CN108875412A - 一种inSE安全模块 - Google Patents

Abstract

一种inSE安全模块，包括内置安全模块，所述内置安全模块与主芯片集成于同一安全主芯片内，所述内置安全模块与主芯片通过总线连接；外置存储模块，用于存储数据，所述外置存储模块外置于所述安全主芯片；其中，所述内置安全模块根据预设协议访问和/或读写所述外置存储模块。通过本发明提供的技术方案，所述inSE安全模块通过内外结合的方式与所述主芯片进行融合但又相对独立，并通过所述内置安全模块来控制所述外置存储模块，以共同完成安全应用。

Description

一种inSE安全模块

技术领域

本发明涉及安全芯片领域，具体地涉及一种inSE安全模块。

背景技术

移动终端中往往包括用于实现安全功能的安全模块，其往往基于存储器实现，尤其是闪存(Flash)。由于主芯片的半导体工艺与闪存存储器有很大不同，导致存储器无法融合进主芯片中。现有的解决方案通常是采用主芯片加外部独立安全模块的工作方式。但是，这样的芯片在实际生产中成本较高，而且，安全模块中的存储器容量越大其所占面积也越大，造成外部独立安全模块中的存储器大小瓶颈。

随着移动终端的发展和多应用安全需求，迫切需要一种能够缩小芯片面积，降低成本，同时还能实现安全多应用，提高灵活性的安全模块，而现有技术无法满足这一需求。

发明内容

本发明解决的技术问题是如何解决主芯片无法和安全芯片直接融合的技术问题。

为解决上述技术问题，本发明实施例提供一种inSE安全模块，包括：内置安全模块，所述内置安全模块与主芯片集成于同一安全主芯片内，所述内置安全模块与主芯片通过总线连接；外置存储模块，用于存储数据，所述外置存储模块外置于所述安全主芯片；其中，所述内置安全模块根据预设协议访问和/或读写所述外置存储模块。

可选的，所述内置安全模块包括：主控制器，所述主控制器用于控制对所述外置存储模块的访问和/或读写；至少一个接口，所述主控制器经由所述至少一个接口连接所述外置存储模块。

可选的，所述内置安全模块还包括：加密协处理器，用于对所述主控制器与所述外置存储模块之间的交互数据的至少一部分进行加密。

可选的，所述外置存储模块为存储器，所述存储器包括：安全存储区，所述安全存储区仅允许所述内置安全模块访问和/或读写。

可选的，所述存储器还包括普通存储区，所述普通存储区允许任何模块访问和/或读写。

可选的，所述外置存储模块为安全存储器，所述安全存储器与所述内置安全模块通过接口连接。

可选的，当所述安全存储器验证通过所述内置安全模块发送的带认证的指令时，允许所述内置安全模块访问所述安全存储器。

可选的，所述内置安全模块使用与所述安全存储器一致的共享密钥读写所述安全存储器中存储的数据。

可选的，所述外置存储模块为安全模块，所述安全模块与所述内置安全模块通过接口连接。

可选的，当所述安全模块验证通过所述内置安全模块发送的带第一认证的第一指令，并且所述内置安全模块验证通过所述安全模块发送的带第二认证的第二指令时，允许所述内置安全模块访问所述安全模块。

可选的，所述内置安全模块使用与所述安全模块一致的共享密钥读写所述安全模块中存储的数据。

可选的，所述inSE安全模块还包括外置协处理模块，外置于所述安全主芯片并通过接口与所述内置安全模块连接，所述内置安全模块经由所述外置协处理模块采集外部数据。

可选的，所述外置协处理模块包括以下模块中的至少一项：近场通信控制器；生物特征采集模块；带活体检测的指纹模块；带安全协议的指纹模块；蓝牙控制器和安全蓝牙模块；USB控制器和安全USB模块。

