[发明专利]具有增强的安全性的系统

说明书

本发明公开了一种具有增强的安全性的系统，该系统可以包括被设置在该系统的安全域中的第一处理组件。该系统可以包括被设置在该系统的安全域外部的第二处理组件。该系统可以包括用于执行与为系统提供通信安全相关联的操作的一个或更多个硬件加速器。可由第一处理组件经由安全域中的通道访问一个或更多个硬件加速器。可由至少第二处理组件经由安全域外部的通道访问一个或更多个硬件加速器。

技术领域

本发明总体涉及具有增强的安全性的系统，具体涉及使得硬件加速器能够在不同安全级别上被共享的系统。

背景技术

系统可以包括能够执行与为系统提供通信安全有关的操作的一个或更多个硬件加速器。这样的硬件加速器包括例如能够执行加密和/或解密以保护数据的密码加速器、用于执行与验证数据的真实性相关联的散列函数的散列加速器，以及其他示例。在一些情况下，硬件加速器是系统的协处理器，并且旨在通过提供用于执行与提供通信安全有关的操作的专用硬件(而不是通过软件和/或由系统的通用中央处理单元(CPU)执行这样的操作)来改善系统的性能。

发明内容

在一些实施方式中，系统包括：第一处理组件，其被设置在系统的安全域中；第二处理组件，其被设置在系统的安全域外部；以及一个或更多个硬件加速器，其用于执行与为系统提供通信安全相关联的操作，其中，可由第一处理组件经由安全域中的通道访问一个或更多个硬件加速器，并且其中，可由至少第二处理组件经由安全域外部的通道访问一个或更多个硬件加速器。

在一些实施方式中，系统包括：一个或更多个硬件加速器，其用于执行与提供通信安全相关联的密码操作或散列操作；安全域中的安全处理组件；安全域外部的一组非安全处理组件；向安全处理组件提供对所述一个或更多个硬件加速器的访问的通道；以及向所述一组非安全处理组件提供对所述一个或更多个硬件加速器的访问的一个或更多个通道，所述一个或更多个通道在安全域外部。

在一些实施方式中，系统包括：第一处理组件，其被设置在系统的安全域中；第二处理组件，其被设置在系统的安全域外部；硬件加速器，其用于执行与为系统提供通信安全相关联的操作，其中，可由第一处理组件经由安全域访问硬件加速器，并且其中，安全域外部的第二处理组件可以访问硬件加速器并且不与第一处理组件通信；以及用于增强系统的安全性的一组安全组件。

附图说明

图1是示出根据本公开内容的各个方面的系统的一部分的示例架构的图，所述系统包括可由安全域中的处理组件访问并且可由安全域外部的处理组件访问的硬件加速器。

图2是示出包括结合图1描述的硬件加速器的系统的示例的图，所述硬件加速器可由安全域中的处理组件和安全域外部的处理组件访问。

具体实施方式

以下参照附图对示例实施方式进行详细描述。不同附图中的相同附图标记可以标识相同或相似的元素。

系统可以包括设置在该系统的安全域中的处理组件，例如CPU。系统的安全域可以由例如硬件安全模块(HSM)来提供，该HSM包括用于管理密码密钥、执行加密和解密功能、执行认证功能等的组件。该系统还可以包括设置在安全域外部的处理部件(例如，未包括在HSM中的CPU)。通常，系统的硬件加速器(例如，密码加速器、散列加速器等)被包括在安全域中。因此，如果设置在安全域外部的处理组件(在本文中称为非安全处理组件)需要请求硬件加速器的操作，则非安全处理组件需要与设置在安全域中的处理组件(在本文中称为安全处理组件)通信，以便请求硬件加速器的动作。也就是说，非安全处理组件不能直接访问硬件加速器，而是必须通过安全处理组件访问硬件加速器。

这样的配置增加了在请求非安全处理组件时与执行密码操作相关联的所需的数据传送的数量，并且还由于安全处理组件在促进非安全处理组件对硬件加速器的访问时的参与所需的多处理器交互而浪费了安全处理组件的资源。此外，由于需要在安全处理组件和非安全处理组件之间进行软件拆分，所以增加了系统的复杂度。