅能被從設(shè)備訪問的區(qū)域，用于存儲解密后的代碼及數(shù)據(jù)。
[0014]本發(fā)明采用的技術(shù)方案與現(xiàn)有技術(shù)相比，具有以下技術(shù)效果:
1.本發(fā)明提出了一種計算機從設(shè)備安全代碼加載的方法與系統(tǒng)，通過加密可執(zhí)行代碼提高安全性。
[0015]2.本發(fā)明提出了一種通過從設(shè)備直接存儲訪問管理單元時，對可執(zhí)行代碼及數(shù)據(jù)的安全處理方法，在存儲訪問前對可執(zhí)行代碼及數(shù)據(jù)進(jìn)行加密，大大提高了代碼及數(shù)據(jù)的安全性。
[0016]3.本發(fā)明提出了一種通過從設(shè)備直接訪問存儲管理單元時，對專用存儲器的控制及管理方法，通過對專用存儲器控制及管理方法的安全優(yōu)化，極大的提高了代碼及數(shù)據(jù)加載的安全性。
[0017]4.本發(fā)明提出了一種專用存儲器保密區(qū)域劃分的方法，通過保密區(qū)域的劃分為代碼及數(shù)據(jù)提供了封閉式的安全區(qū)域，提高了代碼及數(shù)據(jù)的安全性。
[0018]5.本發(fā)明涉及計算機從設(shè)備代碼加載前的數(shù)據(jù)管理、專用存儲器控制管理以及代碼加載完成后的安全區(qū)域劃分，貫穿計算機從設(shè)備代碼加載的全過程，全面提升代碼加載的安全性。

【專利附圖】

【附圖說明】
[0019]圖1是一個支持計算機從設(shè)備的PC系統(tǒng)框圖。
[0020]圖2是一個支持PCI從設(shè)備的PC系統(tǒng)框圖。
[0021]圖3是本發(fā)明實現(xiàn)例中計算機從設(shè)備中安全代碼加密的示例流程圖。

【具體實施方式】
[0022]為使本發(fā)明的一種計算機從設(shè)備安全代碼加載的方法與系統(tǒng)要解決的技術(shù)問題、技術(shù)方案和技術(shù)效果更加清楚，下面將結(jié)合附圖和【具體實施方式】對本發(fā)明作進(jìn)一步詳細(xì)說明。
[0023]所提發(fā)明的實現(xiàn)例是計算機從設(shè)備的安全代碼加密方法與系統(tǒng)。通過加密可執(zhí)行代碼提高安全性，計算機系統(tǒng)中的從設(shè)備加載并解密存放在計算機硬件中的可執(zhí)行代碼。計算機從設(shè)備利用專用存儲器進(jìn)行安全代碼加載。專用存儲器可分為通用可訪問區(qū)域與僅供計算機從設(shè)備訪問的保密區(qū)域。加密的可執(zhí)行代碼從計算機硬件中加載到專用存儲器的通用訪問區(qū)域。計算機從設(shè)備利用存儲的密鑰解密可執(zhí)行代碼并將之放入保密區(qū)域。解密的可執(zhí)行代碼通常需先經(jīng)過驗證，通過后則在專用存儲器的保密區(qū)域運行。在安全代碼加載時，計算機從設(shè)備的主處理器可能阻塞，并在代碼驗證結(jié)束后解除阻塞。專用存儲器劃分成通用訪問區(qū)域及保密區(qū)域可在安全代碼加載過程中動態(tài)完成。計算機從設(shè)備可能包含一個專用的安全處理器用于管理并執(zhí)行安全代碼的加載，專用安全處理器也可負(fù)責(zé)管理存儲器的劃分與訪問、密鑰的存儲與加載、可執(zhí)行代碼的解密及主處理器在安全代碼加載期間的復(fù)位等。
[0024]圖1是一個支持計算機從設(shè)備的PC系統(tǒng)框圖。根據(jù)本發(fā)明的實現(xiàn)例，該系統(tǒng)可以將可執(zhí)行代碼存儲在計算機硬件中。圖中主要包含了 PC(個人計算機)系統(tǒng)100、PC硬件驅(qū)動器102、PC軟件驅(qū)動器104、PC從設(shè)備106及存儲器108。