与现有技术相比，本发明实施例的技术方案具有以下有益效果：

本发明实施例的技术方案提供了一种inSE安全模块，所述inSE安全模块包括内置安全模块和外置存储模块，其中，所述内置安全模块与主芯片集成于同一安全主芯片内，所述内置安全模块与主芯片通过总线连接；所述外部存储模块用于存储数据，所述外置存储模块外置于所述安全主芯片，并且，所述内置安全模块根据预设协议访问和/或读写所述外置存储模块。较之现有技术中采用主芯片加外部独立安全模块的技术方案，本发明实施例提供的inSE安全模块将负责安全处理的所述内置安全模块与所述主芯片进行融合，将负责存储数据的外置存储模块独立出来，从而通过所述内置安全模块对所述外置存储模块进行特定的安全加密和加扰控制，能够有效地降低成本，实现安全多应用，提高所述inSE安全模块的灵活性。

进一步，所述内置安全模块包括主控制器，所述主控制器用于控制对所述外置存储模块的访问和/或读写；以及至少一个接口，所述主控制器经由所述至少一个接口连接所述外置存储模块。本领域技术人员理解，所述主控制器可以通过所述至少一个接口控制所述外置存储模块，以根据所述预设协议访问和/或读写所述外置存储模块。

附图说明

图1是本发明第一实施例的一种inSE安全模块的结构示意图；

图2是本发明第一实施例中所述内置安全模块的结构示意图；

图3是本发明第二实施例的一种inSE安全模块的结构示意图。

具体实施方式

本领域技术人员理解，如背景技术所言，现有的安全主芯片一般可以包括两个独立的部分，其一是采用传统的逻辑芯片工艺制造集成的主芯片，由于逻辑芯片的制造工艺已日趋成熟，现有的主芯片可以做的非常小，例如，16nm；其二则是带有安全加密和加扰控制功能的安全芯片，所述安全芯片可以包括闪存(Flash)存储器以及安全模块，所述主芯片通过所述安全模块来安全的访问和/或读写所述闪存存储器中存储的数据，以保护所述闪存存储器中存储的数据不会被未经认证的第三方非法获取。

本申请发明人通过分析发现，现有的安全主芯片之所以必须分为独立的两个部分，是由于所述安全芯片和所述主芯片的制造工艺不同，现有的主芯片无法和安全芯片直接融合造成的。但是，这样的安全主芯片显然影响了安全主芯片的集成度，而且，由于安全模块中的存储器容量越大越占面积，这样的方案在无形中也对安全模块中存储器的容量提升造成了制约，限制了安全模块的进一步发展，导致基于现有技术的安全主芯片无法适应更多的安全应用场景。

综上所述，如何实现安全芯片和主芯片的融合也就成为了当前安全主芯片的一大发展趋势。例如，现有的一种inSE模块通过在主芯片中设置专门的区域放置闪存存储器，以做到所述闪存存储器和主芯片的整合。但是，这样的inSE模块中，所述闪存存储器和所述主芯片只是机械的合并到一起，所述闪存存储器无法有效保护自身数据不被未经认证的第三方非法获取；在主芯片中塞闪存存储器的方式也仍会对闪存存储器的容量提升造成很大制约。本领域技术人员理解，随着移动终端的发展和多应用安全需求，现有的技术方案无法提供一种在缩小芯片面积、降低成本的同时，还能实现安全多应用，提高灵活性的安全模块。

为了解决这一技术问题，本发明实施例的技术方案提供了一种inSE安全模块，所述inSE安全模块包括内置安全模块和外置存储模块，其中，所述内置安全模块与主芯片集成于同一安全主芯片内，所述内置安全模块与主芯片通过总线连接；所述外部存储模块用于存储数据，所述外置存储模块外置于所述安全主芯片，并且，所述内置安全模块根据预设协议访问和/或读写所述外置存储模块。

本领域技术人员理解，本发明实施例提供的inSE安全模块将负责安全处理的所述内置安全模块与所述主芯片进行融合，将负责存储数据的外置存储模块独立出来，从而通过所述内置安全模块对所述外置存储模块进行特定的安全加密和加扰控制，能够有效地降低成本，实现安全多应用，提高所述inSE安全模块的灵活性。

