CN107533607A - 通过信号延迟监测来进行攻击检测 - Google Patents

Abstract

本公开涉及通过信号延迟监测来进行攻击检测。一种示例系统可以包括至少一个设备，所述至少一个设备包括物理接口。至少一个信号延迟监测器可以判定正向所述设备传输的信号是否按照预期在所述物理接口处被接收，并且在所述信号被确定为未按照预期被接收时指示潜在攻击。判定所述信号是否按照预期被接收可以包括：判定所述信号在限定了预期接收所述信号的时间段的窗口内是否被接收。示例信号监测器可以至少包括新数据接收监测模块和预期接收窗口监测模块。这些模块可以包括用于判定在所述窗口内是否接收到所述信号的逻辑。对潜在攻击的指示可以触发例如所述系统中安全相关动作。

Description

通过信号延迟监测来进行攻击检测

技术领域

本公开涉及系统安全，并且更具体地涉及通过基于例如接收窗口监测信号接收的延迟来检测攻击。

技术背景

现代对进行日常交易的电子设备的依赖导致越来越关注设备安全性。例如，在日常使用过程中，电子设备可以接收、存储、发射如认证数据、账户访问数据、账号、个人识别数据、住宅数据等机密数据。这种类型的数据对具有可疑意图(比如身份盗用、获得对账户的未授权访问、通过获取机密数据来获得私人或商业利益等)的人而言可能有用。设想了各种基于软件和/或硬件的保护性措施来保护免于这些攻击。基于软件的病毒和/或防火墙保护可以防御常见计算机病毒、恶作剧病毒、特洛伊木马等。然而，这些保护性措施可能限于与设备中的操作系统(OS)以同样的特权级别运行。攻击者的足智多谋允许其通过例如在设备的开机过程中更早地引入恶意软件(例如，恶意程序)来规避防御。这里的各种恶意软件(例如，rootkit)可以攻击在脆弱状态下的设备，并因此可以能够以授予高特权并因此保护免受较低特权防御的方式将其本身并入所述设备的操作码中。

为了保护免受低级攻击，开发者已经开始将保护并入设备的硬件中。例如，可以通过可信活动保护开机过程，在所述可信活动中，已知良好的程序被配备成用于验证稍后加载的软件的完整性。另外，处理器和处理芯片组可以配备有可以保护存储在存储器中的应用和数据的加密特征。可以通过加密来保护数据的内容，并且在一些情况下，经加密数据的完整性可以进一步在解密之前是可验证的从而保证攻击者不改变经加密的数据。虽然此类保护的益处是明显的，但每种保护改进会伴随新形式的攻击。例如，现有硬件保护可以不被定制成用于对抗攻击者可以物理地访问硬件和/或改变设备中的硬件操作的攻击。

附图说明

所要求保护的主题的各种实施例的特征和优点将随着以下具体实施方式进行并且通过参照附图变得明显，其中，相同的数字指代相同的部件，并且在附图中：

图1展示了根据本公开的至少一个实施例的被配备成用于通过信号延迟监测来进行攻击检测的示例系统；

图2展示了根据本公开的至少一个实施例可用的系统的示例配置；

图3展示了根据本公开的至少一个实施例的信号延迟监测器内容和操作的示例；

图4展示了根据本公开的至少一个实施例的信号延迟监测器的示例逻辑结构；以及

图5展示了根据本公开的至少一个实施例的用于通过信号延迟监测来进行攻击检测的示例操作。

虽然以下具体实施方式将参考说明性实施例进行，但是许多替代方案、修改及其变体将对本领域的技术人员而言是明显的。

具体实施方式

本公开涉及通过信号延迟监测来进行攻击检测。在至少一个实施例中，一种系统可以包括各种保护性措施，所述保护性措施至少包括信号延迟监测。例如，所述系统中的设备可以包括具有至少一个信号延迟监测器的物理接口。所述信号延迟监测器可以判定正向所述设备传输的信号是否按照预期在所述物理接口处被接收，并且可以在所述信号被确定未按照预期被接收时指示潜在攻击。在至少一个实施例中，判定所述信号是否按照预期被接收可以包括判定在限定了预期接收所述信号的时间段的窗口内是否接收到所述信号。所述信号监测器可以至少包括新数据接收监测模块和预期接收窗口监测模块。这些模块可以包括判定在经调谐脉冲所限定的预期接收窗口内是否接收到所述信号的逻辑。在至少一个实施例中，对潜在攻击的指示可以使得同样保护系统的系统性安全装置执行至少一个安全相关动作。

在至少一个实施例中，被配备成用于通过信号延迟监测来进行攻击检测的示例设备可以包括物理接口和至少一个信号延迟监测器。所述至少一个信号延迟监测器可以包括在所述物理接口中或至少与所述物理接口耦合，可以判定正向所述设备传输的信号是否按照预期在所述物理接口处被接收，并且可以在所述信号被确定未按照预期被接收时指示潜在攻击。

在判定所述信号是否按照预期被接收时，所述信号监测器可以用于判定在限定了预期接收所述信号的时间段的窗口内是否接收到所述信号。所述至少一个信号监测器可以至少例如包括新数据接收监测模块和预期接收窗口监测模块。所述新数据接收模块可以包括以下逻辑：所述逻辑被系统时钟启用以将所述物理接口中的数据输入的状态与所述数据输入的先前状态进行比较从而判定在所述数据输入处是否接收到新数据。所述预期接收窗口监测模块可以包括以下逻辑：所述逻辑被窗口时钟启用以判定所述数据输入的所述状态在所述预期接收窗口内是否变化。所述预期接收窗口可以是基于窗口时钟确定的。例如，所述窗口时钟可以是经调谐脉冲时钟。在指示潜在攻击时，所述信号监测器可以基于以下逻辑来设定故障位：所述逻辑对所述新数据接收监测模块的输出和所述预期接收窗口监测模块的输出执行逻辑与。