[0025]PC系統(tǒng)100可包括PC硬件驅(qū)動器102，PC軟件驅(qū)動器104以及通過外圍控制器接口(PCI)總線、PC1-e總線、USB總線及其它總線連接的各種設(shè)備。這些設(shè)備可包括PC從設(shè)備106，存儲器108等。PC系統(tǒng)100也可包括適合的邏輯、電路以及代碼等用來完成諸如數(shù)據(jù)輸入輸出、存儲與計算、執(zhí)行應(yīng)用程序等操作。PC系統(tǒng)100還包括如臺式機、工作站、筆記本電腦等通用計算機以及多種完成特定功能的專用計算機。
[0026]PC硬件驅(qū)動器102可包括適合的邏輯、電路以及代碼等完成數(shù)據(jù)或程序在PC系統(tǒng)100中的存儲。PC軟件驅(qū)動器104包括適合的邏輯、電路以及代碼等用于管理PC硬件驅(qū)動器102，使能PC系統(tǒng)100與PC硬件驅(qū)動器102的子系統(tǒng)及設(shè)備間的交互，使能PC硬件驅(qū)動器102的數(shù)據(jù)及代碼的存儲與檢索。
[0027]PC從設(shè)備106可包括適合的邏輯、電路以及代碼等來完成PC系統(tǒng)100中的操作。例如，PC從設(shè)備106可包括插卡，該卡插入主機(PC系統(tǒng)100)主板的PCI插槽，完成主機的某些功能。PC從設(shè)備106也可包括聲卡、網(wǎng)卡等。PC從設(shè)備106使PC系統(tǒng)100的組件或子系統(tǒng)間可通過通信總線(如PCI總線、USB總線或其它類型總線)進(jìn)行通信。
[0028]存儲器108可包括適合的邏輯、電路以及代碼等來供PC從設(shè)備106完成數(shù)據(jù)或代碼的存取，存儲器可使用多種存儲技術(shù)，如動態(tài)隨機內(nèi)容訪問(DRAM)等。
[0029]PC從設(shè)備106的安全處理進(jìn)程用于保證存放在PC系統(tǒng)的從設(shè)備代碼及數(shù)據(jù)的安全性。安全處理的第一步是在裝載前加密從設(shè)備的代碼及數(shù)據(jù)，然后通過PC軟件驅(qū)動器104解密代碼及數(shù)據(jù)。但是，由于軟件易受攻擊，這種方法的安全性有待提高，用軟件提供安全保護(hù)主要用于安全要求不是很高的系統(tǒng)。
[0030]PC從設(shè)備106可利用存儲在PC硬件驅(qū)動器102中的可執(zhí)行代碼。例如，PC從設(shè)備106可包含插入PC系統(tǒng)100的無線網(wǎng)卡來提供無線連接?？蓤?zhí)行代碼從PC硬件驅(qū)動器102裝入PC從設(shè)備106，使能必要的操作及功能。PC從設(shè)備106可同PCI借口與PC硬件驅(qū)動器102直接或間接通信。另外，在PC從設(shè)備106執(zhí)行操作期間，PC從設(shè)備可利用存儲器108完成數(shù)據(jù)的存取。
[0031]為提高PC系統(tǒng)100的安全性，存放在PC硬件驅(qū)動器102上的可執(zhí)行代碼需要加密，代碼加密可降低代碼暴露的安全威脅。利用存儲的密鑰對可對加密內(nèi)容完成解密操作。解密操作由PC軟件驅(qū)動器104完成，并將解密后的代碼及數(shù)據(jù)存放在存儲器中。這有助于降低直接將解密后的代碼及數(shù)據(jù)存放在PC硬件驅(qū)動器102中帶來的安全威脅。即使通過PC軟件驅(qū)動器利用存放在PC硬件驅(qū)動器中的密鑰對可執(zhí)行代碼進(jìn)行加密，依然可通過安全漏洞進(jìn)行非法訪問，因此需要一個更健壯的解決方法。作為一種選擇，PC從設(shè)備106可執(zhí)行對加密代碼的解密操作，并為存放密鑰與解密的代碼提供硬件防護(hù)。這樣可有效降低暴露代碼的安全威脅。