进一步，所述内置安全模块包括主控制器，所述主控制器用于控制对所述外置存储模块的访问和/或读写；以及至少一个接口，所述主控制器经由所述至少一个接口连接所述外置存储模块。本领域技术人员理解，所述主控制器可以通过所述至少一个接口控制所述外置存储模块，以根据所述预设协议访问和/或读写所述外置存储模块。

为使本发明的上述目的、特征和有益效果能够更为明显易懂，下面结合附图对本发明的具体实施例做详细的说明。

图1是本发明的第一实施例的一种inSE安全模块的结构示意图。其中，所述inSE安全模块可以是内置型安全模块(in Security Element)的简称。

具体地，结合图1示出的结构示意图，所述inSE安全模块1可以包括内置安全模块22，所述内置安全模块22与主芯片21集成于同一安全主芯片2内，所述内置安全模块22与主芯片21通过总线23连接。进一步地，所述inSE安全模块1还可以包括外置存储模块3，用于存储数据，所述外置存储模块3外置于所述安全主芯片2。优选地，所述内置安全模块22根据预设协议访问和/或读写所述外置存储模块3。

进一步地，所述内置安全模块22可以与所述主芯片21的半导体工艺一致，使得所述内置安全模块22可以作为所述主芯片21内的一个单元。本领域技术人员理解，本实施例的技术方案通过将所述内置安全模块22与所述主芯片21进行一体化设计，从而得到区别于现有技术的安全主芯片2。

优选地，所述总线23可以是高速总线，所述内置安全模块22可以通过所述高速总线与所述主芯片21连接，以提高数据传输速度。

在一个优选例中，图2示出了所述内置安全模块22的内部结构，其中，所述内置安全模块22可以包括具有唯一身份(identification，简称ID)的主控制器221，所述主控制器221用于控制对所述外置存储模块3的访问和/或读写；所述内置安全模块22还可以包括至少一个接口222，所述主控制器221经由所述至少一个接口222连接所述外置存储模块3。

优选地，所述至少一个接口222可以是串行外设(Serial Peripheral Interface，简称SPI)接口、同步队列串行(Queued Serial Peripheral Interface，简称QSPI)接口、符合国际标准化组织(International Organization for Standardization，简称ISO)7816号协议的ISO7816接口、两线式串行总线(Inter-Integrated Circuit，简称I2C)接口、I3C接口(安全简化的I2C接口，所述I3C接口结合了所述I2C接口和SPI接口的多种特性)、单线通讯协定(Single Wire Protocol，简称SWP)接口等中的任一种或任多种。

本领域技术人员理解，所述至少一个接口222的数量以及在所述内置安全模块22中的位置分布可以不局限于图2所示出的形式，在实际应用中，本领域技术人员可以根据实际需要变化出更多实施例，在此不予赘述。

进一步地，所述内置安全模块22还可以包括独立的启动存储器(BOOTROM，图中未示出)、独立的一次性可编程存储器(One Time Programme，简称OTP，图中未示出)、独立的参数随机存取存储器(Parameter Random Access Memory，简称PRAM，图中未示出)等。进一步地，所述内置安全模块22还可以包括实时时钟模块(图中未示出)。

例如，所述内置安全模块22可以通过所述启动存储器启动，并根据所述一次性可编程存储器获取配置参数和主密钥，所述内置安全模块22可以调取所述外置存储模块3中的代码校验、解密并运行，在所述参数随机存取存储器中进行安全计算。