在至少一个实施例中，所述设备可以进一步包括至少一个内部信号延迟监测器，用于判定所述设备内正传输的信号是否按照预期在所述设备中被接收，并且在所述信号未按照预期被接收时指示潜在攻击。与本公开一致地，被配备成用于通过信号延迟监测来进行攻击检测的示例系统可以包括：至少一个设备，包括：物理接口和包括在所述物理接口中或至少与所述物理接口耦合的至少一个信号延迟监测器，其中，所述至少一个信号监测器用于判定正向所述设备传输的信号是否按照预期在所述物理接口处被接收并且在所述信号未按照预期被接收时指示潜在攻击；所述至少一个设备外部的至少一个交互器，用于传输所述信号；以及系统性安全装置，用于至少监测所述至少一个信号延迟监测器从而指示潜在攻击。在判定所述信号是否按照预期被接收时，所述信号监测器可以用于判定在限定了预期接收所述信号的时间段的窗口内是否接收到所述信号。所述信号监测器可以例如至少包括新数据接收监测模块和预期接收窗口监测模块。所述系统性安全装置可以用于基于确定了所述信号监测器已经指示潜在攻击而执行至少一个安全相关动作。与本公开一致地，用于通过信号延迟监测来进行攻击检测的示例方法可以包括：确定系统时钟的状态启用了在设备中接收数据；判定在所述设备中的物理接口处是否接收到新数据；以及基于确定了在所述设备处接收到新数据而判定在包括在所述物理接口中或至少与所述物理接口耦合的至少一个信号延迟监测器中是否按照预期接收到所述新数据。

图1展示了根据本公开的至少一个实施例的被配备成用于通过信号延迟监测来进行攻击检测的示例系统。最初，以下公开内容可以参考诸如由英特尔公司开发的软件防护扩展(Software Guard Extensions：SGX)、可能组成SGX的组件以及SGX可能运行的方式等各种安全技术。SGX已经被本文中引用以提供用于理解各个公开的实施例的可容易理解的观点，并且不旨在将实施方式限于仅采用SGX。

图1中示出了系统100的示例配置。系统100的示例可以包括但不限于：基于来自谷歌公司的OS、来自苹果公司的或Mac来自微软公司的OS、来自Linux基金会的OS、来自Mozilla项目的OS、来自黑莓公司的OS、来自Hewlett-Packard公司的OS、来自Symbian基金会的OS等的移动通信设备，诸如蜂窝手持机或智能电话；移动计算设备，诸如来自苹果公司的来自微软公司的来自三星公司的Galaxy来自亚马逊公司的等的平板计算机；包括来自英特尔公司的低功率芯片组的上网本、笔记本、膝上型计算机、掌上型计算机等；可穿戴设备，诸如像来自三星公司的Galaxy的手表形状因子计算设备、像来自谷歌公司的Google的眼镜形状因子计算设备/用户界面、像来自三星公司的Gear的虚拟现实(VR)耳机设备、来自Oculus VR公司的Oculus等；通常固定的计算设备，诸如台式计算机、服务器、被组织在高性能计算(HPC)体系架构中的计算设备组、智能电视或其他类型的“智能”设备、小形状因子计算解决方案(例如，适用于空间有限的应用、TV机顶盒等)，像来自英特尔公司的下一代计算单元(NUC)平台等。

示例系统100可以尤其包括设备102和可以受系统性安全装置106保护的外部交互器104。设备102可以是单个集成电路(IC)，比如片上系统(SOC)、多芯片模组(MCM)、被设计成用于协同工作的一组单独IC(例如，芯片组)等。例如，设备102可以包括处理器核或支持处理器芯片组的特征。外部交互器104可以包括系统100中的任何其他子系统，就图2对其示例进行了展示和解释。

系统性安全装置106可以保护系统100免受可能追求对系统100、并且更具体地对系统100中所存储的数据的未授权访问的各种攻击。为了防范这些攻击，系统性安全装置106可以包括基于软件的保护、基于硬件的保护以及结合了硬件部件和软件部件两者的保护方案。例如，可以用基于硬件的防御(像SGX)来支持传统的基于软件的病毒/防火墙措施从而至少保护系统100中的存储器的一部分。SGX可以在系统存储器内提供安全的硬件加密的计算和存储区域，无法通过特权代码或者甚至通过将硬件探头应用于存储器总线来解密其内容。当存储器被SGX保护时，入侵者不可能读取安全区域的内容。受保护的数据在SGX之外不能被观察到，并且因此在SGX之外是不可访问的。特别地，可以在每个程序内部对程序的身份(例如，基于每个程序的内容的密码散列测量结果)进行签名和存储。当之后对所述程序进行加载时，系统100中的处理器(例如，设备102)可以验证所述程序的当前测量结果与先前嵌入在所述程序内部的测量结果相同。用于签署嵌入式测量的签名也是可验证的，因为处理器可以提供有用于在程序加载时刻对签名进行验证的公钥。恶意程序无法篡改受保护的程序，因为其测量结果也会被修改。恶意软件也无法假冒所述签名，因为所述签名密钥与所述程序的作者是安全的。虽然在此所公开的各实施例可以结合如SGX等系统性安全装置106工作，但是与本公开一致地，还可以使用现有的或将来研发的其他安全技术。

虽然系统性安全装置106可以有助于保护系统100免受攻击，但是一些攻击者会追求探索现有保护性措施未良好防御的弱点。例如，一些基于硬件的探索避免了软件破解并追求改变硬件本身的功能。在“探测”时，可以将物理探针附装至电线、母板迹线、连接器等，从而测量和/或修改正传输的信号。“模块交换”可以包括移除并用可以允许攻击者侦听、修改和/或替换信号的设备代替系统100中的设备(例如，模块、芯片、部件等)，这可以允许攻击者获得对数据的未授权访问、获得对系统100的控制等。攻击者还可以降低或提高供应给系统100中不同子系统的功率，或可以突然地以短脉冲(例如，“毛刺”)提高或降低电力供应，从而使得系统100以意想不到的方式表现。例如，攻击者可以使得电力供应有毛刺从而造成比特以意想不到的方式翻转，这会触发允许攻击者获得对系统100的控制的一系列事件。虽然可以利用上述攻击来规避系统性安全装置106，但是它们能够克服现有保护方案的方式创造了可追踪的足迹，因为上述攻击还改变了系统100中信号传输的特征。在此所描述的各实施例试图探索这种行为，并且可以结合系统性安全装置106使用从而增强对系统100的保护。