[0032]圖2是一個支持PCI從設(shè)備的PC系統(tǒng)框圖。根據(jù)本發(fā)明的實現(xiàn)例，該系統(tǒng)通過專用動態(tài)存儲器實現(xiàn)計算機硬件中存放的加密代碼的安全加載。圖2主要包括了 PC(個人計算機)系統(tǒng)200，PC硬件驅(qū)動器202，PC軟件驅(qū)動器204，PCI (外部控制器接口 )從設(shè)備206，DRAM (動態(tài)隨機訪問存儲器)208，PCI安全處理器210，PCI主處理器212，安全的直接存儲訪問(DMA)單元214，存儲控制器216，解密控制器218，可訪問存儲區(qū)域220，保密存儲區(qū)域222，PCI總線224以及處理器可執(zhí)行代碼集226，…228。
[0033]PC系統(tǒng)200與圖1中的PC系統(tǒng)100類似，可包括PC硬件驅(qū)動器202，PC軟件驅(qū)動器204，PCI從設(shè)備206，存儲器208以及PCI總線224。PC系統(tǒng)200還包括適合的邏輯、電路以及代碼等用來完成諸如數(shù)據(jù)輸入輸出、存儲與計算、執(zhí)行應(yīng)用程序等操作。PC系統(tǒng)200還包括如臺式機、工作站、筆記本電腦等通用計算機以及多種完成特定功能的專用計算機。
[0034]PC硬件驅(qū)動器202與圖1中的PC硬件驅(qū)動器102相似，PC軟件驅(qū)動器204與圖1中的PC軟件驅(qū)動器104相似。PC軟件驅(qū)動器204可使能PC系統(tǒng)200的子系統(tǒng)或設(shè)備間的交互，PC硬件驅(qū)動器202使能硬件驅(qū)動器中數(shù)據(jù)與代碼的存取，同時也包含多個處理器執(zhí)行代碼集226，…，228。為提高安全性，每個執(zhí)行代碼集可加密后存入PC硬件驅(qū)動器202。
[0035]存儲器208可包括適合的邏輯、電路以及代碼供PCI從設(shè)備206完成數(shù)據(jù)及代碼的存取；同時，存儲器208存儲器可使用多種存儲技術(shù)，如動態(tài)隨機內(nèi)容訪問(DRAM)等；存儲器208劃分為通用訪問區(qū)域及保密區(qū)域，限制除了 PCI從設(shè)備206以外的其它子系統(tǒng)對保密區(qū)域的訪問。
[0036]PCI從設(shè)備206可包括PCI安全處理器210，PCI主處理器212，安全的直接存儲訪問(DMA)單元214，存儲控制器216以及解密控制器218。PCI從設(shè)備206也可包括適合的邏輯、電路以及代碼等完成PC系統(tǒng)200的具體操作。例如，PCI從設(shè)備206可包括插在主機主板上的插卡,執(zhí)行主機要求的操作。PCI從設(shè)備206也可包括聲卡，網(wǎng)卡等。
[0037]PCI主處理器212可包括適合的邏輯、電路以及代碼等使PCI從設(shè)備206完成要求的處理操作。所提發(fā)明中的處理器不受限于某一具體類型，可為通用處理器、專用處理器或能提供PCI從設(shè)備206安全代碼裝載的其它硬件、軟件的適當(dāng)結(jié)合。PCI安全處理器210可包括適合的邏輯、電路以及代碼等，供PCI從設(shè)備在在安全代碼裝載時完成需要的管理及控制等操作。例如，PCI安全處理器210可利用安全DMA單元214在可執(zhí)行代碼解密期間使用存儲器208的保密區(qū)域222 ;同時，PCI安全處理器210可在安全代碼加載期間阻塞PCI主處理器212的操作。
