CN105809068A - 一种支持采用硬件加密算法的高速存储控制soc芯片 - Google Patents

Abstract

本发明所述的一种支持采用硬件加密算法的高速存储控制SOC芯片包括自主指令系统处理器、PKI硬件模块SM2/SM3、数据加密模块AES/SM1、USB2/USB 3控制器、SATA2/SATA 3硬盘控制器、7816接口，并且通过采用硬件加密算法和多种存储接口可以实现身份认证和对不同存储介质的信息加解密，提供一种安全控制芯片的功能及架构。本发明所述的安全存储控制管理的芯片，采用多种多级别安全机制，有效保护存储数据的安全，采用多级流水的方式，高效的实现数据的有效传输。同时，开发推广集成高性能国产算法的带身份认证的加解密器件，并使之产业化，带来巨大的社会效益和经济效益。

Description

一种支持采用硬件加密算法的高速存储控制SOC芯片

技术领域

本发明属于信息安全领域，尤其涉及一种支持采用硬件加密算法的高速存储控制SOC芯片。

背景技术

信息时代，信息已经成为最重要的资产之一，同时信息量呈几何级数关系增长，如何有效的保护信息的安全已经引起了越来越多的关注。近年来，各种信息秘密泄密事件比比皆是：公众人物电话网上披露、股票密码被盗、网上银行账户被篡改等等。据全球知名信息管理研究公司波耐蒙研究所统计，77％的机构2010年都曾遭遇数据丢失。每次数据泄露事件使企业失去31％的客户群及相关收入。更值得关注的是相当数量的泄密事件，都是由内部人员所为。所以，如何保护好重要数据的存储安全至关重要。这对存储数据的安全性和私密性提出了一个较高的要求。普通的移动存储设备读写速度快，但是无安全性可言。而利用软件提供存储数据的安全强度往往以牺牲传输速度作为代价的，并且在自身安全和易于攻击破解方面远远不如硬件加密。因此传统意义上的安全移动存储设备很难做到高安全性和高读写速度兼备。更重要的是信息安全涉及到国家和国防的安全，其重要性和必要性不言而喻，并且在这些地方决不允许使用国外的加密芯片。

细观整个信息过程，可以分为信息处理、信息传输和信息存储三个阶段。对于信息的安全处理和的安全传输方面，目前已有产品多以软件形式进行加密存储，无论其性能还是安全性，都已无法满足当前信息安全的需求。在信息存储中，如何有效地实现数据的加密存取和用户数据的安全管理，特别在移动存储设备设计中是重点关注的问题。对于安全存储，既要在安全性方面保证，又要最小限度的不影响存储性能。

目前对存储的安全设计方面，主要有两种方法，一是对访问权限的控制，一是对存储内容的安全处理。基于第一种方法，基本能保证不影响存储的性能，但这种方法的缺点是安全性低，极易被攻破。对于第二种方法，目前大多采用软件加密的方式，这种方式安全性比第一种高，但因为以软件加密的方式，使用加密强度越高的加密算法，所需要的系统资源越多，同时对数据传输的性能影响也越大。

综上所述，迫切需要提供一种安全高效的存储控制芯片，既保证高强度的安全性，又保证高效的存储性能。

发明内容

为实现上述高速安全存储的目的，本发明提供一种控制芯片以保证存储安全高效。本发明采用身份认证和数据加解密相结合的双重保护机制来保护数据信息的安全性，采用硬件和软件多级流水的方式来保证存储性能的高效性。

对于身份认证，采用USBKEY/SIM-KEY安全身份认证技术和用户PIN码保护的双重安全技术，其中，USBKEY/SIM-KEY安全钥匙要先经过数字证书授权中心预先处理才能使用，而用户PIN码输入则用于保护USBKEY/SIM-KEY安全。