进一步地，所述内置安全模块22还可以包括加密协处理器223，用于对所述主控制器221与所述外置存储模块3之间的交互数据的至少一部分进行加密。例如，所述加密协处理器223可以通过电路实现国际标准的加密算法，以快速高效的对所述交互数据的至少一部分进行加密处理。优选地，所述加密协处理器223支持的算法包括但不限于数据加密标准(Data Encryption Standard，简称DES)算法(也可称为数据加密算法Data EncryptionAlgorithm,简称DEA)，高级加密标准(Advanced Encryption Standard，简称AES)算法，RSA公钥加密算法(Ron Rivest，Adi Shamir，Len Adleman algorithm，简称RSA算法)，椭圆加密(Elliptic Curves Cryptography，简称ECC)算法，安全哈希算法(Secure HashAlgorithm，简称SHA)，循环冗余校验(Cyclic Redundancy Check,简称CRC)算法，国密SM1、SM2、SM3、SM4、SM7、SM9算法。

进一步地，所述内置安全模块22可以工作在可信平台模块(Trusted PlatformModule，简称TPM)或者可信密码模块(Trusted Cryptography Module，简称TCM)的模式下，以配合所述主芯片21完成指令校验和安全控制工作。

进一步地，所述内置安全模块22还可以和具有信任区(Trust Zone)的其他处理器内核进行安全通信，以配合可信执行环境(Trusted execution environment，简称TEE)进行辅助安全计算。

在一个典型的应用场景中，所述外置存储模块3可以是存储器(图中未示出)，其中，所述存储器可以包括安全存储区，所述安全存储区仅允许所述内置安全模块22访问和/或读写，例如，所述安全存储区中的数据可以采用加密和分散方式存储数据，并且所述数据只能由所述内置安全模块22进行访问和读写。进一步地，所述存储器还可以包括普通存储区，所述普通存储区允许任何模块访问和/或读写，其中，所述任何模块可以是所述内置安全模块22，还可以是其他能够与所述普通存储区进行数据传输的模块。优选地，所述存储器可以通过所述SPI接口或者QSPI接口与所述内置安全模块22连接，以进行数据传输。

在另一个典型的应用场景中，所述外置存储模块3还可以是安全存储器(图中未示出)，所述安全存储器与所述内置安全模块22通过接口连接。优选地，所述接口可以是SPI接口、QSPI接口或者I3C接口。例如，当所述内置安全模块22需要访问所述安全存储器时，可以与所述安全存储器进行认证，在认证完成后，所述内置安全模块22可以向所述安全存储器发送带认证的指令，当所述安全存储器验证通过所述内置安全模块22发送的带认证的指令时，所述安全存储器允许所述内置安全模块22访问所述安全存储器。又例如，当所述内置安全模块22需要读/写所述安全存储器中存储的数据时，可以使用与所述安全存储器一致的共享密钥读写所述安全存储器中存储的数据。优选地，所述共享密钥可以由所述内置安全模块22和安全存储器各自根据相同的加解密算法生成并保持一致。

进一步地，所述共享密钥可以基于所述加密协处理器223提供的加解密算法生成。

优选地，所述安全存储器可以是带加扰控制器的大容量闪存(Flash)，并由所述内置安全模块22进行控制。

在一个变化例中，所述认证动作也可以预先完成，例如，所述内置安全模块22和所述安全存储器在上电时根据上电特性匹配完成所述认证动作，当所述内置安全模块22需要访问所述安全存储器时，可以直接向所述安全存储器发送带认证的指令。

在又一个典型的应用场景中，所述外置存储模块3还可以是安全模块(图中未示出)，所述安全模块与内置安全模块22通过接口连接。优选地，所述接口可以是SPI接口、QSPI接口、I3C接口、I2C接口、ISO7816接口或者SWP接口。本领域技术人员理解，与前述安全存储器的区别在于，本应用场景中的所述安全模块可以是独立的安全元件，类似于智能卡芯片，所述安全模块内部可以运行特定的操作系统(Operating System，简称OS)和应用程序，并且需要与所述内置安全模块22进行双向认证才允许所述内置安全模块22访问，从而与所述内置安全模块22共同实现更复杂的安全应用。

例如，当所述安全模块验证通过所述内置安全模块22发送的带第一认证的第一指令，并且所述内置安全模块22验证通过所述安全模块发送的带第二认证的第二指令时，允许所述内置安全模块22访问所述安全模块。进一步地，所述内置安全模块22使用与所述安全模块一致的共享密钥读写所述安全模块中存储的数据。

