CN103136124B - 一种智能卡硬件防火墙系统及其实现方法 - Google Patents

Abstract

本发明涉及一种智能卡硬件防火墙系统及其实现方法，所述系统包括存储器逻辑分段管理模块，用于将存储器划分为在逻辑上独立的一个或多个存储器段，按存储空间进行分段管理，其中每个存储器段存储逻辑关系独立的程序代码或数据文件；存储器空间访问权限控制模块，用于设置程序代码存储段与数据文件存储段之间的访问权限；逻辑电路模块，用于接收地址访问信号，并根据当前运行的程序代码段以及所述存储器空间访问权限控制模块设置的访问权限判断地址访问信号是否合法。本发明通过对存储器进行逻辑分段管理以及空间访问控制实现同一智能卡上多个应用的安全共存，杜绝了非法程序通过操作系统修改应用程序的访问区域和权限的隐患，保证了智能卡的安全。

Description

一种智能卡硬件防火墙系统及其实现方法

技术领域

本发明涉及电子技术安全领域，具体涉及一种智能卡硬件防火墙系统及其实现方法。

背景技术

最早的智能卡仅仅只是提供受保护的非易失性存储器的存储卡（如电话卡等），随着电子技术的飞速发展、智能卡的设计及制造技术的进步，智能卡作为一种新型的支付方式（如银行卡等）得到越来越多的应用，新型的智能卡具有微处理器和存储器，它们可用于进行安全处理和存储；随之在一张智能卡上承载多个应用的技术也成为现实，使一张智能卡具备了在多个行业（例如银行业、证券业等）使用的便利性，大大方便了民众的生活，并将成为智能卡技术发展的趋势，但是随着应用的增多，如何保证各应用的数据安全成为智能卡支持多应用技术的关键所在。

在多应用智能卡的常规设计中，其存储器都是地址连续的存储单元，操作系统、应用的程序代码都连续分布于存储区域里，同样，不同应用的数据文件也是连续分布。对于程序文件，可通过编译手段将不同的应用适当的隔开，即某个区域只存储某个应用的代码，在空白出一段（如8或10个字节等）地址空间后开始存储其它应用的程序代码，这样做的目的在一定程度上保证了代码存储的规则分布，但各不同应用的程序代码之间并不设防；另外，数据文件的存储分布情况由操作系统管理，不同应用的数据文件可能相互混合存储，因此，这种模式将会导致多应用智能卡的安全性能大大降低。

基于此，在多应用智能卡中常用的安全管理技术有基于应用安全域的管理方法、基于文件系统的安全管理方法等，但均为软件防火墙技术。软件防火墙技术归根结底都是通过在软件设计中将设置密码以及密钥安全认证方式考虑进去，从而实现对存储区域的访问控制。这种方式在一定程度上能保证应用代码的安全加载和删除，但各不同应用的程序代码之间并不设防，无法阻止非法应用程序恶意访问其它代码造成系统崩溃；另外，数据文件由于密码校验机制能保证合法访问，但密码容易泄漏，以及无法阻止非法应用程序恶意访问或篡改数据等弊端是软件防火墙技术不容忽视的问题。

授权公告号为CN1300709C的中国专利中公开了一种智能卡硬件防火墙系统，在CPU与物理存储器之间增加一个硬件防火墙，该硬件防火墙系统包括“快速上下文切换逻辑模块”和“段式内存管理模块”；同时通过扩展智能卡中CPU的寻址空间，使不同应用共享一张智能卡的硬件防火墙系统。但该系统中的每种应用在被调用之前，其存储区域和访问权限由操作系统写入段表中，即操作系统的权限高于所有其他应用，因此，一旦操作系统被恶意侵略，则其他应用的安全性将无法得到保障。

发明内容

本发明所要解决的技术问题是提供一种智能卡硬件防火墙系统及其实现方法，通过对存储器进行逻辑分段管理以及空间访问控制实现同一智能卡上多个应用的安全共存，杜绝了非法程序通过操作系统修改应用程序的访问区域和权限的隐患，保证了智能卡内数据文件的安全。

本发明为了解决上述技术问题，公开了一种智能卡硬件防火墙系统，其特征在于，所述系统包括存储器逻辑分段管理模块、存储器空间访问权限控制模块和逻辑电路模块，其中，

所述存储器逻辑分段管理模块，用于按存储空间将存储器划分为在逻辑上独立的存储器段，其中每个存储器段存储逻辑关系独立的程序代码或数据文件；

所述存储器空间访问权限控制模块，用于设置所述存储器段之间的访问权限；

所述逻辑电路模块，用于接收地址访问信号，并根据当前运行的程序代码段以及所述存储器空间访问权限控制模块设置的访问权限判断地址访问信号是否合法。

进一步，所述存储器逻辑分段管理模块包括程序寄存器和数据寄存器，所述程序寄存器和数据寄存器用于记录存储器段基地址以及段上限地址或段空间大小以实现对存储器空间的逻辑划分。