在对数据进行加解密处理方面，采用高强度的全硬件国产密码算法SM1(256)或国际密码算法AES(256)来实现，同时在硬件实现时，采用多级流水的方式，有效的保证数据传输的性能。同时在软件数据流传输的过程中，同样采用多级流水的方式，基于软硬件双方面的流水控制，数据流基本达到了无损耗传输。另一方面，由于加密算法采用全硬件实现，所有的密钥只存在于芯片内部，不会进入到计算机内存，能有效的防止木马、黑客的攻击。

本发明所述的一种支持采用硬件加密算法的高速存储控制SOC芯片包括自主指令系统处理器、PKI硬件模块SM2/SM3、数据加密模块AES/SM1、USB2/USB3控制器、SATA2/SATA3硬盘控制器、7816接口，其中，所述自主指令系统处理器负责所述芯片的资源调度和数据流的控制管理；所述PKI硬件模块SM2/SM3负责身份认证和公钥加密功能；所述数据加密模块AES/SM1负责数据包的加解密功能；所述USB2/USB3控制器包括USBDEVICE(USB设备)接口和USBHOST(USB主机)接口；所述SATA2/SATA3硬盘控制器包括SATADEVICE(SATA设备)接口和SATAHOST(SATA主机)接口。

上述方案中优选的是，所述自主指令系统处理器为UniCore32-II。

上述方案中优选的是，所述身份认证和公钥加密功能包括密钥对生成、HASH功能、私钥签名功能、公钥验签、公钥加密及私钥解密功能。

上述方案中优选的是，所述数据加密模块AES/SM1采用最高密级的256位算法。

上述方案中优选的是，所述USBDEVICE接口、所述USBHOST接口和所述数据加密模块AES/SM1共同构成加密数据通路。

上述方案中优选的是，所述USBHOST接口支持USB2.0的存储设备及USBKEY。

上述方案中优选的是，通过所述USBDEVICE接口将所述SOC芯片模拟成虚拟存储设备，并能够向计算机提供密码服务。

上述方案中优选的是，所述SATADEVICE接口、所述SATAHOST接口和所述数据加密模块AES/SM1共同构成加密数据通路。

上述方案中优选的是，所述USBDEVICE接口、所述SATAHOST接口和所述数据加密模块AES/SM1共同构成加密数据通路。

上述方案中优选的是，所述SATAHOST接口连接支持SATAII3Gb/6Gb的磁盘、SSD硬盘及光驱。

上述方案中优选的是，所述7816接口支持7816-3协议，并且能够访问SIM-KEY及符合所述协议的CPU卡。

上述方案中优选的是，所述高速存储控制SOC芯片采用PIN码保护以及所述USBKEY和所述SIM-KEY双重身份认证机制。

上述方案中优选的是，所述高速存储控制SOC芯片采用高密级数据加解密模式。

本发明通过采用硬件加密算法和多种存储接口可以实现身份认证和对不同存储介质的信息加解密，提供一种安全控制芯片的功能及架构。本发明所述的安全存储控制管理的芯片，采用多种多级别安全机制，有效保护存储数据的安全，采用多级流水的方式，高效的实现数据的有效传输。同时，开发推广集成高性能国产算法的带身份认证的加解密器件，并使之产业化，带来巨大的社会效益和经济效益。

