CN107994985B - 一种密码卡及对数据处理的方法 - Google Patents

Abstract

本发明公开了一种密码卡，包括FPGA芯片；FPGA芯片集成了NIOS II软核处理器；其中，NIOS II软核处理器用于执行管理操作。可以看出，FPGA芯片集成了NIOS II软核处理器，NIOS II软核处理器可以实现管理类的操作，可以有效解决FPGA芯片不善于执行管理类操作的问题，避免了FPGA芯片的劣势，使得密码卡能高效地对数据进行运算，实现管理类的功能。本发明还公开了一种对数据处理的方法，效果如上。

Description

一种密码卡及对数据处理的方法

技术领域

本发明涉及计算机安全通信领域，尤其涉及一种密码卡及对数据处理的方法。

背景技术

随着信息安全技术的发展，为了保障通信安全，在通信过程中，往往需要对数据加密，密码卡的应用也就越来越多。由于密码卡涉及到大量的计算，用户往往对信息加密的速度要求较高，因此越来越多的密码卡选用FPGA芯片作为主控芯片。由于FPGA芯片采用并行操作、流水控制的方式工作，因此可以显著提高密码卡的性能。

众所周知的是，FPGA芯片的运算能力强，对数据的处理速度快，但是却不适合做一些管理类的操作，例如，指定密钥的备份还原等。因此，基于FPGA芯片设计密码卡时，难度很大。

因此，如何设计密码卡，使得密码卡既能对数据进行运算，又能在不增加成本的前提下方便实现管理类的功能，是本领域技术人员目前需要解决的问题。

发明内容

本发明的目的是提供一种密码卡及对数据处理的方法，在不增加成本的前提下，使得密码卡既能对数据进行运算，又能实现管理类的功能。

为了解决上述技术问题，本发明提供一种密码卡，包括FPGA芯片；

所述FPGA芯片集成了NIOS II软核处理器；

其中，所述NIOS II软核处理器用于执行管理操作。

优选地，还包括USB控制芯片和USB母头，所述USB控制芯片的第一端与所述NIOSII软核处理器连接，所述USB控制芯片的第二端与所述USB母头的第一端连接，所述USB母头的第二端用于与智能密码钥匙连接；所述USB控制芯片用于被所述NIOS II软核处理器调用以控制所述智能密码钥匙芯片。