[0038]安全直接存儲訪問(DMA)單元214可包括存儲控制器216，解密控制器218，適合的邏輯、電路以及代碼等使能存儲器208管理并執(zhí)行PCI從設(shè)備206中可執(zhí)行代碼的解密操作。存儲控制器216包括適合的邏輯、電路以及代碼等使能存儲器208管理。例如，存儲控制器216可將存儲器劃分為通用訪問區(qū)域及保密區(qū)域。另外，存儲控制器216可使能對保密區(qū)域222的受限訪問。例如，存儲控制器216可限制PC軟件驅(qū)動器204通過PCI總線224對存儲器208中的通用訪問區(qū)域220進(jìn)行訪問。解密控制器218可包括適合的邏輯、電路以及代碼等完成對PCI從設(shè)備206中可執(zhí)行代碼的解密操作。
[0039]PCI總線224可包括適合的邏輯、電路以及代碼等使PCI設(shè)備間可通過PCI接口進(jìn)行交互。例如，PCI總線224可使能PC軟件驅(qū)動器204、PC硬件驅(qū)動器206以及存儲器208間的交互。
[0040]在實施中，PCI從設(shè)備206可使能PC系統(tǒng)200的專用及優(yōu)化功能。例如，PCI從設(shè)備206可包括無線網(wǎng)卡完成與無線接口的連接。PCI從設(shè)備206可使用存放在PCI硬件驅(qū)動器202中的處理器可執(zhí)行代碼集226，…，208。為便利將處理器可執(zhí)行代碼集226加載到PCI從設(shè)備206中，PCI從設(shè)備206可利用PCI接口通過PCI軟件驅(qū)動器與PC硬件驅(qū)動器交互。為進(jìn)一步提高PC系統(tǒng)200及PCI從設(shè)備206的安全性，處理器可執(zhí)行代碼集226加密存放在PC硬件驅(qū)動器202中，在安全代碼加載期間完成相應(yīng)的解密操作。對處理器可執(zhí)行代碼集226的加密可提高PC系統(tǒng)200遭受非法訪問時處理器可執(zhí)行代碼集226的安全性。
[0041]在所提發(fā)明的一個實現(xiàn)例中，加密的處理器可執(zhí)行代碼集226存放在不允許外部訪問的PCI從設(shè)備206中，由PCI從設(shè)備206完成相應(yīng)的解密操作。例如，PCI從設(shè)備206利用PCI安全處理器210，安全DMA單元214以及存儲器208來完成解密，加密的處理器可執(zhí)行代碼集226的解密及加載不會暴露給PC系統(tǒng)200的其它子系統(tǒng)或設(shè)備。例如，在初始化安全代碼加載時，PCI安全處理器210可首先復(fù)位PCI主處理器212并阻塞其在安全代碼加載期間進(jìn)行操作。PCI安全處理器210使能安全DMA單元214對存儲器進(jìn)行劃分，通過存儲控制器216訪問存儲器。其中PC軟件驅(qū)動器204可訪問通用訪問存儲區(qū)域220，保密區(qū)域222只能由PC從設(shè)備206進(jìn)行訪問。PCI安全處理器210也包括用來對加密的處理器可執(zhí)行代碼集226進(jìn)行解密的密鑰，并負(fù)責(zé)將該密鑰裝入解密控制器218中。
[0042]當(dāng)存儲器208進(jìn)行劃分且密鑰被裝入解密控制器218后，PCI安全處理器向PC軟件驅(qū)動器204發(fā)送中斷信號。PC軟件驅(qū)動器204從PC硬件驅(qū)動器202讀出加密的處理器可執(zhí)行代碼集226。PC軟件驅(qū)動器204與存儲控制器216通過PCI總線224將加密的處理器可執(zhí)行代碼集226加載到存儲器208。解密控制器218從通用訪問區(qū)域220拷貝出加密的處理器可執(zhí)行代碼集226，利用PCI安全處理器210的密鑰進(jìn)行解密，并將解密后的代碼及數(shù)據(jù)載入保密區(qū)域222。因為PC軟件驅(qū)動器204不能訪問保密區(qū)域222，所以降低了暴露處理器可執(zhí)行代碼集226的安全威脅。PCI安全處理器210可對處理器可執(zhí)行代碼集226進(jìn)行驗證以判斷其合法性，若合法則取消對PCI主處理器212的阻塞。然后PCI主處理器212從保密區(qū)域加載解密后的處理器可執(zhí)行代碼集226，完成PC系統(tǒng)200要求的功能操作。