进一步，所述存储器空间访问权限控制模块用于设置所述存储器段之间的访问权限，包括：

设置各程序代码存储器段之间跳转的权限；

以及设置所述程序代码存储器段对数据文件存储器段的访问权限。

进一步，所述逻辑电路模块还用于在地址访问信号不合法时产生中断或报警信号阻止非法程序的运行。

本发明上述技术方案的有益效果是，本发明通过由固化在只读存储器中的程序完成所述存储器逻辑分段管理模块和所述存储器空间访问权限控制模块的参数设置，使得智能卡的操作系统和应用程序无权对其进行设置或修改，进一步提高了智能卡的安全性能。

本发明还公开了一种智能卡硬件防火墙系统的实现方法，所述方法包括如下步骤：

按存储空间将存储器划分为在逻辑上独立的存储器段，其中每个存储器段存储逻辑关系独立的程序代码或数据文件；

设置存储器段之间的访问权限；

接收地址访问信号，并判断地址访问信号是否合法。

进一步，所述按存储空间将存储器划分为在逻辑上独立的存储器段包括：通过存储器段逻辑地址到物理地址的映射，利用程序寄存器和数据寄存器记录存储器段基地址以及段上限地址或段空间大小以实现对存储器空间的逻辑划分。

进一步，所述设置存储器段之间的访问权限包括：

设置各程序代码存储器段之间跳转的权限；

以及设置所述程序代码存储器段对数据文件存储器段的访问权限。

进一步，所述程序代码存储器段不能访问其他程序代码存储器段，只能通过跳转到达其他程序代码存储器段，对数据存储器段的访问权限由被跳转的程序代码存储器段决定。

进一步，所述接收地址访问信号，并判断地址访问信号是否合法包括：当所述接收的地址访问信号与当前运行的程序代码段以及所述存储器段之间的访问权限不匹配时，则判定地址访问信号不合法。

进一步，还包括当地址访问信号不合法时，产生中断或报警信号阻止非法程序的运行。

采用上述本发明技术方案的有益效果是：本发明通过将各种不同应用目的（包括操作系统）的代码以及不同应用目的的数据文件分开独立地存储在物理连续或不连续但实质在逻辑上隔离的存储器中，通过在各不同代码之间及不同数据之间设立防火墙障碍，使相互之间的访问必须符合防火墙设置原则才能进行访问，防止了恶意程序访问非授权的其它程序和数据，真正达到应用的安全隔离和管理，保证了智能卡内数据文件的安全。

附图说明

图1为本发明实施例中智能卡硬件防火墙系统的应用系统框图；

图2为本发明实施例中智能卡硬件防火墙系统的实施原理图；

图3为本发明实施例中智能卡硬件防火墙系统的架构原理图；

图4为本发明实施例中智能卡硬件防火墙系统的实现方法流程图。

具体实施方式

以下结合附图对本发明的原理和特征进行描述，所举实例只用于解释本发明，并非用于限定本发明的范围。

图1为本发明实施例中智能卡硬件防火墙系统的应用系统框图，如图1所示，智能卡硬件防火墙系统103位于智能卡CPU105和存储器100（其中存储器100包括程序存储器101和数据存储器102）之间，即在CPU105访问存储器100时，通过总线104发起的访问地址和访问操作需首先经过智能卡硬件防火墙系统103的检查，若被访问的地址及访问操作符合访问控制原则，则照常寻址；否则由硬件设置访问状态寄存器并输出访问状态并向CPU105发出中断。

本发明一实施例提供了一种智能卡硬件防火墙系统，图2为本发明实施例中智能卡硬件防火墙系统的实施原理图，如图2所示，所述智能卡硬件防火墙系统103包括存储器逻辑分段管理模块201、存储器空间访问权限控制模块202和逻辑电路模块203，其中，存储器逻辑分段管理模块201将物理上连续或不连续的存储器100划分为逻辑独立的存储器段，这些在逻辑上独立的存储器段用于存储逻辑关系独立的程序代码或数据文件，按各自的存储空间进行分段管理。本发明实施例中所述的分段管理是指通过在存储器逻辑分段管理模块201中采用若干个寄存器，通过地址映射使得存储器段的逻辑地址映射到实际物理地址，并在每个寄存器上记录下存储器段基地址以及段上限地址或段空间大小以实现对存储器空间的逻辑划分。在本发明的一个具体实施例中，列出了存储器100分段的情况，存储器100包括存储程序代码的程序存储器101和存储数据文件的数据存储器102，其中每个存储器又划分为多个逻辑独立的存储器段，如程序存储器101中分别存放Boot、COS、APP1……APPn等程序代码，如数据存储器102中分别存放COSData、APP1Data……APPnData等数据文件，每个存储器段中存储逻辑关系独立的程序代码或数据文件。在本发明实施例中，程序存储器101中的APP1与数据存储器102中的APP1Data同属于一个应用，但在实际的使用存储器逻辑分段管理模块201时，程序可以没有对应的数据文件，如COS是智能卡的底层平台程序，其不包含上层应用，没有数据文件需要存储；同样，可开辟出一块数据区Datam，作为各应用程序之间的共享数据区。以上举例是为了说明，即存储器逻辑分段管理模块201将存储器100划分为多个逻辑独立的存储器段，用于存储逻辑关系独立的程序代码及数据文件。