优选地，还包括与所述FPGA芯片连接的支持相应算法的芯片。

本发明还提供一种对数据处理的方法，基于上述任一种密码卡，包括：

FPGA芯片接收主机的请求并解析所述请求；

所述FPGA芯片判断所述请求中是否只包括管理操作；

如果是，NIOS II软核处理器执行相应的管理操作并将操作结果传送给主机。

优选地，所述FPGA芯片判断所述请求中是否只包括管理操作具体为：

所述FPGA芯片按照预定的协议判断通用总线对应的操作是否只包括管理操作；

其中，所述通用总线是PCI-E IP核根据PCI-E总线翻译得到的。

优选地，所述NIOS II软核处理器执行相应的管理操作并将操作结果传送给主机具体为：

所述NIOS II软核处理器根据所述请求调用相关的函数以调用存储于FLASH芯片中的与所述请求对应的加密后的密钥；

所述NIOS II软核处理器对加密后的密钥进行解密；

所述NIOS II软核处理器将解密后的密钥传送给所述主机。

优选地，所述NIOS II软核处理器执行相应的管理操作并将操作结果传送给主机具体为：

所述NIOS II软核处理器根据所述请求调用所述智能密码钥匙芯片以便所述智能密码钥匙芯片对接收到的用户口令进行验证；

接收智能密码钥匙芯片对所述用户口令的验证结果，并将验证结果传送给所述主机。

优选地，所述FPGA芯片判断出所述请求中不是只包括管理操作后，进一步包括：

所述FPGA芯片判断所述请求中是否只包括运算操作；

如果是，所述FPGA芯片根据所述请求调用相应的算法模块对所述数据进行运算并将运算后的数据发送给所述主机。

优选地，所述FPFA芯片判断出所述请求中不是只包括运算操作后，进一步包括：

所述NIOS II软核处理器根据所述请求调用相关的函数以执行管理操作并将操作结果发送给所述FPGA芯片；

所述FPGA芯片根据接收到的所述操作结果对所述数据进行运算并将运算后的数据发送给所述主机。

本发明提供的密码卡，包括FPGA芯片；FPGA芯片集成了NIOSII软核处理器；其中，NIOS II软核处理器用于执行管理操作。可以看出，FPGA芯片集成了NIOS II软核处理器，NIOS II软核处理器可以实现管理类的操作，可以有效解决FPGA芯片不善于执行管理类操作的问题，避免了FPGA芯片的劣势，在不增加成本的前提下，使得密码卡能高效地对数据进行运算，实现管理类的功能。本发明提供的对数据处理的方法，效果如上。

附图说明

为了更清楚地说明本发明实施例，下面将对实施例中所需要使用的附图做简单的介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他附图。

图1为本发明实施例提供的一种密码卡的结构图；

图2为本发明实施例提供的另一种密码卡的结构图；

图3为本发明实施例提供的一种密码卡的总体结构图；

图4为本发明实施例提供的一种对数据处理的方法的流程图；

图5为本发明实施例提供的另一种对数据处理的方法的流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部实施例。基于本发明中的实施例，本领域普通技术人员在没有付出创造性劳动的前提下，所获得的所有其他实施例，都属于本发明保护范围。

本发明的目的是提供一种密码卡及对数据处理的方法，在不增加成本的前提下，使得密码卡既能对数据进行运算，又能实现管理类的功能。

为了使本领域的技术人员更好的理解本发明的技术方案，下面结合附图和具体实施方式对本发明作进一步的详细说明。

请参考图1，图1为本发明实施例提供的一种密码卡的结构图。包括FPGA芯片10。

FPGA芯片10集成了NIOS II软核处理器11。其中，NIOS II软核处理器11用于执行管理操作。

本实施例提供的密码卡包括FPGA芯片10，FPGA芯片10中集成了NIOS II软核处理器11，NIOS II软核处理器11是基于FPGA平台通过软件实现的一个处理器。NIOS II软核处理器11与FPGA芯片10的通信很方便，可以自主定义通信方式，也可以由FPGA芯片10直接将数据写到NIOS II软核处理器11的RAM中。FPGA芯片10在生成NIOS II软核处理器11时配置NIOS II软核处理器11的引脚，FPGA芯片10可以与NIOS II软核处理器11共用NIOS II软核处理器11的引脚。NIOS II软核处理器11执行管理操作时，具体可以通过调用密码卡的FLASH芯片实现。

优选地，对于运算操作，可以由FPGA芯片10执行。运算操作包括对称算法、非对称算法、HASH算法等计算的操作。需要说明的是，这里提到的FPGA芯片10不包括NIOS II软核处理器11，NIOS II软核处理器11可以视为与FPGA芯片10不同的处理器。

本发明提供的密码卡，包括FPGA芯片；FPGA芯片集成了NIOS II软核处理器，其中，NIOS II软核处理器用于执行管理操作。可以看出，FPGA芯片集成了NIOS II软核处理器，NIOS II软核处理器可以实现管理类的操作，可以有效解决FPGA芯片不善于执行管理类操作的问题，FPGA芯片集成NIOS II软核处理器后避免了FPGA芯片的劣势，使得密码卡能高效地对数据进行运算，实现管理类的功能。

图2为本发明实施例提供的另一种密码卡的结构图。

在上述实施例的基础上，为了能够实现用户权限控制的功能，作为优选地实施方式，如图2所示，密码卡还包括USB控制芯片20和USB母头21，USB控制芯片20的第一端与NIOSII软核处理器11连接，USB控制芯片20的第二端与USB母头21的第一端连接，USB母头21的第二端用于与智能密码钥匙连接；USB控制芯片20用于被NIOS II软核处理器11调用以控制智能密码钥匙芯片。

当需要判断用户是否有权限操作密码卡时，密码卡接收用户输入的口令，例如，用户名及密码。NIOS II软核处理器11调用USB控制芯片20，USB控制芯片20控制智能密码钥匙芯片对用户口令进行验证，智能密码钥匙芯片验证后，通过USB母头21及USB控制芯片20将验证结果发送给NIOS II软核处理器11，NIOS II软核处理器11根据验证结果判断是否执行后续的操作。

