[发明专利]用于执行安全嵌入式容器的处理器扩展

权利要求书

1.一种处理器，包括：

一个或多个处理器核心；

高速缓存，其被配置为由所述一个或多个处理器核心使用扩展页表EPT来访问；

封装内存储器，其用于存储映射到来自独立于操作系统的存储器分区的物理地址的密钥页，所述存储器分区具有独立于操作系统和虚拟机管理器且不受操作系统和虚拟机管理器影响的执行环境；

嵌入式处理器密钥，其被配置为由独立于操作系统的资源管理器OIRM来访问以实施加密操作，其中，运行在所述处理器上的、来自所述存储器分区之外的应用程序能够调用由所述OIRM提供的二进制大对象服务来创建密钥二进制大对象，以用于访问所述存储器分区之内的所述密钥页。

2.根据权利要求1所述的处理器，其中，所述OIRM在执行来自所述存储器分区之内的和来自所述存储器分区之外的操作或指令之间动态地划分所述处理器的周期。

3.根据权利要求2所述的处理器，其中，所述OIRM将多个分区耦合到所述处理器，所述多个分区至少包括所述存储器分区和用于存储操作系统的第二分区。

4.根据权利要求3所述的处理器，其中，响应于来自运行在所述处理器上的来自所述存储器分区之外的所述应用程序的用于加载所述密钥页的指令，所述OIRM将数据从所述密钥页复制到所述封装内存储器中并使用所述密钥二进制大对象来解密所述封装内存储器中的所述数据。

5.根据权利要求4所述的处理器，其中，还响应于来自运行在所述处理器上的来自所述存储器分区之外的所述应用程序的用于加载所述密钥页的指令，所述OIRM更新所述EPT以将访问从映射到所述存储器分区中的所述密钥页的物理地址重定向到映射到所述封装内存储器的物理地址。

6.根据权利要求5所述的处理器，其中，还响应于来自运行在所述处理器上的来自所述存储器分区之外的所述应用程序的用于加载所述密钥页的指令，所述OIRM使用所述嵌入式处理器密钥来解密所述密钥二进制大对象并使用已解密的密钥二进制大对象来解密所述封装内存储器中的所述数据。

7.根据权利要求6所述的处理器，其中，响应于来自运行在所述处理器上的来自所述存储器分区之外的所述应用程序的用于存储所述密钥页的指令，所述OIRM使用所述密钥二进制大对象来加密所述封装内存储器中的所述数据并将已加密的数据从所述封装内存储器复制到所述存储器分区中的所述密钥页。

8.根据权利要求7所述的处理器，其中，还响应于来自运行在所述处理器上的来自所述存储器分区之外的所述应用程序的用于存储所述密钥页的指令，所述OIRM使用所述嵌入式处理器密钥来解密所述密钥二进制大对象并使用已解密的密钥二进制大对象来加密所述封装内存储器中的所述数据。

9.根据权利要求8所述的处理器，其中，所述OIRM维护完整性校验值阵列，所述完整性校验值阵列用于存储对应于所述存储器分区的一个或多个页的数据，其中，该阵列中的每个条目用于指示所述存储器分区中的对应的页的安全散列算法值、有效性和直接存储器访问。

10.根据权利要求9所述的处理器，其中，基于存储在所述完整性校验值阵列的对应的条目中的值，所述OIRM确定所述存储器分区的所述一个或多个页的完整性。

11.根据权利要求10所述的处理器，其中，响应于检测到对所述存储器分区的对应的页的修改，所述OIRM引起对存储在所述完整性校验值阵列中的值的更新。

12.一种计算机实现的方法，包括：

由一个或多个处理器核心使用扩展页表EPT来访问高速缓存；

在封装内存储器中存储由所述EPT映射到来自独立于操作系统的存储器分区的物理地址的密钥页，所述存储器分区具有独立于操作系统和虚拟机管理器且不受操作系统和虚拟机管理器影响的执行环境；

由独立于操作系统的资源管理器OIRM访问嵌入式处理器密钥以实施加密操作；

在所述存储器分区之内存储所述密钥页；以及

调用由所述OIRM为运行在所述一个或多个处理器核心上的、来自所述存储器分区之外的应用程序提供的二进制大对象服务来创建密钥二进制大对象，以用于访问映射到所述存储器分区之内的物理地址的所述密钥页。