进一步地，所述共享密钥可以由所述内置安全模块22和安全模块各自根据相同的加解密算法生成并保持一致。

由上，采用第一实施例的方案，将安全芯片的安全部分(即逻辑部分)放在所述安全主芯片中，并对放在安全主芯片外部的外置存储模块(如闪存Flash)增加保护机制，使得所述inSE安全模块能够在每次上电时加扰保护自己。本领域技术人员理解，与现有技术的区别在于，本实施例所述inSE安全模块的部分模块(如所述内置安全模块)与主芯片进行融合，所述inSE安全模块的剩余部分(如所述外置存储模块)则与所述主芯片相对独立，从而形成内外结合的安全模块，通过融合部分取控制独立部分的运作，共同完成安全应用。

图3是本发明第二实施例的一种inSE安全模块的结构示意图。其中，与上述图1所示inSE安全模块1的区别在于，图3所示inSE安全模块1还包括外置协处理模块4，所述外置协处理模块4外置于所述安全主芯片2并通过接口与所述内置安全模块22连接，所述内置安全模块22经由所述外置协处理模块4采集外部数据。例如，在金融类应用场景中，可以基于所述外置协处理模块4实现所述inSE安全模块1与外部设备的安全交互。

优选地，所述内置安全模块22可以通过SPI接口或者SWP接口等接口与所述外置协处理模块4连接。

在一个优选例中，所述内置安全模块22可以包括三个外部SPI接口，所述三个外部SPI接口中的一个外部SPI接口用于连接所述外置存储模块3(如安全存储器)，所述三个外部SPI接口中的另一个外部SPI接口用于连接外部近场通信设备，所述三个外部SPI接口中的另一个外部SPI接口用于连接指纹模块。

在一个典型的应用场景中，所述外置协处理模块4可以是近场通信(Near FieldCommunication，简称NFC)控制器。例如，所述近场通信控制器可以通过所述SPI接口、QSPI接口、I3C接口或者SWP接口与所述内置安全模块22连接，在通过身份验证后，所述inSE安全模块1可以通过所述近场通信控制器安全地与外部近场通信设备进行交互。

在一个变化例中，所述外置协处理模块4还可以是生物特征采集模块，所述生物特征采集模块用于进行生物特征数据的采集和比对。优选地，所述生物特征采集模块可以通过所述SPI接口、QSPI接口或I3C接口与所述内置安全模块22连接。例如，可以通过所述生物特征采集模块采集用户的虹膜信息，所述内置安全模块22基于所述虹膜信息生成带认证的指令发送至所述外置存储模块3，当所述外置存储模块3验证通过后允许所述内置安全模块22访问。

在另一个变化例中，所述外置协处理模块4还可以是带活体检测的指纹模块，所述带活体检测的指纹模块用于进行活体指纹数据的采集和比对。优选地，所述带活体检测的指纹模块可以通过所述SPI接口、QSPI接口或I3C接口与所述内置安全模块22连接。例如，可以通过所述带活体检测的指纹模块采集用户的指纹信息，所述内置安全模块22基于所述指纹信息生成带认证的指令并发送至所述外置存储模块3，当所述内置存储模块3验证通过后，用户可以通过所述内置安全模块22基于所述共享密钥读写所述外置存储模块3中存储的数据。

在又一个变化例中，所述外置协处理模块4还可以是带安全协议的指纹模块，所述带安全协议的指纹模块用于通过所述安全协议与外部设备建立安全通过，使得所述外置协处理模块4能够通过所述安全通道安全的获得并比对所述外部设备采集的指纹数据。优选地，所述带安全协议的指纹模块可以通过SPI接口、QSPI接口或I3C接口与所述内置安全模块22连接。例如，所述带安全协议的指纹模块通过所述安全通道获取外部设备采集到的用户指纹信息，所述内置安全模块22基于所述用户指纹信息生成带认证的指令，当外置存储模块3验证通过后，所述inSE安全模块1可以与所述外部设备进行交互，响应外部设备的请求(如金融支付等)。

