CN109684030A - 虚拟机内存密钥生成装置、以及方法、加密方法和SoC系统 - Google Patents

Abstract

一种虚拟机内存密钥生成系统，用于包括一个以上处理核心的SoC系统，包括安全处理器和虚拟机内存密钥生成装置，所述安全处理器基于来自所述处理核心的请求，生成虚拟机内存密钥索引，所述虚拟机内存密钥生成装置从所述安全处理器接收所述虚拟机内存密钥索引，并通过特定的算法，计算生成用于所述处理核心的内存密钥。所述内存密钥生成装置包括：随机密钥生成部，生成随机密钥；以及，密钥导出函数电路，其利用所述虚拟机内存密钥索引以及所述随机密钥，通过所述特定的算法，生成所述内存密钥。本发明提高了安全虚拟化中虚拟机内存密钥的安全性，更好的保证了虚拟机的数据安全。

Description

虚拟机内存密钥生成装置、以及方法、加密方法和SoC系统

技术领域

本发明涉及本发明虚拟化技术领域，并涉及在特定的安全虚拟化环境下生成虚拟机内存密钥(VEK-VM Encryption Key)的虚拟机内存密钥生成装置、以及方法、加密方法和SoC系统。

背景技术

随着硬件虚拟机技术的进步，在服务器上采用服务器的资源为多个用户模拟相同的计算机环境成为可能。但伴随于此，由于内存资源是在各个虚拟机之间共享的资源，因此，防止虚拟机管理程序或者他虚拟机用户窃取其他虚拟机的内容成为当前各个厂商研究的重点。

为了解决该问题，例如，已知存在安全虚拟化技术，该技术可以实现对虚拟机的物理内存进行加密，安全虚拟化中由于对不同的虚拟机用不同的密钥来加密(密钥命名为VEK即VM Encryption Key)，因此不仅能够防止虚拟机管理程序窃取虚拟机的内容，同时也可保护虚拟机的内存不被其他的虚拟机窃取。

VEK的安全等级极高，必须无法被应用程序和操作系统读取到。因为一旦VEK被窃取，虚拟机的内存就会被解密成明文并泄露。

这里，由于安全虚拟化的硬件限制，内存控制器中同时保存的VEK数据个数有一定限制，而系统中虚拟机的个数远大于此，也就是说内存控制器无法为所有的虚拟机保存VEK。这意味着在整个虚拟机的生命周期内，安全处理器必须为虚拟机保存VEK，以防虚拟机的VEK丢失，则该虚拟机的内存将无法解密。

但是，在上述架构下，在某些场景下仍然存在风险:

安全处理器提供了若干API与操作系统交互，如果某个API存在漏洞，在某种场景下输出了安全处理器自身的内存，则VEK就有可能被一同输出。因此，一旦安全处理器自身的内存暴露，VEK就可能暴露，从而间接的暴露了虚拟机的内容，整个安全虚拟化的保护机制将无效。

发明内容

本发明是鉴于现有技术存在的上述问题而完成的，其目的在于提供一种加强虚拟机内存密钥VEK保密性的技术方案。

本发明提供一种虚拟机内存密钥生成系统，用于包括一个以上处理核心的SoC系统，包括安全处理器和虚拟机内存密钥生成装置，所述安全处理器基于来自所述处理核心的请求，生成虚拟机内存密钥索引，所述虚拟机内存密钥生成装置从所述安全处理器接收所述虚拟机内存密钥索引，并通过特定的算法，计算生成用于与所述处理核心的请求所对应的虚拟机对应的虚拟机内存密钥。

本发明提供的虚拟机内存密钥生成系统，还可以是，所述虚拟机内存密钥生成装置包括：随机密钥生成部，生成随机密钥；以及，密钥导出函数电路，其利用所述虚拟机内存密钥索引以及所述随机密钥，通过所述特定的算法，生成所述内存密钥。

