[发明专利]一种面向智能卡的软硬件协同保护机制

说明书

技术领域

本发明主要应用于智能卡芯片。

背景技术

智能卡已经得到越来越广泛的应用，人们除了对智能卡芯片内存储器的容量、CPU性能的要求提高外，对智能卡芯片安全性的要求也不断增加。

发明内容

本发明为了解决智能卡芯片的安全问题提出了软硬件协同保护的方法。

本发明涉及到的智能卡芯片，有64K统一编址的非挥发性存储器作为程序区使用。发明中的软硬件协同保护是通过使COS程序、应用程序在不同模式下运行，保证COS具有最高权限，而应用程序的运行完全掌控在COS程序之下，最终保证了芯片的安全性。

软件配置各个分区的地址偏移量寄存器，硬件完成地址映射。

软件设定分区属性寄存器的内容，硬件监控CPU指令寄存器，根据特定指令所指向的分区及其属性寄存器的内容，决定是否产生中断。

系统态和应用态两种模式的切换通过软件中断完成，中断服务程序被认为是运行在系统态下的COS程序的一部分，决定本次操作是否可以切换模式。

本发明实现的安全保护，具有以下特点：

1.系统的运行模式可配置为系统态或者用户态。

2.两种模式的具有不同的权限。系统态具有最高权限，可以对芯片的一切资源进行调用；用户态的权限被限制在一定范围内。通常情况下COS程序在系统态下运行，具有最高权限；而应用程序在用户态下运行，受COS程序控制。芯片中所有程序的运行都处在一种可控的状态，使得非法程序无机可乘。

3.把非挥发性存储器在逻辑上划分成几个分区，通过软件设定每个分区的属性。硬件根据分区属性寄存器的内容进行安全保护。

4.两种模式的切换只能通过唤起软件中断来切换。中断服务程序被认为是系统态下的程序，这种机制可以保证用户程序不能直接切换到系统态下运行，而必须通过进入中断程序，由COS程序判断其用途，最终决定应用程序是否可以切换到系统态下运行。

通过智能卡内软硬件的协同保护可以大大提升智能卡的安全。

附图说明

图1逻辑分区及其映射

图2系统态与应用态的关系

图3权限控制的硬件框图

图4软硬件任务划分

具体实施方式

实现分区及其映射：如图1所示，硬件电路把整个程序存储器分成8个大小为8K的逻辑分区，分别为P0～P7。每个分区都有一个16位的地址偏移量寄存器，用来控制逻辑地址到物理地址的映射。硬件电路选中PC指向的逻辑分区，通过逻辑地址加上地址偏移量寄存器的内容构成存储器的物理地址，完成映射。

实现系统态与应用态：系统态和应用态是根据一个特殊功能寄存器Mode来实现的。当Mode＝0，则为系统态；Mode＝1，则为应用态。图2示意了系统态与应用态的关系，COS运行在系统态下，对硬件有绝对的控制权；应用程序是在系统态的基础上建立起来的，对硬件没有直接的控制权，必须通过系统态的COS程序才能实现间接的访问。

系统态与应用态的切换：芯片的实际应用中，应用态下的程序经常需要进行其权限之外的操作，这就需要切换到系统态下运行。当然并不是所有应用程序都被允许切换到系统态下，比如对一些有破坏性的应用程序就不能让其切换到系统态下。判断应用程序是否有破性的任务就交给了软件处理。

两种模式的切换，实际上就是对Mode位的修改。硬件设计Mode位只能在软件中断服务程序中进行修改，由于中断服务程序被认为是COS程序的一部分，所以两种模式的切换也完全掌握在了COS手中，对安全性有了进一步保障。

分区属性管理：每个分区都有一个5位的特殊功能寄存器(叫做分区属区管理寄存器)，用来定义该分区的属性。用软件来设定权限远比硬件电路固定权限的方法要灵活，适合于不同应用。这5个寄存器位分别为Execute(可执行)、ReadBySys(系统态可读)、WriteBySys(系统态可写)、ReadByApp(应用态可读)、WriteByApp(应用态可写)。这5位寄存器只有系统态下才可以进行修改，保证了其安全性。而这些可执行、可读、可写特性的实现是通过图3所示的安全监控模块实现的：该模块监控CPU当前执行的指令、当前的运行态、当前指令指向的分区以及COS分配给该分区的属性寄存器的内容，如果超出权限范围则向CPU发出中断请求，中断服务程序对越权的指令结果进行干涉。

软硬件的协同保护过程：图4对软硬件的任务进行了划分，下面对软硬件的任务进行简述。硬件电路使芯片上电后Mode＝0，即COS在系统态下引导程序运行，COS配置地址偏移量寄存器，硬件根据地址偏移量完成地址映射。软件设定分区属性管理寄存器，硬件根据寄存器内容实现权限控制。卡片COS在系统态下运行，如果此时出现越权操作，则会引发中断，中断服务程序会修改特定指令的结果，给非法操作返回0。当运行应用程序时，COS通过发出软件中断，修改Mode位转到应用态下运行；当此应用程序需要调用系统函数访问某些资源时，需要转到系统态下运行，也是通过发软件中断进行的，中断服务程序通过应用程序要访问的目的分区以及当前分区的属性寄存器内容，决定是否切换模式。