在操作示例中，至少外部交互器104可以通过物理接口108向设备102发射信号，并且具体地向设备102内的部件110(例如，处理核)发射信号。至少一个信号延迟监测器112可以包括在物理接口108中或至少与所述物理接口耦合。例如，如果物理接口108包括信号被发射自或接收到设备102中所经过的各输入端(例如，引脚、焊盘、触点等)，则可以存在与每个输入端相对应的信号延迟监测器112、与多个输入端相对应(例如，处于逻辑协调的或复用的安排中)的信号延迟监测器112等。在至少一个实施例中，信号延迟监测器112可以判定正向设备102传输的信号是否按照预期在物理接口108处被接收，并且可以在所述信号被确定未按照预期被接收(例如，这可以表示上述基于硬件的攻击之一)时指示潜在攻击。判定所述信号是否按照预期被接收可以例如包括判定在限定了预期接收所述信号的时间段的窗口内是否接收到所述信号。如果信号被确定为在窗口外(例如，之前或之后)被接收，则信号延迟监测器112可以如114处所示指示潜在攻击。在至少一个实施例中，所述指示可以如116处所示被系统性安全装置106观察到或被报告给所述系统性安全装置，所述系统性安全装置可以通过执行至少一个安全相关动作来进行响应。安全相关动作可以包括但不限于使得系统100的一部分或全部进入最大保护或下锁模式(在此模式下，敏感数据被从设备102卸除，被加密并存储在系统100中的存储器的安全部分中)，可以使得系统100中的子系统停止运行直到被已授权用户、系统制造商等解锁，可以使得警告消息被传输至用户移动通信系统或第三方监测服务等。信号延迟监测器112可以监测从外部交互器104接收的设备间信号。以类似的方式，信号延迟监测器120可以对设备102内所传输的设备内信号进行监测。例如，内部交互器118可以向部件110发射信号。如果信号未按照预期被接收，则信号延迟监测器120可以如122处所示那样指示可以使得系统性安全装置106执行安全相关动作的潜在攻击。

图2展示了根据本公开的至少一个实施例可用的系统的示例配置。本公开中，在项目编号之后包括撇号(例如，100’)可以指示正被展示的具体项目的示例实施例。例如，系统100’可以能够执行诸如在图1中所公开的任何或所有活动。然而，系统100’在此仅呈现为在与本公开一致的实施例中可用的设备的示例，并且并不旨在将这些不同实施例中的任一项限制到任何特定方式的实现方式。

系统100’可以包括例如用于管理设备的操作的系统模块200。系统模块200可以包括例如处理模块202、存储器模块204、功率模块206、用户接口模块208以及通信接口模块210。系统100’还可以包括通信模块212。虽然通信模块212被展示为与系统模块200分离，但是为了解释的目的，在此仅仅提供了图2中所示出的示例配置。还可以将与通信模块212相关联的功能中的一些或所有功能并入系统模块200中。

在系统100’中，处理模块202可以包括位于分离组件中的一个或多个处理器、或者替代性地，在单个组件中(例如，SOC配置中)中的一个或多个核以及处理器相关的支持电路(例如，桥接接口等)。示例处理器可以包括但不限于：可从英特尔公司获得的各种基于x86的微处理器，包括在奔腾(Pentium)、至强(Xeon)、安腾(Itanium)、赛扬(Celeron)、阿童木(Atom)、Quark、核i系列产品家族、核M系列产品家族、高级RISC(例如，精简指令集计算)机器或“ARM”处理器等中的那些。支持电路的示例可以包括被配置用于提供接口的芯片组(例如，可从英特尔公司获得的北桥、南桥等)，通过所述接口，处理模块202可以与系统100’中可以不同速度、不同总线等正在进行操作的其他系统部件进行交互。此外，通常与支持电路相关联的功能中的一些或所有功能还可以包括在与处理器相同的物理封装体中(例如，如在可从英特尔公司获得的处理器的沙桥(Sandy Bridge)族中)。与本公开一致地，处理模块202可以至少包括设备102，所述设备可以是例如微处理器，所述微处理器包括与图1中的部件110相对应的至少一个处理器核。在一种操作场景中，外部交互器104A同样可以存留于处理模块202中。

处理模块202可以被配置用于执行系统100’中的各个指令。指令可以包括程序代码，所述程序代码被配置用于使处理模块202执行与读数据、写数据、处理数据、制定数据、转换数据、变换数据等相关的活动。信息(例如，指令、数据等)可以存储在存储器模块204中。存储器模块204可以包括固定或可移除格式的随机存取存储器(RAM)或只读存储器(ROM)。RAM可以包括被配置用于在系统100’的操作过程中保持信息的易失性存储器，例如静态RAM(SRAM)或动态RAM(DRAM)。ROM可以包括基于BIOS、UEFI等被配置的用于在系统100’被激活时提供指令的非易失性(NV)存储器模块、诸如电子可编程ROM(EPROMS)的可编程存储器、闪存等。其他固定/可移除存储器可以包括但不限于：磁存储器(诸如例如，软盘、硬盘驱动器等)、电子存储器(诸如固态闪存(例如，嵌入式多媒体卡(eMMC))等)、可移除存储卡或可移除存储棒(例如，微型存储卡(uSD)、USB等)、光存储器(诸如基于致密盘的ROM(CD-ROM))、数字视频盘(DVD)、蓝光碟等。与本公开一致地，存储器模块204被示为外部交互器。在此为了进行解释，存储器模块204被展示为包括外部交互器104B。下面将进一步描述设备102与外部交互器104A和104B之间的可能交互。