[0043]圖2所描述的實現(xiàn)例是基于PCI總線224及PCI從設(shè)備206的，但所提發(fā)明的實現(xiàn)例也適用于其它的PC系統(tǒng)及內(nèi)部總線。實現(xiàn)例中提及的從設(shè)備可執(zhí)行代碼，也可為以加密形式存放在PC系統(tǒng)硬件驅(qū)動器中的非代碼文件。
[0044]圖3是本發(fā)明實現(xiàn)例中計算機從設(shè)備中安全代碼加密的示例流程圖，包含了若干實現(xiàn)安全代碼加載的步驟。
[0045]步驟302中，PC從設(shè)備代碼加載初始化，同時PC從設(shè)備主處理器復(fù)位，進(jìn)行存儲分配并加載密鑰。例如，PCI安全處理器210在安全代碼加載期間可阻塞PCI主處理器212的操作，通過存儲控制器216將存儲器208劃分由PCI總線224訪問的通用訪問區(qū)域及只能由PCI從設(shè)備訪問的保密區(qū)域。用來解密的密鑰從PCI安全處理器加載到解密控制器中。之后，轉(zhuǎn)步驟304。
[0046]步驟304中，PC系統(tǒng)生成使能裝載解密的PC從設(shè)備可執(zhí)行代碼的中斷。例如，當(dāng)存儲器208進(jìn)行劃分且密鑰被裝入到解密控制器218后，生成一個中斷并發(fā)送到PC軟件驅(qū)動器204。之后，轉(zhuǎn)步驟306。
[0047]步驟306中，從PC硬件驅(qū)動器204中讀取加密的PC從設(shè)備206可執(zhí)行代碼。例如，PC軟件驅(qū)動器204可從PC硬件驅(qū)動器202中讀取加密的處理器可執(zhí)行代碼集226。PC軟件驅(qū)動器204及存取控制器216通過PCI總線224將加密的處理器可執(zhí)行代碼集226加載到存儲器208的通用訪問區(qū)域220。之后，轉(zhuǎn)步驟308。
[0048]步驟308中，將PC從設(shè)備的加密可執(zhí)行代碼讀到PC從設(shè)備中，并在PC從設(shè)備中完成相應(yīng)解密。例如，解密控制器218從通用訪問區(qū)域220加載加密的處理器可執(zhí)行代碼集226，并利用存在PCI安全處理器210的密鑰完成解密操作。之后，轉(zhuǎn)步驟310。
[0049]步驟310中，解密后的處理器可執(zhí)行代碼存入保密區(qū)域。例如，當(dāng)解密控制器218完成了對加密的處理器可執(zhí)行代碼集226的解密后，將之存入存儲器208的保密區(qū)域222。之后，轉(zhuǎn)步驟312。
[0050]步驟312中，對解密的PC從設(shè)備可執(zhí)行代碼進(jìn)行驗證。例如，PCI安全處理器210從保密區(qū)域222加載PC從設(shè)備可執(zhí)行代碼，并對處理器可執(zhí)行代碼集226進(jìn)行驗證。若驗證非法，則中止；驗證合法，則轉(zhuǎn)步驟314。
[0051]步驟314中，使能PC從設(shè)備主處理器。例如，當(dāng)解密的處理器可執(zhí)行代碼集226驗證合法后，PCI安全處理器210解除PCI主處理器212的阻塞。之后，轉(zhuǎn)步驟316。