在上述实施例的基础上，为了能够使密码卡支持相应算法，作为优选地实施方式，还包括与FPGA芯片10连接的芯片。可以理解的是，该芯片可以支持国密算法，也可以是非国密算法，另外，芯片可以是外设的。在一种具体实施例中，该芯片具体为支持SM1算法的芯片，如图2所示，还包括与FPGA芯片10连接的支持SM1算法的芯片22。

由于SM1国密算法是非公开的，所以，要想在密码卡上实现SM1算法的功能，还需要借助于专门的支持SM1算法的芯片22。当需要用SM1算法对数据进行加解密时，FPGA芯片10调用支持SM1算法的芯片22，支持SM1算法的芯片22可以在芯片内部对数据进行SM1加解密算法，其中，加解密算法可以是ECB模式，也可以是CBC模式，本发明对此不作限定。

在上述实施例的基础上，为了能够使密码卡支持SM2国密算法，作为优选地实施方式，还包括与FPGA芯片10连接的支持SM2算法的芯片23。

虽然SM2国密算法已经公开，但是SM2国密算法非常复杂，在FPGA芯片10上实现起来较麻烦，所以要想实现SM2国密算法的功能，还需要借助专门的支持SM2算法的芯片23。当需要用SM2算法对数据进行加解密、签名或验证签名时，FPGA芯片10调用支持SM2算法的芯片23，支持SM2算法的芯片23可以在芯片内部对数据进行加解密、签名或验证签名。

图3为本发明实施例提供的一种密码卡的总体结构图。

如图3所示，图3为本发明提供的密码卡是最优的实施方式，包括：

FPGA芯片10、SPI FLASH芯片33，FPGA芯片10集成了NIOSII软核处理器11，SPIFLASH芯片33与NIOS II软核处理器11连接并用于存储文件系统、密钥、配置信息等，其中，NIOS II软核处理器11用于执行管理操作。

SPI FLASH芯片33中可以存储有文件系统，密钥和配置信息等。SPI FLASH芯片33可以与NIOS II软核处理器11的引脚连接，这样SPI FLASH芯片33中存储的信息就可以由NIOS II软核处理器11调用，当需要配置密码卡信息或执行密钥相关操作或文件系统操作，可以由NIOS II软核处理器11调用SPI FLASH芯片33中的信息，执行相应的操作。其中，配置密码卡的信息具体可以是配置密码卡的序列号，支持的算法，密码卡中的密钥数量，用户空间大小等。密钥相关的操作可以是密钥的产生，导入，导出，销毁。文件系统操作可以是建立文件，写入文件，读取文件，删除文件等操作。

SPI FLASH芯片33是一种串行口芯片，通过SPI接口与其他芯片连接。可以理解的是，SPI FLASH芯片33的引脚相对较少，因此，可以减小芯片封装的大小，从而，可以减小密码卡的尺寸。需要说明的是，图3中的SPI FLASH芯片33还可以是其他类型的FLASH芯片，例如，NOR FLASH芯片，本发明对此不作限定。

与FPGA芯片10连接的支持SM1算法的芯片22和支持SM2算法的芯片23，这样，密码卡就可以支持国密SM1算法和SM2算法。

第一端与NIOS II软核处理器11连接的USB控制芯片21，USB控制芯片21的第二端与USB母头21的第一端连接，USB母头21的第二端用于与智能密码钥匙连接，USB控制芯片20用于被NIOS II软核处理器11调用，从而控制智能密码钥匙芯片。这样密钥卡与智能密码钥匙连接后，当用户需要登录或退出时，就可以根据用户输入的信息实现用户权限的管理。

当需要对文件进行备份或还原操作时，用户输入口令信息，由NIOS II软核处理器11调用智能密码钥匙芯片判断用户是否具有备份还原的权限，如果有，再调用SPI FLASH芯片33实现文件系统的备份或还原。