在另一个变化例中，所述外置协处理模块4还可以是蓝牙控制器和安全蓝牙模块，所述安全蓝牙模块配置有安全协议，所述蓝牙控制器通过蓝牙接口与所述主芯片21连接，所述主芯片21通过内部总线与所述内置安全模块22连接，使得所述内置安全模块22能够安全地与外部蓝牙设备进行交互。

在又一个变化例中，所述外置协处理模块4还可以为USB控制器和安全USB模块，所述安全USB模块配置有安全协议，所述USB控制器通过USB接口与所述主芯片21连接，所述主芯片21通过内部总线(如高速总线23)与所述内置安全模块22连接，使得所述内置安全模块22能够安全地与外部USB设备进行交互。

虽然本发明披露如上，但本发明并非限定于此。任何本领域技术人员，在不脱离本发明的精神和范围内，均可作各种更动与修改，因此本发明的保护范围应当以权利要求所限定的范围为准。

Claims (13)

1.一种inSE安全模块，其特征在于，包括：

内置安全模块，所述内置安全模块与主芯片集成于同一安全主芯片内，所述内置安全模块与主芯片通过总线连接；

外置存储模块，用于存储数据，所述外置存储模块外置于所述安全主芯片；

其中，所述内置安全模块根据预设协议访问和/或读写所述外置存储模块。

2.根据权利要求1所述的inSE安全模块，其特征在于，所述内置安全模块包括：

主控制器，所述主控制器用于控制对所述外置存储模块的访问和/或读写；

至少一个接口，所述主控制器经由所述至少一个接口连接所述外置存储模块。

3.根据权利要求2所述的inSE安全模块，其特征在于，所述内置安全模块还包括：

加密协处理器，用于对所述主控制器与所述外置存储模块之间的交互数据的至少一部分进行加密。

4.根据权利要求1所述的inSE安全模块，其特征在于，所述外置存储模块为存储器，所述存储器包括：

安全存储区，所述安全存储区仅允许所述内置安全模块访问和/或读写。

5.根据权利要求4所述的inSE安全模块，其特征在于，所述存储器还包括普通存储区，所述普通存储区允许任何模块访问和/或读写。

6.根据权利要求1所述的inSE安全模块，其特征在于，所述外置存储模块为安全存储器，所述安全存储器与所述内置安全模块通过接口连接。

7.根据权利要求6所述的inSE安全模块，其特征在于，当所述安全存储器验证通过所述内置安全模块发送的带认证的指令时，允许所述内置安全模块访问所述安全存储器。

8.根据权利要求7所述的inSE安全模块，其特征在于，所述内置安全模块使用与所述安全存储器一致的共享密钥读写所述安全存储器中存储的数据。

9.根据权利要求1所述的inSE安全模块，其特征在于，所述外置存储模块为安全模块，所述安全模块与所述内置安全模块通过接口连接。

10.根据权利要求9所述的inSE安全模块，其特征在于，当所述安全模块验证通过所述内置安全模块发送的带第一认证的第一指令，并且所述内置安全模块验证通过所述安全模块发送的带第二认证的第二指令时，允许所述内置安全模块访问所述安全模块。

11.根据权利要求10所述的inSE安全模块，其特征在于，所述内置安全模块使用与所述安全模块一致的共享密钥读写所述安全模块中存储的数据。

12.根据权利要求1至11中任一项所述的inSE安全模块，其特征在于，还包括外置协处理模块，外置于所述安全主芯片并通过接口与所述内置安全模块连接，所述内置安全模块经由所述外置协处理模块采集外部数据。

13.根据权利要求12所述的inSE安全模块，其特征在于，所述外置协处理模块包括以下模块中的至少一项：

近场通信控制器；

生物特征采集模块；

带活体检测的指纹模块；

带安全协议的指纹模块；

蓝牙控制器和安全蓝牙模块；

USB控制器和安全USB模块。