功率模块206可以包括内部功率(例如，电池、燃料电池等)和/或外部功率(例如，机电发电机或太阳能发电机、电网、外部燃料电池等)、以及相关电路(被配置用于为系统100’供应操作所需的电力)。用户接口模块208可以包括硬件和/或软件以便允许用户与系统100’(诸如例如，各种输入机构(例如，麦克风，开关，按钮，旋钮，键盘，扬声器，触敏表面，被配置用于捕获图像和/或感测接近度、距离、运动、姿势、取向、生物测定数据等的一个或多个传感器等)以及各种输出机构(例如，扬声器，显示器，发光/闪烁指示器，针对振动、运动的机电部件等)进行交互。用户接口模块208中的硬件可以并入系统100’内和/或可以经由有线或无线通信介质耦合至系统100’。用户接口模块208在某些情况下可以是任选的，例如，在系统100’是不包括用户接口模块208而是依赖于用于用户接口功能的另一设备(例如，管理终端)的服务器(例如，机架服务器、刀片服务器等)的情形下。

通信接口模块210可以被配置用于对分组路由和通信模块212的其他控制功能进行管理，所述通信模块可以包括被配置用于支持有线和/或无线通信的资源。在某些实例中，系统100’可以包括由集中通信接口模块210管理的多于一个的通信模块212(例如，包括针对有线协议和/或无线电台的分离物理接口模块)。有线通信可以包括串行和并行有线介质，例如以太网、USB、火线、雷电接口(Thunderbolt)、数字视频接口(DVI)、高清晰度多媒体接口(HDMI)等。例如，无线通信可以包括近距离无线介质(例如基于RF识别(RFID)或近场通信(NFC)标准、红外(IR)等)的射频(RF))、短程无线介质(例如，蓝牙、WLAN、Wi-Fi等)、远程无线介质(例如，蜂窝广域无线电通信技术、基于卫星的通信等)、通过声波的电子通信等。在一个实施例中，通信接口模块210可以被配置为防止在通信模块212中活动的无线通信彼此干扰。在执行此功能时，通信接口模块210可以基于例如消息等待传输的相对优先级为通信模块212安排活动。虽然图2中所公开的实施例展示了通信接口模块210与通信模块212分离，但是还有可能将通信接口模块210和通信模块212的功能并入相同模块内。

与本公开一致地，设备102可以存留于系统100’内的模块(比如处理模块202)中。假定设备102是微处理器，设备102可以从处理模块202中的外部交互器104A(例如，支持所述微处理器的芯片组中的至少一个IC)或从另一模块比如存储器模块204中的外部交互器104B接收信号(例如，来自向设备102提供数据以进行处理的存储器控制器的信号)。当检测到潜在攻击时，信号延迟监测器112和/或120可以指示所述潜在攻击(例如，可以在设备102中设定故障位)。系统性安全装置106可以然后使得模块200至212中的一些或全部进入保护性模式。例如，当正采用SGX时，处理模块可以对数据进行加密并将其存储在存储器模块204的受保护部分中。而且，处理模块202中的资源可以向用户接口模块208和/或通信相关模块210/212进行输出。例如，用户接口模块208可以呈现可闻、可视或触觉通知，通信接口模块210可以使得通信模块212发射通知等。

图3展示了根据本公开的至少一个实施例的信号延迟监测器内容和操作的示例。如图3中所示的信号延迟监测器内容和操作的示例可以对应于信号延迟监测器112和/或信号延迟监测器120。在至少一个实施例中，信号延迟监测器112’和/或120’可以至少包括新数据接收监测模块300和预期接收窗口监测模块300。新数据接收监测模块300可以接收数据输入(例如，经由物理接口108传输至部件110的信号)(系统时钟)，并且可以基于这些输入判定新数据是否正被传输至设备102。预期接收窗口监测模块302也可以接收所述数据输入但相反可以触发窗口时钟。所述窗口时钟可以向预期接收窗口监测模块302提供时钟脉冲，其开始和持续时间定义了预期接收窗口。预期接收窗口监测模块302在其确定数据已经在预期接收窗口之外被接收时可以指示潜在攻击。

304处公开了信号延迟监测器运行的示例。示出了四种信号图案，包括系统时钟信号图案、窗口时钟信号图案、数据输入信号图案和故障指示图案。所述系统时钟可以定期地/周期性地在高与低之间交替从而协调系统内的逻辑运算。所述窗口时钟可以是被调谐以在预期接收数据时形成预期接收窗口306的脉冲时钟。经调谐脉冲时钟可以是由设备102中的分离的或可编程的电路生成的。脉冲的宽度应该与信号延迟的预期动态变化相匹配。与本公开一致地，可以潜在地跨物理接口108的多个匹配的I/O端口重新使用窗口时钟脉冲。可以使用各种结构和/或操作对窗口时钟进行调谐。例如，可以使用可调谐的延迟线使脉冲以延迟分布的平均值为中心。为了保持脉冲宽度较小并且监测器电路可靠性较高，可以考虑一些典型的变化以利用现有技术。例如，可以通过调整脉冲的中心和宽度来测量静态变化并将其作为因素计入可编程脉冲生成逻辑中。通过使用主动反馈来调整脉冲大小，可以引起一些动态变化。环形振荡器、温度传感器、和其他技术可以用于这个目的。而且，一些典型的系统存储器类型(例如，DRAM)可以包括内置在其物理接口108中的调谐和校准逻辑。这种逻辑可以在每次上电时进行计时训练，从而保证波形的眼被正确地校准并且信号是健康的。校准逻辑生成用来指示使信号准确地对齐需要多少偏移的“抽头(tap)”值。在此所使用的逻辑可以实施与信号延迟监测器112’和/或120’类似的校准操作。对现有调谐逻辑的重新使用可以允许物理接口108主动地监测信号并且确定什么时候发生定时或波形形状的显著变化，从而触发警告。这可以通过生成标称运行过程中每个信号的抽头值的有效范围来实现，并且如果存储器总线内发生物理篡改则抽头值将偏移到触发故障条件的指定范围以外。