本发明提供的虚拟机内存密钥生成系统，还可以是，所述随机密钥在所述内存密钥生成装置上电期间保持不变。

本发明提供的虚拟机内存密钥生成系统，还可以是，所述特定的算法为密钥导出函数算法，并保存在所述虚拟机内存密钥生成装置中。

本发明提供的虚拟机内存密钥生成系统，还可以是，所述虚拟机内存密钥生成装置生成的所述虚拟机内存密钥对所述安全处理器不可见。

本发明提供一种SoC系统，该SoC系统包括一个以上处理核心、虚拟机内存密钥生成系统以及内存控制器，所述虚拟机内存密钥生成系统包括安全处理器和虚拟机内存密钥生成装置，所述安全处理器基于来自所述处理核心的请求，生成虚拟机内存密钥索引，所述虚拟机内存密钥生成装置从所述安全处理器接收所述虚拟机内存密钥索引，并通过特定的算法，计算生成用于与所述处理核心的请求所对应的虚拟机对应的内存密钥，所述内存控制器从所述虚拟机内存密钥生成装置接收所述虚拟机内存密钥，在所述处理核心对外部内存进行读写时进行加密或解密。

本发明涉及的SoC系统，还可以是，所述虚拟机内存密钥生成装置包括：随机密钥生成部，生成随机密钥；以及，密钥导出函数电路，其利用所述虚拟机内存密钥索引以及所述随机密钥，通过所述特定的算法，生成所述虚拟机内存密钥。

本发明的SoC系统，还可以是，所述随机密钥在所述虚拟机内存密钥生成装置上电期间保持不变。

本发明的SoC系统，还可以是，所述特定的算法为密钥导出函数算法，并保存在所述虚拟机内存密钥生成装置中。

本发明的SoC系统，还可以是，所述虚拟机内存密钥生成装置生成的虚拟机内存密钥对所述安全处理器不可见。

本发明提供的SoC系统，还可以是所述安全处理器在接收到表示上述SoC系统的电源将进入休眠的指令时，指示所述虚拟机内存密钥生成装置将所述随机密钥保存在所述外部内存中；并在从该休眠恢复时，所述外部内存中保存的所述随机密钥被读回到所述虚拟机内存密钥生成装置，在所述休眠中，所述虚拟机内存密钥生成装置将掉电。

本发明提供的虚拟机内存密钥生成系统中的密钥生成方法，还可以是，所述虚拟机内存密钥生成系统用于包括一个以上处理核心的SoC系统，并包括安全处理器和虚拟机内存密钥生成装置，所述密钥生成方法的特征在于，包括：虚拟机内存密钥索引生成步骤，所述安全处理器基于来自所述处理核心的请求，生成虚拟机内存密钥索引；以及虚拟机内存密钥生成步骤，所述虚拟机内存密钥生成装置从所述安全处理器接收所述虚拟机内存密钥索引，并通过特定的算法，计算生成用于与所述处理核心的请求所对应的虚拟机对应的内存密钥。

本发明的虚拟机内存密钥生成系统中的密钥生成方法，还可以是，所述虚拟机内存密钥生成装置包括随机密钥生成部和密钥导出函数电路，在所述虚拟机内存密钥生成步骤中，还包括：由所述随机密钥生成部生成随机密钥的步骤；以及，由所述密钥导出函数电路利用所述虚拟机内存密钥索引以及所述随机密钥，通过所述特定的算法，生成所述虚拟机内存密钥的步骤。