附图说明

图1为本发明一优选实施例的硬件架构图。

图2为本发明一优选实施例的SOC基本工作流程示意图。

图3为本发明一优选实施例的USBDevice(USB设备)和USBHost双向数据交互模式示意图。

图4为本发明一优选实施例的SATADevice(SATA设备)和SATAHost(SATA主机)双向数据交互模式示意图。

图5为本发明一优选实施例的USBDevice(USB设备)和SATAHost(SATA主机)双向数据交互模式示意图。

图6为本发明一优选实施例的硬件加密/解密模块流水线结构图。

图7为本发明一优选实施例的硬件加密/解密模块流水线时空图。

图8为本发明一优选实施例的数据读取流水示意图。

图9为本发明一优选实施例的数据写入流水示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

以下结合附图对本发明所提供的支持采用硬件加密算法的高速存储控制SOC芯片作进一步说明。

本发明提供一种支持采用硬件加密算法的高速存储控制SOC芯片，其包括：自主指令系统处理器UniCore32-II，所述指令系统处理器负责整个芯片的资源调度，数据流的控制管理。PKI硬件模块SM2/SM3，所述PKI硬件模块负责身份认证和公钥加密功能，包括密钥对生成、HASH功能、私钥签名功能、公钥验签、公钥加密及私钥解密功能。数据加密模块AES/SM1，所述数据加密模块负责数据包的加解密功能，采用最高密级的256位算法。USB2/3控制器(HOST/DEVICE(主机/设备))，所述USB2/3控制器包括USBDEVICE和USBHOST，通过USBDEVICE、USBHOST和数据加密模块能够构造一条加密数据通路，并且USBHOST接口还支持USB2.0HIGHSPEED(高速USB2.0)的多种存储设备及USBKEY，通过USBDEVICE接口能够将芯片模拟成虚拟存储设备，向PC机提供密码服务。SATA2/3硬盘控制器(HOST/DEVICE)，所述硬盘控制器包括SATADEVICE和SATAHOST，通过SATADEVICE、SATAHOST和数据加密模块能够构造一条加密数据通路，并且USBDEVICE、SATAHOST和数据加密模块能够构造一条加密数据通路，同时通过SATAHOST接口能够连接支持SATAII3Gb/6Gb的磁盘、SSD硬盘及光驱。7816接口，所述7816接口能够支持7816-3协议，能够访问SIM-KEY及符合协议的CPU卡。采用PIN码保护和USBKEY/SIM-KEY双重身份认证机制，采用高密级数据加解密模式，同时采用硬件流水实现加解密算法和软件实现流水操作模式，实现数据传输。

图1为本发明一优选实施例的硬件架构图。其中所述USBHOSTIP和所述7816接口负责SOC芯片的验签工作。主机和所述SATA/USBDEVICEIP之间的通讯，以及所述SATA/USBHOSTIP和存储介质(例如硬盘、移动硬盘、U盘等)之间的通讯均符合SerialATARevision2.6或USB2.0协议。所述SM1/AES模块负责对数据进行加密和解密，根据传输的方向及DATAFIS的类型，所述SM1/AES模块有三种工作模式，即分别对数据采用加密、解密或不加密不解密的操作。

图2为本发明一优选实施例的SOC基本工作流程示意图。所述SOC芯片包括两个工作过程，分别为身份认证过程和数据加解密过程，均通过UniCore32-II处理器的调度完成身份认证过程和数据加解密过程。其中身份认证过程采用的是SM2和SM3算法，数据加解密采用SM1或AES算法。

通过SM2和SM3算法可以实现对密钥对生成、公钥导出和私钥签名及公钥加密和私钥解密等功能。按照以下流程可以完成身份认证功能：

首先，利用USBKEY/SIM-KEY生成密钥对；然后，将公钥导出并发送到发KEY系统；第三步，发KEY系统生成数字证书，并利用其私钥进行签名；第四步，下载签名数字证书；第五步，所述USBKEY/SIM-KEY利用其私钥对签名数字证书再进行签名；第六步，发送双重签名数字证书到加密芯片进行认证；第七步，利用发KEY系统公钥验证合法性；最后，利用数字证书的公钥验证持有者身份。

所述高速存储控制SOC芯片根据内部配置的SATA、USB接口及SM1/AES加密模块，可以实现多种数据加密通路的工作方式。分别是USBDevice和USBHost之间的加密通道的双向数据交互模式，SATADevice和SATAHost之间的加密通道的双向数据交互模式，USBDevice和SATAHost之间的加密通道的双向数据交互模式。