[0052]步驟316中，從保密區(qū)域加載并運行解密的處理器可執(zhí)行代碼集。例如，當(dāng)PCI主處理器212被解除阻塞后，從保密區(qū)域加載解密的處理器可執(zhí)行代碼集226，并通過PCI從設(shè)備206完成PC系統(tǒng)200要求的一些操作。
[0053]本發(fā)明的不同實現(xiàn)例可包括PC從設(shè)備安全代碼加密的方法與系統(tǒng)。PC系統(tǒng)200中的PCI從設(shè)備206可從PC硬件驅(qū)動器202中加載并解密處理器可執(zhí)行代碼集226。處理器可執(zhí)行代碼集226可加密存放在PC硬件驅(qū)動器202中以提高安全性。存儲器208可為包含外部直接隨機存儲訪問的專用存儲器，劃分為通用訪問區(qū)域220及只能被PCI從設(shè)備206訪問的保密區(qū)域222。通過PC軟件驅(qū)動器204，存儲控制器216以及PCI總線224，加密的處理器可執(zhí)行代碼集226從PC硬件驅(qū)動器202加載到專用存儲器的通用訪問區(qū)域220。PCI從設(shè)備206利用解密密鑰對加密的處理器可執(zhí)行代碼集進(jìn)行解密并將解密后的代碼及數(shù)據(jù)存入存儲器208的保密區(qū)域222。解密的處理器可執(zhí)行代碼集226首先進(jìn)行合法性驗證。PCI從設(shè)備206可在安全代碼加載初始化期間阻塞，并在對解密的處理器可執(zhí)行代碼集226合法性驗證完成之后解除阻塞。存儲器208的劃分工作可在安全代碼加載期間動態(tài)進(jìn)行。PCI安全處理器210可使能存儲器劃分管理、訪問、密鑰存取、處理器可執(zhí)行代碼集226的解密管理以及在安全代碼加載期間的PCI從設(shè)備阻塞。
[0054]本發(fā)明的另一個實現(xiàn)例可提供一個機器可讀的存儲器，存有包含至少一個代碼段的計算機程序。通過運行該程序完成上述PC從設(shè)備安全代碼加載的步驟。
[0055]相應(yīng)地，本發(fā)明可通過硬件、軟件或兩者結(jié)合來實現(xiàn)。本發(fā)明可在包含至少一個計算機系統(tǒng)的集中系統(tǒng)上實現(xiàn)，也可以若干計算機系統(tǒng)互聯(lián)的分布式方式實現(xiàn)。所有可運行本發(fā)明方法的計算機系統(tǒng)或設(shè)備均可用于本發(fā)明。典型的軟硬件結(jié)合的方式是裝有計算機程序的通用計算機系統(tǒng)，計算機程序控制計算機完成本發(fā)明所描述的方法。
[0056]所提發(fā)明也可嵌入到計算機程序產(chǎn)品中，該產(chǎn)品應(yīng)具備實現(xiàn)本發(fā)明中方法的所有要求，可加載到計算機系統(tǒng)并運行。這里的計算機程序指的是可使系統(tǒng)進(jìn)行信息處理，完成特定功能的指令集的任何表示、語言、代碼或概念。
[0057]通過前述對所提發(fā)明的描述，本領(lǐng)域的普通技術(shù)人員可在本發(fā)明的范圍內(nèi)實現(xiàn)多個不同的實現(xiàn)例。另外，為適合特定環(huán)境或材料對本發(fā)明所做的修改依然不能脫離本發(fā)明的范圍。因此，本發(fā)明不應(yīng)局限于某個具體的實現(xiàn)例，所有在附加聲明中的實現(xiàn)例均屬于本發(fā)明的范圍。
【權(quán)利要求】