在完成存储器空间的分段后，即进入存储器空间访问权限控制模块202设置存储器空间访问权限，所述存储器空间访问权限的设置是针对各程序代码存储器段之间跳转以及程序存储器段对数据存储器段的访问操作而言的，在本实施例中，所述各程序代码存储器段之间只能进行跳转，即一个程序存储器段不能访问其他程序存储器段，只能通过跳转到达其他程序存储器段，对数据存储器段的访问权限由被跳转的程序存储器段决定；所述程序存储器段对数据存储器段的访问操作为程序存储器段对数据存储器段的访问权限，一般可以设置为只读、只写或可读写，在该实施方式中，没有设置访问权限关系的程序存储器段与数据存储器段之间的访问权限为不可读和/或写的访问权限。一般而言，一个程序存储器段具备访问与其应用目的相同的数据存储器段的权限，特别地，如多个程序存储器段有共享的数据文件，可设定多个程序存储器段均具备访问该共享的数据存储器段的权限。通过这种访问权限设置关系联系起来的至少两个物理存储器段用于存储某个应用的程序代码及其数据文件；因此，各应用之间通过这种建立的屏障进行了天然的隔离，保证了各应用之间的独立互不干扰，阻止了非法程序对数据的恶意访问。

所述逻辑电路模块203，用于接收地址访问信号，根据所述存储器空间访问权限控制模块202设置的访问权限判断地址访问信号是否合法，对程序运行过程中访问是否越界进行状态设置及产生中断。通常根据两个原则对地址访问信号进行检查，一是程序存储器段之间不可读写，只能跳转，即一个程序存储器段不能访问其他程序存储器段，只能通过跳转到达其他程序存储器段，对数据存储器段的访问权限由被跳转的程序存储器段决定；二是对数据文件的操作需遵守存储器空间访问权限控制模块202设置的访问权限，即当权限一旦设定，任何程序存储器段都没有权限访问权限范围之外的其它数据存储器段和/或程序存储器段。

需要说明的是，从图中的存储器分段情况，可以看到有一个Boot的程序存储器段，该存储器段上存储了引导加载程序Boot代码，上述配置防火墙系统参数的原理均在智能卡芯片只读存储器的Boot程序中进行设定，在智能卡的生命周期中不可改动，即使是恶意非法程序也无法更改和逾越各存储器段的访问权限，且当权限一旦设定，Boot亦没有权限访问其它数据存储器段。

图3为本发明实施例中智能卡硬件防火墙系统的架构原理图，如图3所示，在智能卡硬件防火墙系统中，存储器逻辑分段管理模块201包括程序寄存器301和数据寄存器302，其中，程序寄存器301包括多个程序寄存器，如程序寄存器a……程序寄存器k,每个程序寄存器用于记录程序存储器段的物理地址到逻辑地址的映射关系，在本实施例中，用程序存储器段起始基地址和程序存储器段大小作为参数设置，也可以使用程序存储器段起始基地址和程序存储器段终点地址设置；数据寄存器302包括多个数据寄存器，如数据寄存器a……数据寄存器k,每个数据寄存器用于记录数据存储器段的物理地址到逻辑地址的映射关系，数据寄存器的设置参数同程序寄存器，此处不再赘述。

需要说明的是，本实施例中逻辑电路模块203可以使用FPGA或者硬件电路方式实现，执行访问监控的功能。其接收CPU通过地址总线和访问信号线传输的地址访问信号，并根据当前运行的程序代码段和存储器空间访问权限控制模块202设置的权限关系执行如下功能：

接收地址访问信号，在本实施例中，所述地址访问信号包括由地址总线传输的被访问的存储器空间地址信息和由访问信号线传输的操作指令信息，其中，所述操作指令为取指令、跳转指令、读数据或写数据。当所述地址访问信号与当前运行的程序代码段以及所述存储器空间访问权限控制模块设置的访问权限不匹配时，则判定地址访问信号不合法，此时，逻辑电路模块203通过状态寄存器303返回中断或报警信号阻止非法程序的运行，其中中断或报警信号包括指令超出程序存储器段错误、读数据操作越权错误和写数据操作越权错误。