如图3中所示，可以通过数据输入的状态改变来指示数据的接收。在308处，数据输入从逻辑低状态到逻辑高状态，而在310处，数据输入从逻辑高状态降至逻辑低状态。308处的状态改变发生于预期接收窗口内，并因此被确定为按照预期被接收(例如，“OK”)。相反，在310处，从高到低的转变发生于预期接收窗口之外(例如，“故障”)。因此，当被系统时钟启用时，信号延迟监测器112’和/或120’中的逻辑可以通过使得故障指示从低到高转变(例如，至少直到下一次低到高系统时钟转变)来指示潜在攻击。在至少一个实施例中，故障指示可以是系统性安全装置106可见的，所述系统性安全装置可以然后执行至少一个安全相关动作以保护系统100。

图4展示了根据本公开的至少一个实施例的信号延迟监测器的示例逻辑结构。在至少一个实施例中，新数据接收监测模块300’可以包括D触发器400和异或(XOR)门402。预期接收窗口监测模块302’可以包括D锁存器404、D触发器406和异或非(XNOR)门408。与本公开一致地，D锁存器404可以是正相D锁存器406并且D触发器可以是正沿D触发器。在操作示例中，D触发器404可以接收新数据(例如，data_in(数据_入))并且可以由系统时钟(例如，sys_clock(系统_时钟))启用。当系统时钟启用D触发器400时，D的数据值可以被传递至表示数据输入的先前状态的Q。可以通过XOR 402将先前状态与数据输入的当前状态进行比较，如果前一数据输入值和当前数据输入值不同(例如，data_changed(数据_变化的)＝1)，则XOR 402可以通过输出高逻辑信号(例如，“1”)来表示数据输入处的信号改变了。否则，XOR 402的输出可以保持为低(例如，data_changed＝0)，从而防止预期接收窗口监测模块302’中的逻辑错误地触发指示。

还可以将当前数据输入馈送至D锁存器你404和D触发器406。逻辑元件404和406都可以基于窗口时钟(例如，tuned_pulse_clock(调谐的_脉冲_时钟))进行触发。D锁存器404可以在被启用时立即将data_in传递直到Q并且然后保持Q。在操作示例中，逻辑元件404和406在信号在窗口时钟脉冲之前改变时都将识别数据输入的状态变化，并且如果信号在窗口时钟脉冲之后变化的话都将错过data_in的状态变化。在任一种情况下，逻辑元件404和406的值将相同，这然后会造成XNOR 408输出逻辑高的信号(例如，data_changed_outside_pulse(数据_变化的_外部_脉冲)＝1)。如果data_in在预期接收窗口内变化(例如，当tuned_pulse_clock为高时)，只有D锁存器404将捕捉到它，因为D触发器406中Q的值是D的先前状态。逻辑元件404和406所输出的值将不同，从而导致XNOR 408输出逻辑低的信号，所述逻辑低的信号指示数据输入处的信号按照预期被接收(例如，data_changed_outside_pulse＝0)。与门410可以然后将新数据接收监测模块300’和预期接收窗口监测模块302’的逻辑输出与在一起。如果模块300’和302’既指示新数据被接收又指示信号在预期接收窗口外被接收(例如，输出都为“1”)，则与门410可以指示故障(例如，fault＝1)。在至少一个实施例中，系统性安全装置106可以监测故障输出，并且在确定故障输出为高(例如，fault＝1)之后可以执行至少一个安全动作。

图5展示了根据本公开的至少一个实施例的用于通过信号延迟监测来进行攻击检测的示例操作。在操作500中，可以确定系统时钟已经启用了设备中的数据接收(例如，系统时钟已经从低转变至高)。然后，可以在操作502中关于是否已接收到新数据(例如，在所述设备中的物理接口处)进行判定。如果在操作502中确定了尚未接收到新数据，则在操作504中，不需要行动。可以可选地紧接着操作504的是返回至操作500准备系统时钟以再次启用在所述设备中接收数据。

如果在操作502中确定了已经接收到新数据，则在操作506中，可以关于数据是否是按照预期被接收的进行判定。例如，如果数据是在限定了预期接收信号的时间段的窗口内被接收的，则可以按照预期接收到数据。可以紧接着操作506中确定数据按照预期被接收的是返回至不需要行动的操作504。如果在操作506中确定了数据未按照预期被接收，则在操作508中可以指示潜在攻击。对潜在攻击的指示可以可选地使得设备中的系统性安全装置在操作510中执行至少一个安全动作。可以可选地紧接着操作510的是返回至操作500准备系统时钟以再次启用在所述设备中接收数据。

虽然图5示出了根据实施例的操作，但是将理解的是，对于其他实施例来说，图5中所描绘的所有操作并非都是必需的。确实，在此完全可以设想，在本公开的其他实施例中，可以采用任何附图中未具体地示出、但仍然完全符合本公开的方式将图5中所描绘的操作和/或本文中所描述的其他操作进行组合。因而，对未在一个附图中正确示出的特征和/或操作有所涉及的权利要求被视为落入本公开的范围和内容内。

如在本申请和权利要求书中所使用的，由术语“和/或”接合的一系列项目可意指所列项目的任何组合。例如，短语“A、B和/或C”可以指A；B；C；A和B；A和C；B和C；或者A、B和C。如在本申请和权利要求书中所使用的，由术语“中的至少一项”接合的一系列项目可意指所列术语的任何组合。例如，短语“A、B或C中的至少一项”可意指A；B；C；A和B；A和C；B和C；或A、B和C。