1.計算機從設(shè)備安全代碼加載的方法，應(yīng)用于包含從設(shè)備的計算機處理設(shè)備中，其特征在于:所述方法包括:在從設(shè)備中設(shè)置一個安全處理器，用于管理從設(shè)備中可執(zhí)行代碼與數(shù)據(jù)的加載，并負(fù)責(zé)從設(shè)備中可執(zhí)行代碼與數(shù)據(jù)的解密，以及將解密后的可執(zhí)行代碼與數(shù)據(jù)存儲在從設(shè)備的專用存儲器的保密區(qū)域；所述保密區(qū)域指存儲器中僅能被從設(shè)備訪問的區(qū)域。
2.根據(jù)權(quán)利要求1所述的計算機從設(shè)備安全代碼加載的方法，其特征在于:所述方法包括安全處理器對解密后的可執(zhí)行代碼及數(shù)據(jù)的驗證。
3.根據(jù)權(quán)利要求2所述的計算機從設(shè)備安全代碼加載的方法，其特征在于:所述方法包括安全處理器在可執(zhí)行代碼及數(shù)據(jù)的安全加載期間阻塞主處理器的操作，以及在安全處理器完成可執(zhí)行代碼及數(shù)據(jù)的驗證后解除對主處理器的阻塞。
4.根據(jù)權(quán)利要求1所述的計算機從設(shè)備安全代碼加載的方法，其特征在于:所述方法包括在安全處理器中存儲用于對可執(zhí)行代碼及數(shù)據(jù)進(jìn)行解密的密鑰。
5.根據(jù)權(quán)利要求1所述的計算機從設(shè)備安全代碼加載的方法，其特征在于:所述方法包括在可執(zhí)行代碼加載期間通過從設(shè)備安全直接存儲訪問管理單元對專用存儲器的控制及管理。
6.根據(jù)權(quán)利要求1所述的計算機從設(shè)備安全代碼加載的方法，其特征在于:所述方法中的從設(shè)備包括外圍控制器PCI設(shè)備。
7.計算機從設(shè)備安全代碼加載的系統(tǒng)，其特征在于:在從設(shè)備中包括一個或多個電路，該電路包含可用來管理可執(zhí)行代碼及數(shù)據(jù)安全加載的安全處理器；安全處理器負(fù)責(zé)可執(zhí)行代碼與數(shù)據(jù)的解密以及解密后的可執(zhí)行代碼與數(shù)據(jù)的存儲；在從設(shè)備的專用存儲器包括一用于存儲解密后的代碼及數(shù)據(jù)的專用區(qū)域，該專用區(qū)域為僅能被從設(shè)備訪問的區(qū)域。
8.計算機從設(shè)備安全代碼加載的方法，應(yīng)用于包含從設(shè)備的計算機處理設(shè)備中，其特征在于:所述方法包括:在從設(shè)備設(shè)置一個安全處理器，用于管理從設(shè)備中可執(zhí)行代碼與數(shù)據(jù)的加載，并負(fù)責(zé)從設(shè)備中可執(zhí)行代碼與數(shù)據(jù)的解密；將專用存儲器動態(tài)劃分為通用訪問區(qū)域及保密區(qū)域，保密區(qū)域指存儲器中僅能被從設(shè)備訪問的區(qū)域，解密后的代碼及數(shù)據(jù)應(yīng)存儲在從設(shè)備的專用存儲器的保密區(qū)域。
9.計算機從設(shè)備安全代碼加載的系統(tǒng)，其特征在于:在從設(shè)備中包括一個或多個電路，該電路包含可用來管理可執(zhí)行代碼及數(shù)據(jù)安全加載的安全處理器；安全處理器還負(fù)責(zé)從設(shè)備中可執(zhí)行代碼與數(shù)據(jù)的安全加載與解密；從設(shè)備的專用存儲器包括通用訪問區(qū)域及保密區(qū)域；保密區(qū)域指存儲器中僅能被從設(shè)備訪問的區(qū)域，用于存儲解密后的代碼及數(shù)據(jù)。
【文檔編號】G06F21/51GK104331671SQ201410595855
【公開日】2015年2月4日 申請日期:2014年10月30日 優(yōu)先權(quán)日:2014年10月30日
【發(fā)明者】張漪 , 王琪, 崔志成 申請人:無錫市合鑫川自動化設(shè)備有限公司