第一端与FPGA芯片10连接的CPLD芯片30，CPLD芯片30的第二端与CFI FLASH芯片31的第一端连接，CFI FLASH芯片31的第二端与NIOS II软核处理器11连接。CFI FLASH芯片31用于存储控制FPGA芯片10运行的*.pof类型的文件和控制NIOS II软核处理器11运行的*.elf文件，其中，*.pof类型的文件通过CPLD芯片30烧写和读取，*.elf文件可以直接烧写到NISO II软核处理器11中。CPLD芯片30作为FPGA芯片10快速被动并行配置方式的控制芯片，读取CFI FLASH芯片31中的*.pof类型的文件，并载入到FPGA芯片10中。

当需要执行软件升级操作时，升级CFI FLASH芯片31中存储的FPGA芯片10或NIOSII软核处理器11的运行程序时，可以由NIOSII软核处理器11调用CFI FLASH芯片31，并实现相应的操作以实现软件的升级及更新。

与FPGA芯片10连接的第一随机数芯片32和第二随机数芯片34，均用于在需要的情况下产生随机数，第一随机数芯片32和第二随机数芯片34均由FPGA芯片10调用。

PCI-E X8接口35与FPGA芯片10连接，这样密码卡就可以通过PCI-E X8接口35与主机进行连接。具体地，PCI-E X8接口35可以与FPGA芯片10中的PCI-E IP核连接，PCI-E IP核是基于FPGA平台开发并用于接收主机发送的命令并对命令进行翻译及解析。

这样，密码卡就可以接收主机的命令，NIOS II软核处理器执行管理操作，其他操作可以由FPGA芯片执行，既发挥了FPGA芯片对数据运算的优势，FPGA芯片集成NIOS II软核处理器后又避免了FPGA芯片的劣势，使得密码卡既能对数据进行运算，又能实现管理类的功能。

上文中对于密码卡的实施例进行了详细描述，基于上述实施例描述的密码卡，本发明实施例提供一种与该密码卡对应的对数据处理的方法。由于方法部分的实施例与密码卡部分的实施例相互对应，因此方法部分的实施例请参照密码卡部分的实施例描述，这里不再详细赘述。

图4为本发明实施例提供的一种对数据处理的方法的流程图。

如图4所示，对数据处理的方法包括：

S40：FPGA芯片接收主机的请求并解析请求。

主机可以通过API驱动将请求发送给密码卡，FPGA芯片与主机通过PCI-E协议进行通信。

S41：FPGA芯片判断请求中是否只包括管理操作。

FPGA芯片根据PCI-E通信协议对接收到的请求进行解析并判断是否只包括管理操作。

如果是，进入步骤S41。

S41：NIOS II软核处理器执行相应的管理操作并将操作结果传送给主机。

FPGA芯片将请求发送给NIOS II软核处理器，并向NIOS II软核处理器发送中断，NIOS II软核处理器执行管理操作。当NIOS II软核处理器执行完管理操作后，通过NIOS II软核处理器的接口向主机发送中断，主机读取操作结果。

管理类的操作可以是配置密码卡信息，例如配置密码卡的序列号，支持的算法，密码卡中的密钥数量，用户空间大小等。也可以是权限管理操作，例如管理员或操作员的登录，退出。也可以是密钥相关操作，例如密钥的产生，导入，导出，销毁。还可以是文件系统操作，例如文件系统的建立，写入，读取，删除等操作。还可以是备份还原操作，根据预先设置的密钥对文件系统进行备份或将备份后的文件系统进行还原。还可以是软件升级操作，升级CFI FLASH芯片中存储的FPGA芯片或NIOS II软核处理器的运行程序。

本实施例提供的对数据处理的方法，FPGA芯片判断主机的请求的类型，并由NIOSII软核处理器执行管理操作，这样，就可以有效避免FPGA芯片不善于执行管理操作的缺点。

在上述实施例的基础上，为了更加准确地判断请求的类型，作为优选地实施方式，FPGA芯片判断请求中是否只包括管理操作具体为，FPGA芯片按照预定的协议判断通用总线对应的操作是否只包括管理操作；其中，通用总线是PCI-E IP核根据PCI-E总线翻译得到的。