本发明提供一种SoC系统中的虚拟机内存数据加密方法，所述SoC系统包括一个以上处理核心、虚拟机内存密钥生成系统以及内存控制器，所述虚拟机内存密钥生成系统包括安全处理器和虚拟机内存密钥生成装置，所述内存数据加密方法包括：步骤1：所述安全处理器基于来自所述处理核心的请求，生成虚拟机内存密钥索引；步骤2：所述安全处理器将所述处理核心发送来的虚拟机ID与所述虚拟机内存密钥索引发送给所述虚拟机内存密钥生成装置；步骤3：所述虚拟机内存密钥生成装置基于所述虚拟机内存密钥索引，并通过特定的算法，计算生成用于与所述处理核心的请求所对应的虚拟机对应的虚拟机内存密钥；步骤4：所述虚拟机内存密钥生成装置将所述虚拟机内存密钥和所述虚拟机ID发送给所述内存控制器；以及步骤5：所述内存控制器将所述虚拟机内存密钥和所述虚拟机ID绑定，以在所述处理核心对外部内存进行读写时通过所述虚拟机内存密钥进行加密或解密。

本发明提供的SoC系统中的虚拟机内存数据加密方法，还可以是，所述虚拟机内存密钥生成装置包括随机密钥生成部和密钥导出函数电路，在步骤3中，还包括：由所述随机密钥生成部生成随机密钥的步骤；以及，由所述密钥导出函数电路利用所述虚拟机内存密钥索引以及所述随机密钥，通过所述特定的算法，生成所述虚拟机内存密钥的步骤。

本发明提供的SoC系统中的虚拟机内存数据加密方法，还可以是，还包括：步骤6：所述虚拟机内存密钥生成装置向所述内存控制器发送解除绑定命令；以及步骤7：所述内存控制器基于所述解除绑定命令将所述虚拟机内存密钥和所述虚拟机ID的绑定解除，并删除所述虚拟机内存密钥。

因此，为更好的保护VEK，可将VEK放在专门的硬件中，而不是保存在安全处理器的内存中。安全处理器只持有一个和虚拟机内存密钥VEK对应的索引。安全处理器任何时候都不会直接接触到虚拟机内存密钥VEK，当需要使用虚拟机内存密钥VEK时，将虚拟机内存密钥VEK的索引输入给此专门硬件，后续和虚拟机内存密钥VEK相关操作由硬件继续完成。

本发明对安全虚拟化架构中虚拟机内存密钥(VEK-VM Encryption Key)生成过程做了优化。通过把原先由软件生成并保存在固件中的VEK改成由专门的部件来产生，从而提高了VEK本身的安全性，进而提升了虚拟机内容的安全。

本发明提供的技术方案，提高了安全虚拟化中VEK的安全性，更好的保证了虚拟机的数据安全。

附图说明

图1是现有技术中安全虚拟化和安全处理器架构的硬件结构图。

图2是现有CPU核心架构中密钥创建以及删除过程的处理流程。

图3是本发明的增加了虚拟机内存密钥生成装置VEKM的硬件结构图。

图4是本发明的虚拟机内存密钥生成装置VEKM的结构图。

图5是本发明中增加了虚拟机内存密钥生成装置VEKM的CPU核心架构中的密钥创建以及删除过程的处理流程。

具体实施方式

参考附图，对本发明的实施方式进行说明。其中相同的部件赋予相同的标号。首先描述本发明的示例性实施例。提供示例性实施例是为了说明本发明的各方面，而不应被解释为限制本发明的范围。当参考框图或流程图描述示例性实施例时，每个框可以表示用于执行方法步骤的方法步骤或装置元件。根据实现方式，相应的装置元件可以配置为硬件、软件、固件或其组合。

为保证VEK的安全，安全虚拟化技术使用了一个单独的处理器—安全处理器来管理VEK。安全处理器SoC(片上系统)中处理内存加解密和启动虚拟机的处理器。安全处理器上不会运行操作系统和应用程序，只运行安全虚拟化的固件，且安全处理器的内存是单独划分的，与操作系统使用的内存隔离。安全虚拟化和安全处理器的微架构参见图1。如图1所示，在SoC内部涉及到安全虚拟化的有CPU核心、安全处理器和内存控制器这3个器件，在SoC外部涉及到安全虚拟化的有DRAM(动态随机存取存储器)。这里，SoC外部的数据皆为加密后的密文，SoC内部为明文。

