[發(fā)明專利]構(gòu)建信任域擴(kuò)展并在信任域擴(kuò)展內(nèi)操作的安全仲裁模式

在審

• 申請?zhí)枺?/td>: 202010179935.6
• 申請日: 2020-03-16
• 公開（公告）號: CN111752670A
• 公開（公告）日: 2020-10-09
• 發(fā)明（設(shè)計(jì)）人: 韋德維亞斯·山博格;拉維·L·薩希塔;文森特·斯卡拉塔;巴里·E·亨特利
• 申請（專利權(quán)）人: 英特爾公司
• 主分類號: G06F9/455
• 分類號: G06F9/455;H04L9/08;H04L9/32
• 代理公司: 北京東方億思知識產(chǎn)權(quán)代理有限責(zé)任公司 11258
• 代理人: 宗曉斌

1.一種處理器，包括：

范圍寄存器，用于存儲信息，所述信息識別與所述處理器的安全仲裁模式(SEAM)相關(guān)聯(lián)的存儲器的保留范圍；以及

耦合到所述范圍寄存器的處理器核心，其中所述處理器核心包括安全性邏輯，用于在所述處理器核心的用于發(fā)起所述SEAM的邏輯處理器上解鎖所述范圍寄存器；并且

其中所述邏輯處理器經(jīng)由所述安全性邏輯的執(zhí)行而用于：

在由存儲在所述范圍寄存器中的所述信息識別的所述存儲器的保留范圍中存儲SEAM模塊和與所述SEAM模塊相關(guān)聯(lián)的清單，其中所述SEAM模塊用于支持一個或多個信任域的執(zhí)行；

在所述存儲器的保留范圍內(nèi)初始化SEAM虛擬機(jī)控制結(jié)構(gòu)(VMCS)，所述SEAM VMCS用于控制虛擬機(jī)監(jiān)視器(VMM)和所述SEAM模塊之間的狀態(tài)轉(zhuǎn)變；并且

利用所述清單的清單簽名來認(rèn)證所述SEAM模塊。

2.如權(quán)利要求1所述的處理器，還包括多個測量寄存器和安全性虛擬號(SVN)寄存器，其中所述安全性邏輯還用于：

向所述多個測量寄存器中記錄所述SEAM模塊的測量、身份和SVN值；并且

對照存儲在所述SVN寄存器中的先前記錄的SVN值來驗(yàn)證所述SVN值。

3.如權(quán)利要求2所述的處理器，其中所述清單包括以下各項(xiàng)中的至少兩項(xiàng)的組合：

清單簽名者公共密鑰；

所述清單簽名者公共密鑰的第一摘要，其中所述第一摘要是所記錄的所述SEAM模塊的身份；

所述SEAM模塊和關(guān)聯(lián)的可加載組件的第二摘要；或者

所述SEAM模塊的屬性；并且

其中，為了記錄所述SEAM模塊的測量，所述安全性邏輯還用于：

生成以下各項(xiàng)的組合的第三摘要：(i)所述SEAM模塊和關(guān)聯(lián)的可加載組件；以及(ii)所述清單簽名；并且

在所述多個測量寄存器的至少一者中記錄所述第三摘要作為所述SEAM模塊的測量。

4.如權(quán)利要求1所述的處理器，其中所述安全性邏輯還用于：響應(yīng)于加載所述SEAM模塊的請求而進(jìn)行以下操作：

生成頁表來映射所述存儲器的保留范圍；

生成可配置數(shù)目的軟件可寫頁目錄指針(PDP)結(jié)構(gòu)來映射附加存儲器，所述附加存儲器用于存儲所述一個或多個信任域的數(shù)據(jù)；

在所述存儲器的保留范圍內(nèi)存儲所述頁表和所述軟件可寫PDP結(jié)構(gòu)；并且

在所述SEAM VMCS中存儲指向所述頁表的頁表指針，以在SEAMCALL指令的后續(xù)執(zhí)行時建立SEAM狀態(tài)。

5.如權(quán)利要求1-4中任一項(xiàng)所述的處理器，其中所述安全性邏輯還用于：

利用數(shù)據(jù)陣列在所述存儲器的保留范圍內(nèi)初始化配置區(qū)域；并且

在所述數(shù)據(jù)陣列內(nèi)初始化包括所述SEAM VMCS的多個SEAM VMCS，其中多個SEAM VMCS中的每一者被指派到所述處理器核心的不同邏輯處理器，其中初始化所述多個SEAM VMCS包括初始化每個SEAM VMCS的字段。

6.如權(quán)利要求1-4中任一項(xiàng)所述的處理器，其中所述處理器核心還用于執(zhí)行存儲器檢查固件，以進(jìn)行以下操作：

驗(yàn)證由基本輸入/輸出系統(tǒng)(BIOS)固件編程到所述范圍寄存器中的所述保留范圍不與所述存儲器的其他保留范圍重疊；

驗(yàn)證所述處理器的多密鑰總存儲器加密(MK-TME)引擎是利用啟用的完好性來配置的；

配置所述MK-TME引擎的平臺保留加密密鑰，以對存儲到所述存儲器的保留范圍的數(shù)據(jù)進(jìn)行加密以及完好性和重放保護(hù)；并且

將所述存儲器的保留范圍標(biāo)記為有效以在其中存儲所述SEAM模塊。

7.如權(quán)利要求6所述的處理器，還包括存儲器控制器，該存儲器控制器包括所述MK-TME引擎，所述存儲器控制器用于：

在所述SEAM模塊被存儲到所述存儲器的保留范圍中之前，利用所述平臺保留加密密鑰對所述SEAM模塊進(jìn)行加密；并且

利用所述平臺保留加密密鑰對存儲在所述存儲器的保留范圍中的和從所述存儲器的保留范圍取回的數(shù)據(jù)進(jìn)行加密和完好性保護(hù)。