PCI-E IP核将PCI-E总线翻译成通用总线，通用总线包括地址总线，数据总线和控制总线，PCI-E IP核通过预定的协议将通用总线进一步翻译为与算法相关的命令，参数，数据等。FPGA芯片通过命令与参数来判断当前运算是否只包括管理操作。

在上述实施例的基础上，当需要将密码卡中的密钥发送给主机时，NIOS II软核处理器执行相应的管理操作并将操作结果传送给主机具体为，NIOS II软核处理器根据请求调用相关的函数以调用存储于FLASH芯片中的对应的加密后的密钥，NIOS II软核处理器对加密后的密钥进行解密，NIOS II软核处理器将解密后的密钥传送给主机。

当请求为调用密码卡中保存的密钥时，NIOS II软核处理器可以根据请求中包含的密钥号调用相关的函数，调用存储于FLASH芯片中对应的加密后的密钥，并对加密的密钥进行解密，即可得到密钥，再将密钥传送给主机。

在上述实施例的基础上，当密码卡需要对用户进行验证以判断用户是否有权限操作密码卡时，NIOS II软核处理器执行相应的管理操作并将操作结果传送给主机具体为，NIOS II软核处理器根据请求调用智能密码钥匙芯片以便智能密码钥匙对接收到的用户口令进行验证，接收智能密码钥匙对用户口令的验证结果，并将验证结果发送给主机。

当用户需要登录密码卡对密码卡进行操作时，接收用户输入的用户口令，用户口令可以是用户名及密码，也可以是其他的用户信息，本发明对用户口令的具体类型不作限定。NIOS II调用智能密码钥匙芯片对用户口令进行验证，并将智能密码钥匙芯片的验证结果传送给主机。

图5为本发明实施例提供的另一种对数据处理的方法的流程图。

如图5所示，在上述实施例的基础上，为了使密码卡更加高效地完成运算操作，FPGA芯片判断出请求中不是只包括管理操作后，进一步包括：

S50：FPGA芯片判断请求中是否只包括运算操作。

FPGA芯片再次根据PCI-E通信协议对接收到的请求进行解析，判断请求是否只包括运算操作。

如果是，进入步骤S51。

S51：FPGA芯片根据请求调用相应的算法模块对数据进行运算并将运算后的数据发送给主机。

提前保存多个算法模块，FPGA芯片根据请求调用相应的算法模块对数据进行运算操作，执行完运算操作后，可以向主机发送中断，从而主机开始接收数据。

本实施例提供的对数据处理的方法，若请求中只包括管理操作，由NIOS II软核处理器执行管理操作。若请求中只包括运算操作，由FPGA芯片执行运算操作。NIOS II软核处理器更善于执行管理操作，FPGA芯片更善于执行运算操作，因此可以更加有效且准确地对数据进行处理。

在上述实施例的基础上，为了更加有效地处理各种类型的请求，作为优选地实施方式，如图5所示，FPFA芯片判断出所述请求中不是只包括运算操作后，进一步包括：

S52：NIOS II软核处理器根据请求调用相关的函数以执行管理操作并将操作结果发送给FPGA芯片。

如果请求既不是只包括管理操作，也不是只包括运算操作，则说明请求中既包括管理操作，又包括运算操作，例如，算法需要用FLASH芯片中保存的密钥对数据进行SM4算法，调用密钥的过程属于管理操作，对数据进行SM4算法的过程属于运算操作。

FPGA芯片可以向将请求中管理操作的部分发送给NIOS II软核处理器，并向NIOSII软核处理器发送中断。NIOS II根据请求调用相应的程序执行管理操作，得到操作结果后，可以向FPGA芯片发送中断，并将信息发送给FPGA芯片。

针对上述例子，NIOS II软核处理器可以先调用FLASH芯片中保存的密钥，并将得到的密钥发送给FPGA芯片。

S53：FPGA芯片根据接收到的操作结果对数据进行运算并将运算后的数据发送给主机。

FPGA芯片接收到信息后，根据得到的信息对数据进行运算，运算完成后，可以通过PCI-E IP核向主机发送中断，从而主机读取运算后的数据。

对于上述例子，FPGA芯片根据得到的密钥对数据进行SM4算法运算。

本实施例提供的对数据处理的方法，对于接收的请求，管理操作由NIOS II软核处理器执行，运算操作由FPGA芯片执行，充分发挥了NIOS II软核处理器善于处理管理操作和FPGA芯片善于处理运算操作的优势，又避免了各自的劣势，可以更加高效、准确地对数据进行处理。