下面，结合图1与图2，对通常生成虚拟机内存密钥VEK的方式进行说明。

在图2中，CPU核心向安全处理器发送安全虚拟化API(应用程序编程接口)，安全处理器处理后回应结果。其中开始启动、激活、去激活这三个API分别用来启动虚拟机，为虚拟机绑定虚拟机ID，为虚拟机解除绑定虚拟机ID。

如图2所示，当CPU核心向安全处理器发送开始启动命令时，安全处理器将启动虚拟机，随机生成虚拟机内存密钥VEK，并保存到自己的内存中。

CPU核心向安全处理器发送激活命令时，安全处理器把该虚拟机的虚拟机内存密钥VEK写入到内存控制器的寄存器中，同时与该虚拟机的虚拟机ID绑定在一起。

这样，该虚拟机向DRAM写数据时，内存控制器根据虚拟机的虚拟机ID找到对应的虚拟机内存密钥VEK，生成密文保存到DRAM。

该虚拟机从DRAM读取数据时，内存控制器根据虚拟机的虚拟机ID找到对应的虚拟机内存密钥VEK，解密密文，转换成明文。

CPU核心向安全处理器发送去激活命令时，安全处理器把该虚拟机的虚拟机内存密钥VEK从内存控制器的寄存器中删除，这时虚拟机将无法再读写内存。

当虚拟机启动时，安全处理器随机生成虚拟机内存密钥VEK，并保存在自己的内存中。虚拟机退出时，安全处理器销毁虚拟机内存密钥VEK。因此，这种方式的确很大程度的保证了虚拟机内存密钥VEK的安全性。

但如前所述，将虚拟机内存密钥VEK放在安全处理器内存中存在安全风险。为更好的保护虚拟机内存密钥VEK的安全，为此设计了一个增强方案。

[VEKM的功能以及架构]

如图3所示，在本申请发明中，在安全处理器与内存控制器之间增加了一个新的器件，即虚拟机内存密钥生成装置VEKM。图4示出了虚拟机内存密钥生成装置的具体结构。所述虚拟机内存密钥生成装置包括：随机密钥生成部，生成随机密钥RVEK；以及，密钥导出函数电路，其利用所述虚拟机内存密钥索引VEK_ID以及所述随机密钥RVEK，通过所述特定的算法，生成所述虚拟机内存密钥。亦即，在本发明中把虚拟机内存密钥VEK放在VEKM中，而不是保存在安全处理器的内存中，安全处理器只持有一个和虚拟机内存密钥VEK对应的索引VEK_ID，安全处理器任何时候都不会直接接触到VEK，当需要使用虚拟机内存密钥VEK时，将虚拟机内存密钥VEK的索引输入给此专门硬件，后续和虚拟机内存密钥VEK相关操作由硬件继续完成。

本发明的VEKM具有如下功能和特点:

1.上电启动时，随机生成一个密钥，称为RVEK。RVEK在上电期间保持不变。

2.具有密钥导出函数功能。即能够根据输入的所述密钥索引VEK_ID和RVEK，生成虚拟机内存密钥VEK。只要输入的虚拟机内存密钥索引VEK_ID不同，输出的虚拟机内存密钥VEK就不同。只要输入的虚拟机内存密钥索引VEK_ID相同，输出的虚拟机内存密钥VEK就一定相同。在这里，只要输入参数所述虚拟机内存密钥索引VEK_ID和RVEK变化,所生成的虚拟机内存密钥VEK就不同。即，密钥导出函数是一种不对外公开的加密算法，虚拟机内存密钥VEK由输入参数所述虚拟机内存密钥索引VEK_ID和RVEK决定。常见的密钥导出函数例如有密钥加密哈希函数等，但这里要注意的是本发明并不限定于一种或几种特定的函数，本领域技术人员可以根据具体需要来进行选择。