在一个具体的实施例中，如果地址访问信号显示的是取指令，则逻辑电路模块根据地址访问信号内存储器空间地址信息判断取指令指向的的程序存储器段与当前运行的程序代码段所在的程序存储器段是否相同，若相同，则指令正常进行，若不同，则状态寄存器返回指令超出程序存储器段错误并向CPU发出中断；如果地址访问信号显示的是跳转指令，则逻辑电路模块根据地址访问信号内存储器空间地址信息，从当前运行的程序代码段所在的程序存储器段跳转至存储器空间地址信息指向的的程序存储器段，允许指令正常运行并修改当前运行的程序代码段为跳转后的程序存储器段；如果地址访问信号内指令信息显示的是读/写数据操作指令，则逻辑电路模块根据地址访问信号内读/写数据操作指令所指向的存储器空间地址以及当前运行的程序代码段所能访问的数据存储器段，并根据存储器空间访问权限控制模块的设置判断当前的读/写操作权限是否满足；若满足，则允许指令正常执行；否则，状态寄存器返回读操作越权错误或读/写操作越权错误并向CPU发出中断。

本发明另一实施例还提供了一种智能卡硬件防火墙系统的实现方法，图4为本发明实施例中智能卡硬件防火墙系统的实现方法流程图，如图4所示，所述方法包括如下步骤：

步骤401，将存储器划分为在逻辑上独立的一个或多个存储器段，按存储空间进行分段管理，其中每个存储器段用于存储逻辑关系独立的程序代码或数据文件；

步骤402，设置存储有程序代码的存储器段与存储有数据文件的存储器段之间的访问权限；

步骤403，接收地址访问信号，并根据当前运行的程序代码段以及所述存储器空间访问权限控制模块设置的访问权限判断地址访问信号是否合法。

本领域技术人员应该明白，本实施例中所述智能卡硬件防火墙系统的实现原理与上述系统中的描述基本一致，此处不再赘述。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (8)

1.一种智能卡硬件防火墙系统，其特征在于，所述系统包括存储器逻辑分段管理模块、存储器空间访问权限控制模块和逻辑电路模块，其中，

所述存储器逻辑分段管理模块，用于按存储空间将存储器划分为在逻辑上独立的存储器段，其中每个存储器段存储逻辑关系独立的程序代码或数据文件；

所述存储器空间访问权限控制模块，用于设置所述存储器段之间的访问权限，包括：

设置各程序代码存储器段之间跳转的权限；

以及设置所述程序代码存储器段对数据文件存储器段的访问权限；

所述逻辑电路模块，用于接收地址访问信号，并根据当前运行的程序代码段以及所述存储器空间访问权限控制模块设置的访问权限判断地址访问信号是否合法。

2.根据权利要求1所述的系统，其特征在于，所述存储器逻辑分段管理模块包括程序寄存器和数据寄存器，所述程序寄存器和数据寄存器用于记录存储器段基地址以及段上限地址或段空间大小以实现对存储器空间的逻辑划分。

3.根据权利要求1所述的系统，其特征在于，所述逻辑电路模块还用于在地址访问信号不合法时产生中断或报警信号阻止非法程序的运行。

4.一种智能卡硬件防火墙系统的实现方法，其特征在于，所述方法包括如下步骤：

按存储空间将存储器划分为在逻辑上独立的存储器段，其中每个存储器段存储逻辑关系独立的程序代码或数据文件；

设置存储器段之间的访问权限，包括：

设置各程序代码存储器段之间跳转的权限；

以及设置所述程序代码存储器段对数据文件存储器段的访问权限；

接收地址访问信号，并判断地址访问信号是否合法。

5.根据权利要求4所述的方法，其特征在于，所述按存储空间将存储器划分为在逻辑上独立的存储器段包括：通过存储器段逻辑地址到物理地址的映射，利用程序寄存器和数据寄存器记录存储器段基地址以及段上限地址或段空间大小以实现对存储器空间的逻辑划分。

6.根据权利要求4所述的方法，其特征在于，所述程序代码存储器段不能访问其他程序代码存储器段，只能通过跳转到达其他程序代码存储器段，对数据存储器段的访问权限由被跳转的程序代码存储器段决定。

7.根据权利要求4所述的方法，其特征在于，所述接收地址访问信号，并判断地址访问信号是否合法包括：当所述接收的地址访问信号与当前运行的程序代码段以及所述存储器段之间的访问权限不匹配时，则判定地址访问信号不合法。

8.根据权利要求7所述的方法，其特征在于，还包括当地址访问信号不合法时，产生中断或报警信号阻止非法程序的运行。