图3为本发明一优选实施例的USBDevice和USBHost之间的加密通道的双向数据交互模式示意图。首先，PC数据由从USBHOST端发送到SOC芯片的USBDevice，然后所述USB设备将数据发送到所述SOC芯片的DPSRAMHigh(高功耗双端口静态随机存取存储器)，然后通过数据加解密算法单元对数据进行处理，处理后的数据发送到DPSRAMLow(低功耗双端口静态随机存取存储器)，即所述SOC芯片的USBHOSTIP(USB主机IP)端，然后所述USBHOSTIP端将处理后的数据发送到具备USBDevice接口的存储介质中。反之，具备USBDevice接口的存储介质将数据发送到所述SOC芯片的所述USBHostIP端，所述USBHostIP端将数据发送到所述DPSRAMLow，然后经过数据加解密算法单元对数据进行处理，所述处理后的数据经过DPSRAMHigh发送到所述SOC芯片的所述USBDevice，最后，所述USBDevice将数据发送到所述PC的所述USBHost端。

图4为本发明一优选实施例的SATADevice和SATAHost双向数据交互模式示意图。首先，所述PC数据经由所述SATAHOST发送到所述SOC芯片的所述SATADevice，然后数据被发送到DPSRAMHigh，通过数据加解密算法单元对数据进行处理，所述处理后的数据通过所述DPSRAMLow发送到所述SOC芯片的所述SATAHOST，最后，处理后的数据被发送到所述具备SATADevice接口的存储介质中。反之，所述具备SATADevice接口的存储介质将数据发送到所述SOC芯片的所述SATAHost，然后所述数据通过所述SATAHost发送到所述DPSRAMLow，通过数据加解密算法单元对数据进行处理，所述处理后的数据通过所述DPSRAMHigh发送到所述SOC芯片的所述SATADevice，最后处理后的数据被发送到所述PC的所述SATAHost端。

图5为本发明一优选实施例的USBDevice和SATAHost双向数据交互模式示意图。首先，所述数据通过所述PC的所述USBHOST端发送到所述SOC芯片的所述USBDevice端，通过所述USBDevice端发送到所述DPSRAMHigh，通过数据加解密算法单元对数据进行处理，所述处理后的数据通过所述DPSRAMLow发送到所述SOC芯片的所述SATAHOST，最后处理后的数据被发送到所述具备SATADevice接口的存储介质中，反之，所述具备SATADevice接口的存储介质将数据发送到所述SOC芯片的所述SATAhost，然后所述数据通过所述SATAhost发送到所述DPSRAMLow，通过数据加解密算法单元对数据进行处理，所述处理后的数据通过所述DPSRAMHigh发送到所述SOC芯片的所述USBDevice，最后处理后的数据被发送到所述PC的所述USBHost端。

为保证上述每个加密数据通路的数据高速传输，达到性能无损耗，硬件加密/解密模块(SM1/AES)与软件设计均采用PIPELINE流水机制。

为提高数据加密/解密运算的吞吐率，硬件加密/解密模块(SM1/AES)的实现采用4级流水线结构，如图6所示。其中，图6中所示的Round函数为轮函数。考虑到流水线划分时每一级的均衡性，同时考虑从SRAM中存取数据的开销(加密/解密运算开始时从SRAM中读取数据，运算结束后将结果存入SRAM中)，对于AES-256，流水线每一级处理的轮数分别为3、4、4、3。这样一来，在运算开始时候的读数和运算结束后的存数过程可以不消耗额外的时间，从而提高效率。

图7为本发明一优选实施例的硬件加密/解密模块流水线时空图。要完成数据加密/解密运算，输入数据(加密运算时输入数据为明文，解密运算时输入数据为密文)首先在流水线的第一级完成相应轮数的运算(AES-256运算3轮)，然后数据进入流水线第二级完成相应轮数的运算(AES-256运算4轮)，然后数据进入流水线第三级完成相应轮数的运算(AES-256运算4轮)，然后数据进入流水线第四级完成相应轮数的运算(AES-256运算3轮)，流水线第四级运算完成后，即可以得到运算的结果(加密运算时得到密文，解密运算时得到明文)。流水线时空图如图7所示。

