[发明专利]保护集成于片上系统上的安全元件的外部数据存储的安全

说明书

描述了一种片上系统的集成安全元件，所述集成安全元件利用与安全闪存的安全信道来管理密码方式的密钥以用于保护存储在不安全的外部闪存上的敏感信息的安全。片上系统将数据存储在位于片上系统外部的主闪存上。将第二外部闪存分配给安全元件以存储和管理闪存密码方式的密钥。安全元件和第二闪存每一个配备有匹配的公钥和私钥以及预定密码以基于共享机密密钥来建立安全信道。安全元件和第二闪存通过安全信道来传送对闪存密码方式的密钥的更新。安全元件执行专门功能，所述专门功能包括：在闪存密码方式的密钥由第二外部闪存更新时，使用闪存密码方式的密钥来对该安全元件存储在主外部闪存上的数据进行自动加密。

背景技术

计算系统可以包括作为主处理复合体的片上系统(SoC)和执行与敏感信息相关的专门功能的一个或多个安全元件。安全元件可以包括其自身的用于非易失性存储的内部闪存。在一些高端计算系统中，出于性能原因，将安全元件集成到SoC中。集成安全元件可以使用用于存储的外部闪存，而并非潜在地降低SoC的性能的内部闪存。如果外部闪存曾经受损，那么将敏感信息存储在放置于SoC外部的闪存上存在暴露敏感信息的风险。

发明内容

描述了一种片上系统(SoC)的集成安全元件，该集成安全元件利用具有安全闪存的安全信道来管理用于保护存储在不安全的外部数据存储上的敏感信息的安全的密码方式的密钥。术语“外部数据存储”是指闪存存储器或其它非易失性存储，该闪存存储器或其它非易失性存储在物理上不同于SoC和集成于SoC上的安全元件。有时也被称为分离组件或分离芯片的如本文中所提到的外部数据存储可被SoC访问，但没有集成于SoC上，因此位于SoC外部。计算系统包括具有集成安全元件的SoC。安全元件执行与敏感信息(例如密码方式的密钥、网络访问凭证、安全性密钥、金融数据、用户数据)相关的专门功能。计算系统的安全元件和其它组件以及SoC将数据存储在主外部闪存上，或换句话说，存储在外部数据存储上。计算系统包括分配给安全元件的第二(例如较小)外部闪存，该第二外部闪存存储安全元件的防重放计数器、时间戳信息以及闪存密码方式的密钥。在制造时，安全元件和第二闪存配备有匹配的被证明的公钥和对应私钥。给定被证明的公钥和对应私钥以及诸如认证的Diffie-Hellman的先前已同意的协议，安全元件和第二闪存建立了安全信道。

第二闪存响应于写入操作而周期性地或以某一其它间隔自动更新闪存密码方式的密钥。安全元件通过安全信道从第二闪存获得更新后的闪存密码方式的密钥，或安全元件生成更新后的闪存密码方式的密钥并且通过安全信道将更新后的闪存密码方式的密钥提供给第二闪存。安全元件使用定期更新的闪存密码方式的密钥对其存储在主外部闪存上的数据进行自动加密。以这种方式，即使攻击者损坏了闪存密码方式的密钥的当前版本，闪存密码方式的密钥也会定期地且自动地改变，从而使当前版本在将来无法使用，进而提供在安全计算中通常被称为“完美前向安全性”的事物。

在一个示例中，描述了一种用于保护计算系统的外部闪存处的敏感信息的安全的方法。该方法包括：通过片上系统的集成安全元件并且通过集成安全元件与计算系统的第二闪存之间的专用信道来传送信息，以用于基于预编程到集成安全元件和第二闪存中的每一者中的公钥和私钥的相应副本来确定共享机密密钥；基于共享机密密钥来保护专用信道的安全以为集成安全元件提供对由第二闪存存储的闪存密码方式的密钥的排他性访问；响应于保护专用信道的安全，经由专用信道访问由第二闪存存储的闪存密码方式的密钥；以及使用闪存密码方式的密钥对存储在外部闪存处的敏感信息进行加密或解密。

在另一示例中，描述了一种移动计算设备，该移动计算设备包括配置成执行前述方法的片上系统的集成安全元件。

在另一示例中，描述了一种包括用于执行前述方法的装置的系统。

在另一示例中，描述了一种包括指令的计算机可读存储介质，该指令在被执行时将片上系统的集成安全元件配置成执行前述方法。