以上对本发明所提供的密码卡和对数据处理的方法进行了详细介绍。说明书中各个实施例采用递进的方式描述，每个实施例重点说明都是与其它实施例的不同之处，各个实施例之间相同相似部分互相参见即可。

应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以对本发明进行若干改进和修饰，这些改进和修饰也落入本发明权利要求的保护范围内。

还需要说明的是，在本说明书中，诸如第一和第二之类的关系术语仅仅用来将一个实体或者操作与另一个实体或者操作区分开来，而不一定要求或者暗示这些实体或者操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何变体意在涵盖非排他性的包含，从而使得包括一系列的要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其它要素，或者还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

Claims (6)

1.一种对数据处理的方法，基于密码卡，该密码卡包括FPGA芯片；所述FPGA芯片集成了NIOS II软核处理器；其中，所述NIOS II软核处理器用于执行管理操作，所述FPGA芯片用于执行运算类操作；还包括USB控制芯片和USB母头，所述USB控制芯片的第一端与所述NIOSII软核处理器连接，所述USB控制芯片的第二端与所述USB母头的第一端连接，所述USB母头的第二端用于与智能密码钥匙连接；所述USB控制芯片用于被所述NIOS II软核处理器调用以控制所述智能密码钥匙芯片；

其中，所述USB控制芯片控制所述智能密码钥匙芯片对用户口令进行验证，所述智能密码钥匙芯片验证后，通过所述USB母头及所述USB控制芯片将验证结果发送给所述NIOS II软核处理器，所述NIOS II软核处理器根据所述验证结果判断是否执行后续的操作；

还包括与所述FPGA芯片连接的支持相应算法的芯片；

其特征在于，该方法包括：

FPGA芯片接收主机的请求并解析所述请求；

所述FPGA芯片判断所述请求中是否只包括管理操作；

如果是，NIOS II软核处理器执行相应的管理操作并将操作结果传送给主机。

2.根据权利要求1所述的方法，其特征在于，所述FPGA芯片判断所述请求中是否只包括管理操作具体为：

所述FPGA芯片按照预定的协议判断通用总线对应的操作是否只包括管理操作；

其中，所述通用总线是PCI-E IP核根据PCI-E总线翻译得到的。

3.根据权利要求1所述的方法，其特征在于，所述NIOS II软核处理器执行相应的管理操作并将操作结果传送给主机具体为：

所述NIOS II软核处理器根据所述请求调用相关的函数以调用存储于FLASH芯片中的与所述请求对应的加密后的密钥；

所述NIOS II软核处理器对加密后的所述密钥进行解密；

所述NIOS II软核处理器将解密后的所述密钥传送给所述主机。

4.根据权利要求1所述的方法，其特征在于，所述NIOS II软核处理器执行相应的管理操作并将操作结果传送给主机具体为：

所述NIOS II软核处理器根据所述请求调用智能密码钥匙芯片以便所述智能密码钥匙芯片对接收到的用户口令进行验证；

接收所述智能密码钥匙芯片对所述用户口令的验证结果，并将所述验证结果传送给所述主机。

5.根据权利要求1所述的方法，其特征在于，所述FPGA芯片判断出所述请求中不是只包括管理操作后，进一步包括：

所述FPGA芯片判断所述请求中是否只包括运算操作；

如果是，所述FPGA芯片根据所述请求调用相应的算法模块对所述数据进行运算并将运算后的数据发送给所述主机。

6.根据权利要求4所述的方法，其特征在于，所述FPGA芯片判断出所述请求中不是只包括运算操作后，进一步包括：

所述NIOS II软核处理器根据所述请求调用相关的函数以执行管理操作并将操作结果发送给所述FPGA芯片；

所述FPGA芯片根据接收到的所述操作结果对所述数据进行运算并将运算后的数据发送给所述主机。