[發明專利]處理器、處理系統和用于指令執行的方法

有效

• 申請號: 201680008156.1
• 申請日: 2016-02-22
• 公開（公告）號: CN107209722B
• 公開（公告）日: 2021-06-22
• 發明（設計）人: P·潘迪;M·維吉;S·查卡拉巴蒂;K·C·茲姆德茲恩司基
• 申請（專利權）人: 英特爾公司
• 主分類號: G06F12/0875
• 分類號: G06F12/0875;G06F12/14;G06F13/24
• 代理公司: 上海專利商標事務所有限公司 31100
• 代理人: 何焜

指令和邏輯用于在安全飛地頁面高速緩存(EPC)中使進程分叉和建立子飛地。指令為分配給父進程和子進程的飛地的安全存儲指定地址以存儲安全飛地控制結構(SECS)數據、應用數據、代碼等等。處理器包括EPC以存儲父進程和子進程的飛地數據。父的實施例可以執行，或系統可以執行指令以將父SECS復制到子的安全存儲、初始化唯一子ID并且鏈接到父SECS/ID。子的實施例可以執行，或系統可以執行指令以將頁面從父飛地復制到子飛地，其中父飛地和子飛地具有相同密鑰，如果被中斷，則將EPC映射的條目設置為部分完成，并且記錄子飛地中的頁面狀態。因此可以恢復復制。

技術領域

本公開涉及處理邏輯、微處理器以及相關聯的指令集架構領域，當由處理器或其他處理邏輯執行該指令集架構時，該指令集架構執行加載、存儲、邏輯、數學或其他功能性操作。具體而言，本公開涉及用于在安全飛地頁面高速緩存中使進程分叉(fork)和建立子飛地的指令和邏輯。

背景技術

用于支持諸如語音、視頻、事務以及私有數據之類的新使用模型和服務的應用和高性能網絡在安全領域提出了新的挑戰。出于保密和完整性的目的而保護存儲器中的或在傳輸途中的數據的需求是重要的，但為了支持高速加密操作和維持對受保護的代碼和/或數據的安全訪問所需的存儲器，增加了復雜性最終增加了成本。

一種用于創建和維持安全、受保護或隔離的分區或環境的技術被稱為建立飛地(enclave)。飛地是信息和處理能力的集合，其可作為一組來保護。信息和處理能力可包括網絡、主機或應用。當飛地的數據和/或指令從外部存儲器被加載時，它們被解密、認證并且然后被存儲或高速緩存到受保護的存儲器中。類似地，當飛地的數據和/或指令從受保護的存儲器被驅逐時，它們在被存儲回外部存儲器之前被加密。安全飛地數據被分配到特定進程并且與該進程的唯一飛地標識符相關聯，使得對安全飛地數據的訪問僅限于經授權的進程。甚至操作系統也不被允許訪問與不同進程的飛地標識符相關聯的經解密的飛地數據。

因此，當已經被分配了安全飛地的進程希望利用操作系統調用，fork()，來創建其本身的副本以作為子進程時，操作系統不能訪問與父進程相關聯的經解密的飛地數據。因此，當分配給父進程的安全飛地仍然活動時，操作系統不能為子進程復制父進程的狀態。此外，當操作系統正在為安全飛地執行存儲器頁面的置入分頁(即加載)和/或移出分頁(即驅逐和寫回)時，必須對全部頁面執行加密操作，頁面的尺寸通常為4KB。因此，用于安全飛地的頁面復制操作可能需要數以萬計個處理周期。如果分頁進程被中斷，則可能需要重新執行分頁進程，但是如果在安全飛地的分頁操作完成之前不允許對中斷的服務，則對中斷的延遲服務可能導致一些服務(諸如語音、視頻和實時事務)中的不可接受的小故障。

因此，復制父進程的安全飛地的數據和狀態的頁面以分叉出子進程提出了一系列獨特的安全性、用戶體驗和性能挑戰。到目前為止，尚未充分探索解決這些挑戰、潛在的性能受限問題以及實時復雜度的解決方案。

附圖說明

在所附附圖的多個圖中以示例方式而非限制方式示出本發明。

圖1A是執行用于在安全飛地頁面高速緩存中使進程分叉和建立子飛地的指令的系統的一個實施例的框圖。

圖1B是執行用于在安全飛地頁面高速緩存中使進程分叉和建立子飛地的指令的系統的另一實施例的框圖。

圖1C是執行用于在安全飛地頁面高速緩存中使進程分叉和建立子飛地的指令的系統的另一實施例的框圖。

圖2是執行用于在安全飛地頁面高速緩存中使進程分叉和建立子飛地的指令的處理器的一個實施例的框圖。

圖3A示出根據一個實施例的緊縮數據類型。

圖3B示出根據一個實施例的緊縮數據類型。

圖3C示出根據一個實施例的緊縮數據類型。

圖3D示出根據一個實施例的編碼為用于在安全飛地頁面高速緩存中使進程分叉和建立子飛地的指令。