[發明專利]信任域架構與多密鑰總存儲器加密技術在服務器中的共存

在審

• 申請號: 201911141975.5
• 申請日: 2019-11-20
• 公開（公告）號: CN111353158A
• 公開（公告）日: 2020-06-30
• 發明（設計）人: I.歐齊爾;A.阿哈倫;D.卡斯皮;B.蔡金;J.多維克;G.格爾宗;B.E.亨特利;F.X.麥基恩;G.奈格爾;C.V.羅扎斯;R.L.薩希塔;V.尚博格;A.扎爾茨曼;H.M.科斯拉維
• 申請（專利權）人: 英特爾公司
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F21/60;G06F21/62;H04L9/08;G06F9/455
• 代理公司: 中國專利代理(香港)有限公司 72001
• 代理人: 張健;楊美靈

1.一種處理器，其包括：

用以執行管理程序的處理器核，所述處理器核包括用以存儲以下各項的硬件寄存器：

位范圍，用以標識物理存儲器地址中的定義了密鑰標識符（ID）的地址位的第一數量；以及

密鑰ID中的劃分密鑰ID，用以標識密鑰ID的非受限密鑰ID與受限密鑰ID之間的邊界；以及

其中所述處理器核用以：

分配所述非受限密鑰ID中的至少一個以供所述管理程序使用；以及

將密鑰ID的第一密鑰ID分配給信任域基礎設施的第一信任域，其中所述第一密鑰ID是所述受限密鑰ID之一；以及

耦合到所述處理器核的存儲器控制器，用以將存儲器的第一物理頁面分配給所述第一信任域，其中所述存儲器的第一物理頁面的數據要利用與所述第一密鑰ID相關聯的加密密鑰被加密。

2.根據權利要求1所述的處理器，其中所述位范圍包括非受限位的第一位子范圍和受限位的第二位子范圍，其中對于所述非受限密鑰ID，所述受限位中的每一個要具有第一二進制值，并且其中對于所述受限密鑰ID，所述受限位中的至少一個要具有與所述第一二進制值不同的第二二進制值。

3.根據權利要求2所述的處理器，其中所述存儲器控制器進一步用以：

檢測涉及被分配給所述第一信任域的所述存儲器的第一物理頁面的存儲器事務，其中所述存儲器事務包括所述存儲器的物理頁面的物理存儲器地址以及請求密鑰ID；以及

響應于確定請求密鑰ID的受限位中的至少一個具有第二二進制值而生成錯誤。

4.根據權利要求3所述的處理器，其中所述存儲器事務是代碼獲取或使用頁面遍歷的存儲器事務中的一個，并且其中所述錯誤是非受限密鑰頁面錯誤。

5.根據權利要求1至4中任一項所述的處理器，其中所述存儲器控制器進一步用以：響應于檢測到由所述第一信任域的信任計算基（TCB）外部的軟件程序發起的并且涉及所述存儲器的第一物理頁面的存儲器事務而生成錯誤。

6.根據權利要求1至4中任一項所述的處理器，其中所述處理器核進一步用以將第二密鑰ID分配給第二信任域，其中所述第二密鑰ID是所述受限密鑰ID之一，并且其中所述存儲器控制器進一步用以：

將所述存儲器的第二物理頁面分配給所述第二信任域，其中所述存儲器的第二物理頁面中的數據要利用與所述第二密鑰ID相關聯的加密密鑰被加密；

在密鑰所有權表（KOT）中存儲所述第一密鑰ID到所述第一信任域的分配和所述第二密鑰ID到所述第二信任域的分配；以及

在存儲器所有權表（MOT）中存儲標識了所述存儲器的第一物理頁面到所述第一信任域的分配的第一信任域標識符和標識了所述存儲器的第二物理頁面到所述第二信任域的分配的第二信任域標識符。

7.根據權利要求6所述的處理器，其中所述存儲器控制器進一步用以：

檢測涉及所述存儲器的第一物理頁面的存儲器事務，其中所述存儲器事務包括所述存儲器的第一物理頁面的物理存儲器地址以及所述第二密鑰ID；

參考所述MOT，以確定所述第二密鑰ID不是所述存儲器的第一物理頁面的正確屬性；以及

生成錯誤。

8.根據權利要求6所述的處理器，其中所述存儲器控制器進一步用以：

檢測涉及所述存儲器的第一物理頁面的存儲器事務，其中所述存儲器事務源自于所述第二信任域，并且包括所述存儲器的第一物理頁面的存儲器地址以及所述第一密鑰ID；

參考所述KOT，以確定所述第一密鑰ID沒有被分配給所述第二信任域；以及

生成錯誤。