[发明专利]用于用安全属性限制CPU事务的方法、装置和系统

摘要

用于用安全属性限制CPU事务的方法、装置和系统。通过CPU或处理器核为事务发起器生成标识被信任或不被信任的CPU/核的执行模式的不可变安全属性。事务的目标可以是可通过其访问受保护资产的输入/输出(I/O)设备或系统。在装置或系统内的各个点实现基于为事务生成的不可变安全属性允许或拒绝对受保护资产的事务访问的策略实施逻辑块。在一个方面，实现多级别安全方案，在该方案中，通过用于指示CPU/核正在受信任执行模式下操作的第一事务更新模式寄存器，并且使用模式寄存器中的执行模式标记为第二事务生成安全属性以便验证该事务来自受信任发起器。

主权项

1.一种用于用安全属性限制CPU事务的方法，包括：从计算设备中的包括处理元件的发起器发起事务，所述计算设备包括存储器构造和包括至少一个输入/输出I/O构造的I/O互连分层结构，所述事务请求访问与所述事务的目标相关联的受保护资产；基于所述发起器的身份结合标识所述发起器正在受信任执行模式下操作的标记在所述发起器外部生成不可变安全属性，其中所述标记被存储在所述发起器外部；将所述事务和所述不可变安全属性转发到所述目标；为所述受保护资产实现访问策略，在所述访问策略下，如果发起器正在一个或多个受信任执行模式下执行，则针对所述发起器所发起的事务许可对所述受保护资产的访问；以及通过使用所述不可变安全属性实施所述访问策略，其中生成所述不可变安全属性包括执行受限事务检查以及将所述受限事务检查的结果连同处理器核的逻辑处理器ID、用于指示其由处理器核生成的安全条位和模式寄存器的当前值馈送到安全属性生成函数，其中所述模式寄存器的所述当前值包括指示相应的执行模式的标记。