[發明專利]用于執行安全嵌入式容器的處理器擴展

有效

• 申請號: 201410613122.8
• 申請日: 2009-12-25
• 公開（公告）號: CN104375890B
• 公開（公告）日: 2018-04-10
• 發明（設計）人: V·尚博格;A·庫馬爾;P·戈埃爾
• 申請（專利權）人: 英特爾公司
• 主分類號: G06F9/48
• 分類號: G06F9/48;G06F9/50;G06F9/455
• 代理公司: 永新專利商標代理有限公司72002
• 代理人: 劉瑜,王英

1.一種處理器，包括：

一個或多個處理器核心；

高速緩存，其被配置為由所述一個或多個處理器核心使用擴展頁表EPT來訪問；

封裝內存儲器，其用于存儲映射到來自獨立于操作系統的存儲器分區的物理地址的密鑰頁，所述存儲器分區具有獨立于操作系統和虛擬機管理器且不受操作系統和虛擬機管理器影響的執行環境；

嵌入式處理器密鑰，其被配置為由獨立于操作系統的資源管理器OIRM來訪問以實施加密操作，其中，運行在所述處理器上的、來自所述存儲器分區之外的應用程序能夠調用由所述OIRM提供的二進制大對象服務來創建密鑰二進制大對象，以用于訪問所述存儲器分區之內的所述密鑰頁。

2.根據權利要求1所述的處理器，其中，所述OIRM在執行來自所述存儲器分區之內的和來自所述存儲器分區之外的操作或指令之間動態地劃分所述處理器的周期。

3.根據權利要求2所述的處理器，其中，所述OIRM將多個分區耦合到所述處理器，所述多個分區至少包括所述存儲器分區和用于存儲操作系統的第二分區。

4.根據權利要求3所述的處理器，其中，響應于來自運行在所述處理器上的來自所述存儲器分區之外的所述應用程序的用于加載所述密鑰頁的指令，所述OIRM將數據從所述密鑰頁復制到所述封裝內存儲器中并使用所述密鑰二進制大對象來解密所述封裝內存儲器中的所述數據。

5.根據權利要求4所述的處理器，其中，還響應于來自運行在所述處理器上的來自所述存儲器分區之外的所述應用程序的用于加載所述密鑰頁的指令，所述OIRM更新所述EPT以將訪問從映射到所述存儲器分區中的所述密鑰頁的物理地址重定向到映射到所述封裝內存儲器的物理地址。

6.根據權利要求5所述的處理器，其中，還響應于來自運行在所述處理器上的來自所述存儲器分區之外的所述應用程序的用于加載所述密鑰頁的指令，所述OIRM使用所述嵌入式處理器密鑰來解密所述密鑰二進制大對象并使用已解密的密鑰二進制大對象來解密所述封裝內存儲器中的所述數據。

7.根據權利要求6所述的處理器，其中，響應于來自運行在所述處理器上的來自所述存儲器分區之外的所述應用程序的用于存儲所述密鑰頁的指令，所述OIRM使用所述密鑰二進制大對象來加密所述封裝內存儲器中的所述數據并將已加密的數據從所述封裝內存儲器復制到所述存儲器分區中的所述密鑰頁。

8.根據權利要求7所述的處理器，其中，還響應于來自運行在所述處理器上的來自所述存儲器分區之外的所述應用程序的用于存儲所述密鑰頁的指令，所述OIRM使用所述嵌入式處理器密鑰來解密所述密鑰二進制大對象并使用已解密的密鑰二進制大對象來加密所述封裝內存儲器中的所述數據。

9.根據權利要求8所述的處理器，其中，所述OIRM維護完整性校驗值陣列，所述完整性校驗值陣列用于存儲對應于所述存儲器分區的一個或多個頁的數據，其中，該陣列中的每個條目用于指示所述存儲器分區中的對應的頁的安全散列算法值、有效性和直接存儲器訪問。

10.根據權利要求9所述的處理器，其中，基于存儲在所述完整性校驗值陣列的對應的條目中的值，所述OIRM確定所述存儲器分區的所述一個或多個頁的完整性。

11.根據權利要求10所述的處理器，其中，響應于檢測到對所述存儲器分區的對應的頁的修改，所述OIRM引起對存儲在所述完整性校驗值陣列中的值的更新。

12.一種計算機實現的方法，包括：

由一個或多個處理器核心使用擴展頁表EPT來訪問高速緩存；

在封裝內存儲器中存儲由所述EPT映射到來自獨立于操作系統的存儲器分區的物理地址的密鑰頁，所述存儲器分區具有獨立于操作系統和虛擬機管理器且不受操作系統和虛擬機管理器影響的執行環境；

由獨立于操作系統的資源管理器OIRM訪問嵌入式處理器密鑰以實施加密操作；

在所述存儲器分區之內存儲所述密鑰頁；以及

調用由所述OIRM為運行在所述一個或多個處理器核心上的、來自所述存儲器分區之外的應用程序提供的二進制大對象服務來創建密鑰二進制大對象，以用于訪問映射到所述存儲器分區之內的物理地址的所述密鑰頁。