如本文中任何实施例所使用的，术语“系统”或“模块”可以例如指被配置用于执行前述操作中任何操作的软件、固件和/或电路系统。软件可以被实施为非暂态计算机可读存储介质上所记录的软件包、代码、指令、指令集和/或数据。固件可以实施为存储器设备中硬编码(例如，非易失性的)的代码、指令或指令集和/或数据。如本文中任何实施例中所使用的，“电路”可以例如单一地或以任何组合形式包括硬接线电路、可编程电路(比如，包括一个或多个单独指令处理核的计算机处理器)、状态机电路、和/或存储有可由可编程电路执行的指令的固件。所述模块可以被统一地或单独地实施为形成例如集成电路(IC)、片上系统(SoC)、台式计算机、膝上型计算机、平板计算机、服务器、智能电话等的更大系统的一部分的电路。

本文中所描述的任何操作可以在系统中实施，所述系统包括具有单独地或组合地存储在其上的指令的一个或多个存储介质(比如，非暂态存储介质)，当所述指令由一个或多个处理器执行时执行所述方法。此处，处理器可以包括例如服务器CPU、移动设备CPU、和/或其他可编程电路。而且，旨在使得本文中所描述的操作可以在多个物理设备(比如，在多于一个不同物理位置处的处理结构)之间分布。存储介质可以包括任何类型的有形介质，例如包括以下各项的任何类型的磁盘：硬盘、软盘、光盘、压缩盘-只读存储器(CD-ROM)、可复写致密盘(CD-RW)、和磁光盘、如只读存储器(ROM)等半导体器件、如动态和静态RAM等随机存取存储器(RAM)、可擦除可编程只读存储器(EPROM)、电可擦除可编程只读存储器(EEPROM)、闪存、固态盘(SSD)、嵌入式多媒体卡(eMMC)、安全数字输入/输出(SDIO)卡、磁卡或光卡、或者适合于存储电子指令的任何类型的介质。其他实施例可以实施为由可编程控制设备执行的软件模块。

因而，本公开涉及通过信号延迟监测来进行攻击检测。一种示例系统可以包括具有物理接口的至少一个设备。至少一个信号延迟监测器可以判定正向所述设备传输的信号是否按照预期在所述物理接口处被接收并且在所述信号被确定未按照预期被接收时指示潜在攻击。判定所述信号是否按照预期被接收可以包括判定在限定了预期接收所述信号的时间段的窗口内是否接收到所述信号。示例信号监测器可以至少包括新数据接收监测模块和预期接收窗口监测模块。这些模块可以包括以下逻辑：所述逻辑用于判定在所述窗口内是否接收到所述信号。对潜在攻击的指示可以触发例如所述系统中的安全相关动作。

以下示例涉及进一步的实施例。本公开的以下示例可以包括主题，诸如设备、方法、用于存储指令(所述指令当被执行时使机器基于所述方法执行动作)的至少一个机器可读介质、用于基于所述方法执行动作的装置、和/或用于通过信号延迟监测来进行攻击检测的系统。

根据示例1，提供了一种配备成用于通过信号延迟监测来进行攻击检测的设备。所述设备可以包括：物理接口、至少一个信号延迟监测器，所述至少一个信号延迟监测器被包括在所述物理接口中或至少耦合至所述物理接口，其中，所述至少一个信号监测器用于：判定正向所述设备传输的信号是否按照预期在所述物理接口处被接收；以及在所述信号被确定为未按照预期被接收时，指示潜在攻击。

示例2可以包括如示例1所述的要素，其中，在判定所述信号是否按照预期被接收时，所述信号监测器用于判定所述信号在限定了预期接收所述信号的时间段的窗口内是否被接收。

示例3可以包括如示例2所述的要素，其中，所述至少一个信号延迟监测器至少包括：新数据接收监测模块，包括由系统时钟启用以进行以下操作的逻辑：将所述物理接口中的数据输入的状态与所述数据输入的先前状态进行比较从而判定在所述数据输入是否接收到新数据；以及预期接收窗口监测模块，包括由窗口时钟启用以进行以下操作的逻辑：判定所述数据输入的所述状态在所述预期接收窗口内是否变化。

示例4可以包括如示例2至3中任一项所述的要素，其中，所述至少一个信号延迟监测器至少包括新数据接收监测模块和预期接收窗口监测模块。

示例5可以包括如示例4所述的要素，其中，所述新数据接收模块包括以下逻辑：所述逻辑被系统时钟启用以将所述物理接口中的数据输入的状态与所述数据输入的先前状态进行比较从而判定在所述数据输入是否接收到新数据。

示例6可以包括如示例5所述的要素，其中，所述新数据接收模块中的所述逻辑至少包括D触发器和异或(XOR)门。

示例7可以包括如示例5至6中任一项所述的要素，其中，所述预期接收窗口监测模块包括由窗口时钟启用以进行以下操作的逻辑：判定所述数据输入的所述状态在所述预期接收窗口内是否变化。

示例8可以包括如示例7所述的要素，其中，所述预期接收窗口监测模块中的所述逻辑至少包括D锁存器、D触发器和异或非(XNOR)门。

示例9可以包括如示例8所述的要素，其中，在所述预期接收窗口监测模块中，所述D锁存器是正相D锁存器并且所述D触发器是正沿D触发器。

示例10可以包括如示例7至9中任一项所述的要素，其中，所述预期接收窗口是基于所述窗口时钟确定的。

示例11可以包括如示例7至10中任一项所述的要素，其中，所述窗口时钟是经调谐的脉冲时钟。

示例12可以包括如示例7至11中任一项所述的要素，其中，在指示潜在攻击时，所述信号监测器将基于对所述新数据接收监测模块的输出和所述预期接收窗口监测模块的输出执行逻辑与的逻辑来设定故障位。

示例13可以包括如示例1至12中任一项所述的要素，进一步包括：至少一个内部信号延迟监测器，用于：判定所述设备内正传输的信号是否按照预期在所述设备中被接收；以及在所述信号未按照预期被接收时，指示潜在攻击。

