[發(fā)明專利]防止對加密存儲器的未授權(quán)訪問

有效

• 申請?zhí)枺?/td>: 201910344122.5
• 申請日: 2019-04-26
• 公開（公告）號: CN110472444A
• 公開（公告）日: 2019-11-19
• 發(fā)明（設計）人: 喬納森·盧茨;瑞歐文·埃爾巴茲;杰森·W·勃蘭特;希沙姆·沙菲;伊泰·阿納蒂;韋德維亞斯·山博格
• 申請（專利權(quán)）人: 英特爾公司
• 主分類號: G06F21/78
• 分類號: G06F21/78;G06F21/60
• 代理公司: 11258 北京東方億思知識產(chǎn)權(quán)代理有限責任公司
• 代理人: 宗曉斌<國際申請>=<國際公布>=<進入

本公開提供了用于防止對加密存儲器的未授權(quán)訪問的方法、系統(tǒng)、和裝置。處理器或系統(tǒng)包括處理器核，用于執(zhí)行指令集以確定存儲器加密模式被啟用。存儲器加密模式將使得存儲到存儲器的數(shù)據(jù)被加密并使得從存儲器獲取的數(shù)據(jù)被解密。處理器核還用于確定調(diào)試模式已被啟用，并且響應于確定調(diào)試模式已被啟用，生成與在計算系統(tǒng)的重啟之前采用的第一加密密鑰不同的第二加密密鑰。處理器核還用于將第二加密密鑰發(fā)送到密碼引擎以用于根據(jù)存儲器加密模式來對數(shù)據(jù)進行加密和解密。

技術(shù)領域

本公開涉及對存儲在計算機系統(tǒng)的存儲器中的數(shù)據(jù)的保護，更具體地，涉及防止對加密存儲器的未授權(quán)訪問。

背景技術(shù)

現(xiàn)代處理器被設計為保護存儲器中的敏感數(shù)據(jù)免受硬件和軟件攻擊，并且被如此保護的存儲器區(qū)域在本文中被稱為受保護存儲器。一些處理器提供用于加密、完整性、和重放(replay)保護的密碼機制。存儲器加密對存儲器駐留數(shù)據(jù)的機密性進行保護。另一方面，完整性保護防止攻擊者引起對存儲器中的密文(即，加密數(shù)據(jù)，而非作為未加密數(shù)據(jù)的明文)的任何隱藏修改，并且重放保護消除密文的任何未被檢測到的臨時替代物。在沒有這種保護的情況下，具有對系統(tǒng)的物理訪問權(quán)限的攻擊者可以記錄數(shù)據(jù)行的快照并在以后的時間點重放它們。為了改變存儲器保護管理的模式，基本輸入-輸出系統(tǒng)(BIOS)確定采用哪種模式，并在計算機系統(tǒng)啟動(boot)時將該模式傳送給操作系統(tǒng)。計算機系統(tǒng)的用戶還可以在系統(tǒng)重啟或啟動期間通過BIOS啟用調(diào)試模式。

發(fā)明內(nèi)容

根據(jù)本申請的一方面，提供了一種處理器，包括：第一寄存器；以及耦接到第一寄存器的處理器核，該處理器核用于：通過訪問第一寄存器中的位來確定存儲器加密模式被啟用，其中存儲器加密模式用于使得存儲到存儲器的數(shù)據(jù)被加密并使得從存儲器獲取的數(shù)據(jù)被解密；確定調(diào)試模式已被啟用；響應于確定調(diào)試模式已被啟用，生成與在計算系統(tǒng)重啟之前采用的第一加密密鑰不同的第二加密密鑰；以及將第二加密密鑰發(fā)送到密碼引擎，以用于根據(jù)存儲器加密模式對數(shù)據(jù)的加密和解密。

根據(jù)本申請的一方面，提供了一種系統(tǒng)，包括：存儲器；耦接到存儲器的處理器核，以及耦接到處理器核和存儲器的密碼引擎。處理器核包括用于執(zhí)行可擴展固件接口的指令集，并且用于執(zhí)行指令集來置位第一寄存器中的第一位以指示存儲器加密模式已被啟用；以及置位第二寄存器中的第二位以指示調(diào)試模式已被啟用。密碼引擎用于：響應于第二寄存器中的第二位被置位，生成與系統(tǒng)重啟之前所采用的第一加密密鑰不同的第二加密密鑰；以及響應于第一寄存器中的第一位被置位，使用第二加密密鑰對要寫入存儲器的數(shù)據(jù)進行加密并對要從存儲器獲取的數(shù)據(jù)進行解密。

根據(jù)本申請的一方面，提供了一種方法，包括：由處理器核確定存儲器加密模式被啟用，其中，存儲器加密模式使得存儲到存儲器的數(shù)據(jù)被加密并使得從存儲器獲取的數(shù)據(jù)被解密；由處理器核確定調(diào)試模式已被啟用；響應于確定調(diào)試模式已被啟用，由處理器核生成與在計算系統(tǒng)重啟之前采用的第一加密密鑰不同的第二加密密鑰；以及由處理器核將第二加密密鑰發(fā)送到密碼引擎，以用于根據(jù)存儲器加密模式對數(shù)據(jù)的加密和解密。

根據(jù)本申請的一方面，提供了至少一種機器可讀介質(zhì)，包括多個指令，該多個指令響應于在計算設備上被執(zhí)行而使得該計算設備執(zhí)行上述方法。

根據(jù)本申請的一方面，提供了一種用于在處理設備中實現(xiàn)自動自適應電壓控制的引擎的裝置，被配置為執(zhí)行上述方法。

根據(jù)本申請的一方面，提供了一種裝置，包括用于執(zhí)行上述方法的構(gòu)件。

附圖說明

圖1是示出根據(jù)本公開的各種實現(xiàn)方式的采用用于實現(xiàn)保護以防止對存儲器的未授權(quán)訪問的密碼引擎的計算機系統(tǒng)的框圖。

圖2是根據(jù)實現(xiàn)方式的計算機系統(tǒng)的框圖，其中存儲器中的加密數(shù)據(jù)可通過調(diào)試硬件接口以明文形式訪問。

圖3是根據(jù)實現(xiàn)方式的用于加密密鑰生成的方法的流程圖。