3.密钥导出函数算法保存在VEKM硬件中，永远不对外发布。

4.能够把安全处理器发给内存控制器的命令中的虚拟机内存密钥索引VEK_ID，替换为功能2中生成的虚拟机内存密钥VEK，再转发给内存控制器。

以上介绍了虚拟机内存密钥生成装置VEKM的工作过程。在上述虚拟机内存密钥生成装置VEKM中，所述随机密钥在所述虚拟机内存密钥生成装置上电期间保持不变。所述特定的算法为密钥导出函数算法，该算法保存在所述虚拟机内存密钥生成装置中。所述虚拟机内存密钥生成装置生成的所述虚拟机内存密钥对所述安全处理器不可见。

[本发明的VEKM生成虚拟机内存密钥VEK的具体流程]

图5示出了本发明的密钥创建及删除过程的流程。即，所述虚拟机内存密钥生成装置VEKM从所述安全处理器接收所述密钥索引，并通过特定的算法，计算生成用于与所述处理核心的请求所对应的虚拟机对应的内存密钥。所述虚拟机内存密钥生成装置包括：随机密钥生成部，生成随机密钥；以及，密钥导出函数电路，其利用所述虚拟机内存密钥索引以及所述随机密钥RVEK，通过所述特定的算法，生成所述虚拟机内存密钥VEK。所述随机密钥在所述虚拟机内存密钥生成装置上电期间保持不变。所述特定的算法为密钥导出函数算法，并保存在所述虚拟机内存密钥生成装置中。所述虚拟机内存密钥生成装置生成的所述虚拟机内存密钥对所述安全处理器不可见。这样一来，即便处理核心通过API漏洞，从所述安全处理器处读取数据，也无法得到VEK。

下面，基于图5来具体说明整个处理流程。

首先，当CPU核心向安全处理器发送开始启动命令时，安全处理器将启动虚拟机，随机生成虚拟机内存密钥索引VEK_ID，并保存到自己的内存中。

然后，CPU核心向安全处理器发送激活命令时，安全处理器向VEKM发送创建以及写入虚拟机内存密钥VEK命令，同时传递参数虚拟机内存密钥索引VEK_ID、虚拟机ID。

VEKM接收到命令后，利用密钥导出函数算法，以虚拟机内存密钥索引VEK_ID和RVEK为参数，计算出虚拟机内存密钥VEK。

VEKM向内存控制器发送虚拟机内存密钥VEK命令，并携带虚拟机内存密钥VEK和虚拟机ID为参数，内存控制器收到后将虚拟机内存密钥VEK保存到寄存器中，同时与虚拟机ID绑定。

CPU核心向安全处理器发送去激活命令时，安全处理器向VEKM发送创建以及删除VEK命令，同时传递参数VEK_ID，虚拟机ID。

VEKM接收到命令后，利用密钥导出函数算法，以虚拟机内存密钥索引VEK_ID和RVEK为参数，计算出虚拟机内存密钥VEK。

VEKM向内存控制器发送删除VEK(放弃VEK)命令，并携带VEK和虚拟机ID为参数，内存控制器收到后将虚拟机内存密钥VEK与虚拟机ID解除绑定，同时从寄存器中删除。

整个过程中，安全处理器固件并不保存VEK，只是保存了VEK_ID。因此即使安全处理器固件内存暴露，虚拟机内容仍然是安全的。因为只根据虚拟机内存密钥索引VEK_ID，没有RVEK，并且不知道密钥导出函数算法，无法推算出虚拟机内存密钥VEK，而密钥导出函数保存在VEKM中不会暴露。

结合本发明的图3、图4、图5可知，本发明提供的SoC系统，包括一个以上处理核心(CPU核心)、虚拟机内存密钥生成系统以及内存控制器，所述虚拟机内存密钥生成系统包括安全处理器和虚拟机内存密钥生成装置