示例14可以包括如示例1至13中任一项所述的要素，其中，所述设备是微处理器。

根据示例15，提供了一种配备成用于通过信号延迟监测来进行攻击检测的系统。所述系统可以包括：至少一个设备，所述设备包括物理接口和至少一个信号延迟监测器，所述至少一个信号延迟监测器被包括在所述物理接口中或至少耦合至所述物理接口耦合，其中，所述至少一个信号监测器用于：判定正向所述设备传输的信号是否按照预期在所述物理接口处被接收；以及在所述信号未按照预期被接收时，指示潜在攻击；至少一个交互器，在所述至少一个设备外部，用于传输所述信号；以及系统性安全装置，用于至少监测所述至少一个信号延迟监测器从而指示潜在攻击。

示例16可以包括如示例15所述的要素，其中，在判定所述信号是否按照预期被接收时，所述信号监测器用于判定所述信号在限定了预期接收所述信号的时间段的窗口内是否被接收。

示例17可以包括如示例15至16中任一项所述的要素，其中，所述信号监测器至少包括新数据接收监测模块和预期接收窗口监测模块。

示例18可以包括如示例15至17中任一项所述的要素，其中，所述系统性安全装置是以下各项之一：基于软件的病毒防护、防火墙或基于硬件的存储器保护。

示例19可以包括如示例15至18中任一项所述的要素，其中，所述系统性安全装置用于基于确定了所述信号监测器已经指示潜在攻击而执行至少一个安全相关动作。

示例20可以包括如示例19所述的要素，其中，所述至少一个安全相关动作包括以下各项之一：至少中断所述系统的一部分的操作、对所述系统中的数据进行加密或生成对所述潜在攻击的至少一个通知。

根据示例21，提供了一种用于通过信号延迟监测来进行攻击检测的方法。所述方法可以包括：确定系统时钟的状态启用了在设备中对数据的接收；判定在所述设备中的物理接口处是否接收到新数据；以及基于确定了在所述设备处接收到新数据而判定所述新数据在至少一个信号延迟监测器中是否按照预期被接收，所述至少一个信号延迟监测器被包括在所述物理接口中或耦合至所述物理接口。

示例22可以包括如示例21所述的要素，其中，判定在所述设备处是否接收到新数据包括：将所述设备中的数据输入的状态与所述设备中的所述数据输入的先前状态进行比较。

示例23可以包括如示例21至22中任一项所述的要素，其中，判定所述新数据是否按照预期被接收包括：判定所述信号在限定了预期接收所述信号的时间段的窗口内是否被接收。

示例24可以包括如示例21至23中任一项所述的要素，其中，判定所述新数据是否按照预期被接收包括：对所述至少一个信号延迟监测器中的所述新数据接收监测模块的输出和所述至少一个信号延迟监测器中的所述预期接收窗口监测模块的输出执行逻辑与。

示例25可以包括如示例21至24中任一项所述的要素，并且可以进一步包括：当所述信号被确定未按照预期被接收时，指示潜在攻击。

示例26可以包括如示例25所述的要素，并且可以进一步包括：使得合并了所述设备的系统中的系统性安全装置基于指示潜在攻击而执行至少一个安全相关动作。

示例27可以包括如示例26所述的要素，其中，执行至少一个安全相关动作包括以下各项之一：至少中断所述系统的一部分的操作、对所述系统中的数据进行加密或生成对所述潜在攻击的至少一个通知。

示例28可以包括如示例21至27中任一项所述的要素，并且可以进一步包括：当所述信号被确定未按照预期被接收时指示潜在攻击；以及使得合并了所述设备的系统中的系统性安全装置基于指示潜在攻击而执行至少一个安全相关动作。

根据示例29，提供了一种至少包括设备的系统，所述系统被安排成用于执行如以上示例21至28中任一项所述的方法。

根据示例30，提供了一种被安排成用于执行如以上示例21至28中任一项所述的方法的芯片组。

根据示例31，提供了至少一种机器可读介质，所述至少一种机器可读介质包括多条指令，所述多条指令响应于正在计算设备上被执行而使所述计算设备执行根据以上示例21至28中任一项所述的方法。

根据示例32，提供了一种配置用于通过信号延迟监测来进行攻击检测的设备，所述设备被安排成用于执行如以上示例21至28中任一项所述的方法。

根据示例33，提供了一种用于通过信号延迟监测来进行攻击检测的系统。所述系统可以包括：用于确定系统时钟的状态启用了在设备中对数据的接收的装置；用于判定在所述设备中的物理接口处是否接收到新数据的装置；以及用于基于确定了在所述设备处接收到新数据而判定所述新数据在至少一个信号延迟监测器中是否按照预期被接收的装置，所述至少一个信号延迟监测器被包括在所述物理接口中或耦合至所述物理接口。

示例34可以包括如示例33所述的要素，其中，所述用于判定在所述设备处是否接收到新数据的装置包括：用于将所述设备中的数据输入的状态与所述设备中的所述数据输入的先前状态进行比较的装置。

示例35可以包括如示例33至34中任一项所述的要素，其中，所述用于判定所述新数据是否按照预期被接收的装置包括：用于判定所述信号在限定了预期接收所述信号的时间段的窗口内是否被接收的装置。

示例36可以包括如示例33至35中任一项所述的要素，其中，所述用于判定所述新数据是否按照预期被接收的装置包括：用于对所述至少一个信号延迟监测器中的所述新数据接收监测模块的输出和所述至少一个信号延迟监测器中的所述预期接收窗口监测模块的输出执行逻辑与的装置。

示例37可以包括如示例33至36中任一项所述的要素，并且可以进一步包括：用于当所述信号被确定未按照预期被接收时指示潜在攻击的装置。

示例38可以包括如示例37所述的要素，并且可以进一步包括：用于使得合并了所述设备的系统中的系统性安全装置基于指示潜在攻击而执行至少一个安全相关动作的装置。

示例39可以包括如示例38所述的要素，其中，所述用于执行至少一个安全相关动作的装置包括用于以下各项中的至少一项的装置：至少中断所述系统的一部分的操作、对所述系统中的数据进行加密或生成对所述潜在攻击的至少一个通知。