关于软件流水，图8为本发明一优选实施例的数据读取流水示意图。图9为本发明一优选实施例的数据写入流水示意图。图中采用SATA(USB)DEVICE接口、加密模块(AES\SM1)和SATA(USB)HOST接口实现流水传输，可以达到性能无损耗。

上述各实施例仅用于说明本发明，其中各模块的具体实现都可以有所变化，凡是在本发明技术方案的基础上进行的等同变换和改进，均应视为本发明的保护范围。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-OnlyMemory)、随机存取存储器(RAM，RandomAccessMemory)、磁碟或者光盘等各种可以存储程序代码的介质。

本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”、“第三”“第四”等(如果存在)是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的实施例能够以除了在这里图示或描述的内容以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

以上所述，以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (13)

1.一种支持采用硬件加密算法的高速存储控制SOC芯片，其特征在于，所述高速存储控制SOC芯片包括自主指令系统处理器、PKI硬件模块SM2/SM3、数据加密模块AES/SM1、USB2/USB3控制器、SATA2/SATA3硬盘控制器、7816接口，其中，

所述自主指令系统处理器负责所述芯片的资源调度和数据流的控制管理；

所述PKI硬件模块SM2/SM3负责身份认证和公钥加密功能；

所述数据加密模块AES/SM1负责数据包的加解密功能；

所述USB2/USB3控制器包括USBDEVICE接口和USBHOST接口；

所述SATA2/SATA3硬盘控制器包括SATADEVICE接口和SATAHOST接口。

2.如权利要求1所述的支持采用硬件加密算法的高速存储控制SOC芯片，其特征在于，所述自主指令系统处理器为UniCore32-II。

3.如权利要求1所述的支持采用硬件加密算法的高速存储控制SOC芯片，其特征在于，所述身份认证和公钥加密功能包括密钥对生成、HASH功能、私钥签名功能、公钥验签、公钥加密及私钥解密功能。

4.如权利要求1所述的支持采用硬件加密算法的高速存储控制SOC芯片，其特征在于，所述数据加密模块AES/SM1采用最高密级的256位算法。

5.如权利要求1所述的支持采用硬件加密算法的高速存储控制SOC芯片，其特征在于，所述USBDEVICE接口、所述USBHOST接口和所述数据加密模块AES/SM1共同构成加密数据通路。

6.如权利要求1所述的支持采用硬件加密算法的高速存储控制SOC芯片，其特征在于，所述USBHOST接口支持USB2.0的存储设备及USBKEY。

7.如权利要求1所述的支持采用硬件加密算法的高速存储控制SOC芯片，其特征在于，通过所述USBDEVICE接口将所述SOC芯片模拟成虚拟存储设备，并能够向计算机提供密码服务。

8.如权利要求1所述的支持采用硬件加密算法的高速存储控制SOC芯片，其特征在于，所述SATADEVICE接口、所述SATAHOST接口和所述数据加密模块AES/SM1共同构成加密数据通路。

9.如权利要求1所述的支持采用硬件加密算法的高速存储控制SOC芯片，其特征在于，所述USBDEVICE接口、所述SATAHOST接口和所述数据加密模块AES/SM1共同构成加密数据通路。

10.如权利要求1所述的支持采用硬件加密算法的高速存储控制SOC芯片，其特征在于，所述SATAHOST接口连接支持SATAII3Gb/6Gb的磁盘、SSD硬盘及光驱。

11.如权利要求1所述的支持采用硬件加密算法的高速存储控制SOC芯片，其特征在于，所述7816接口支持7816-3协议，并且能够访问SIM-KEY及符合所述协议的CPU卡。

12.如权利要求11所述的支持采用硬件加密算法的高速存储控制SOC芯片，其特征在于，所述高速存储控制SOC芯片采用PIN码保护以及所述USBKEY和所述SIM-KEY双重身份认证机制。

13.如权利要求1所述的支持采用硬件加密算法的高速存储控制SOC芯片，其特征在于，所述高速存储控制SOC芯片采用高密级数据加解密模式。