示例40可以包括如示例33至39中任一项所述的要素，并且可以进一步包括：用于当所述信号被确定未按照预期被接收时指示潜在攻击的装置；以及用于使得合并了所述设备的系统中的系统性安全装置基于指示潜在攻击而执行至少一个安全相关动作的装置。

在此已采用的术语和表达用作对术语进行描述而非进行限制，并且在使用这种术语和表达时不旨在排除所示出且所描述的特征(或其多个部分)的任何等效物，并且认识到在权利要求书范围内的各种修改是有可能的。从而，权利要求书旨在涵盖所有这类等效方案。

Claims (24)

1.一种配备成用于通过信号延迟监测来进行攻击检测的设备，所述设备包括：

物理接口；

至少一个信号延迟监测器，所述至少一个信号延迟监测器被包括在所述物理接口中或至少耦合至所述物理接口，其中，所述至少一个信号监测器用于：判定正向所述设备传输的信号是否按照预期在所述物理接口处被接收；以及在所述信号被确定为未按照预期被接收时，指示潜在攻击。

2.如权利要求1所述的设备，其中，在判定所述信号是否按照预期被接收时，所述信号监测器用于判定所述信号是否在限定了预期接收所述信号的时间段的窗口内被接收。

3.如权利要求2所述的设备，其中，所述至少一个信号延迟监测器至少包括新数据接收监测模块和预期接收窗口监测模块。

4.如权利要求3所述的设备，其中，所述新数据接收模块包括由系统时钟启用以进行以下操作的逻辑：将所述物理接口中的数据输入的状态与所述数据输入的先前状态进行比较从而判定在所述数据输入处是否已接收到新数据。

5.如权利要求4所述的设备，其中，所述预期接收窗口监测模块包括由窗口时钟启用以进行以下操作的逻辑：判定所述数据输入的状态在所述预期接收窗口内是否变化。

6.如权利要求5所述的设备，其中，所述预期接收窗口是基于所述窗口时钟确定的。

7.如权利要求5所述的设备，其中，所述窗口时钟是经调谐脉冲时钟。

8.如权利要求5所述的设备，其中，在指示潜在攻击时，所述信号监测器用于基于对所述新数据接收监测模块的输出和所述预期接收窗口监测模块的输出执行逻辑与的逻辑来设定故障位。

9.如权利要求1所述的设备，进一步包括至少一个内部信号延迟监测器，所述至少一个内部信号延迟监测器用于：判定所述设备内正传输的信号是否按照预期在所述设备中被接收；以及在所述信号未按照预期被接收时，指示潜在攻击。

10.一种配备成用于通过信号延迟监测来进行攻击检测的系统，所述系统包括：

至少一个设备，包括物理接口和至少一个信号延迟监测器，所述至少一个信号延迟监测器被包括在所述物理接口中或至少耦合至所述物理接口耦合，其中，所述至少一个信号监测器用于：判定正向所述设备传输的信号是否按照预期在所述物理接口处被接收；以及在所述信号未按照预期被接收时，指示潜在攻击；

至少一个交互器，在所述至少一个设备外部，用于传输所述信号；以及

系统性安全装置，用于至少监测所述至少一个信号延迟监测器从而指示潜在攻击。

11.如权利要求10所述的系统，其中，在判定所述信号是否按照预期被接收时，所述信号监测器用于判定所述信号在限定了预期接收所述信号的时间段的窗口内是否被接收。

12.如权利要求10所述的系统，其中，所述信号监测器至少包括新数据接收监测模块和预期接收窗口监测模块。

13.如权利要求10所述的系统，其中，所述系统性安全装置用于基于确定了所述信号监测器已经指示潜在攻击而执行至少一个安全相关动作。

14.一种用于通过信号延迟监测来进行攻击检测的方法，所述方法包括：

确定系统时钟的状态启用了在设备中对数据的接收；

判定在所述设备中的物理接口处是否接收到新数据；以及

基于确定了在所述设备处接收到新数据而判定所述新数据在至少一个信号延迟监测器中是否按照预期被接收，所述至少一个信号延迟监测器被包括在所述物理接口中或至少耦合至所述物理接口。

15.如权利要求14所述的方法，其中，判定所述新数据在所述设备处是否被接收包括：将所述设备中的数据输入的状态与所述设备中的所述数据输入的先前状态进行比较。

16.如权利要求14所述的方法，其中，判定所述新数据是否按照预期被接收包括：判定所述信号在限定了预期接收所述信号的时间段的窗口内是否被接收。

17.如权利要求14所述的方法，其中，判定所述新数据是否按照预期被接收包括：对所述至少一个信号延迟监测器中的所述新数据接收监测模块的输出和所述至少一个信号延迟监测器中的所述预期接收窗口监测模块的输出执行逻辑与。

18.如权利要求14所述的方法，进一步包括：

当所述信号被确定为未按照预期被接收时，指示潜在攻击。

19.如权利要求18所述的方法，进一步包括：

使合并了所述设备的系统中的系统性安全装置基于指示潜在攻击而执行至少一个安全相关动作。

20.一种至少包括设备的系统，所述系统被安排成用于执行如权利要求14至19中任一项所述的方法。

21.一种芯片组，所述芯片组被安排用于执行如权利要求14至19中任一项所述的方法。

22.至少一种机器可读介质，所述至少一种机器可读介质包括多条指令，所述多条指令响应于在计算设备上被执行而使所述计算设备实施根据权利要求14至19中任一项所述的方法。

23.一种配置成用于通过信号延迟监测来进行攻击检测的设备，所述设备被安排成用于执行如权利要求14至19中任一项所述的方法。

24.一种设备，所述设备具有用于执行如权利要求14至19中任一项所述的方法的装置。