VEKM，所述安全处理器基于来自所述处理核心的请求，生成虚拟机内存密钥索引VEK_ID，所述虚拟机内存密钥生成装置VEKM从所述安全处理器接收所述虚拟机内存密钥索引VEK_ID，并通过特定的算法，计算生成用于与所述处理核心(CPU核心)请求对应的虚拟机的内存密钥VEK，所述内存控制器从所述虚拟机内存密钥生成装置VEKM接收所述内存密钥VEK，在所述处理核心(CPU核心)对外部内存DRAM进行读写时进行加密或解密。

本发明提供的SoC系统的所述虚拟机内存密钥生成装置VEKM包括：随机密钥生成部，生成随机密钥RVEK；以及，密钥导出函数电路，其利用所述虚拟机内存密钥索引VEK_ID以及所述随机密钥RVEK，通过所述特定的算法，生成所述内存密钥。所述随机密钥RVEK在所述虚拟机内存密钥生成装置VEKM上电期间保持不变。所述特定的算法为密钥导出函数算法，并保存在所述虚拟机内存密钥生成装置中。所述虚拟机内存密钥生成装置生成的虚拟机内存密钥对所述安全处理器不可见。

所述内存控制器从所述虚拟机内存密钥生成装置接收所述虚拟机内存密钥，在所述处理核心(CPU核心)对外部内存DRAM进行读写时进行加密或解密。

本发明涉及的SoC系统中的内存数据加密方法，所述SoC系统包括一个以上处理核心(CPU核心)、虚拟机内存密钥生成系统以及内存控制器，所述虚拟机内存密钥生成系统包括安全处理器和虚拟机内存密钥生成装置VEKM，所述内存数据加密方法包括：步骤1：所述安全处理器基于来自所述处理核心的请求，生成虚拟机内存密钥索引VEK_ID；步骤2：所述安全处理器将所述处理核心发送来的虚拟机ID与所述虚拟机内存密钥索引发送给所述虚拟机内存密钥生成装置；步骤3：所述虚拟机内存密钥生成装置基于所述虚拟机内存密钥索引，并通过特定的算法，计算生成用于与所述处理核心的请求所对应的虚拟机对应的虚拟机内存密钥；步骤4：所述虚拟机内存密钥生成装置将所述虚拟机内存密钥和所述虚拟机ID发送给所述内存控制器；以及步骤5：所述内存控制器将所述虚拟机内存密钥和所述虚拟机ID绑定，以在所述处理核心对外部内存进行读写时通过所述虚拟机内存密钥进行加密或解密。

本发明的所述的SoC系统中的内存数据加密方法，还可以是，所述虚拟机内存密钥生成装置包括随机密钥生成部和密钥导出函数电路，在步骤3中，还包括：由所述随机密钥生成部生成随机密钥的步骤；以及，由所述密钥导出函数电路利用所述虚拟机内存密钥索引以及所述随机密钥，通过所述特定的算法，生成所述虚拟机内存密钥的步骤。

本发明的所述的SoC系统中的内存数据加密方法，还可以是，还包括：步骤6：所述虚拟机内存密钥生成装置向所述内存控制器发送解除绑定命令；以及步骤7：所述内存控制器基于所述解除绑定命令将所述虚拟机内存密钥和所述虚拟机ID的绑定解除，并删除所述虚拟机内存密钥。

[VEKM对电源休眠状态的处理]

这里，CPU核心向安全处理器发送去激活命令时，安全处理器把该虚拟机的VEK从内存控制器的寄存器中删除，这时虚拟机将无法再读写内存。

这意味着在整个虚拟机的生命周期内，安全处理器必须为虚拟机保存虚拟机内存密钥索引VEK。如果虚拟机内存密钥VEK丢失，则该虚拟机的内存将无法解密。因此，需要对使用的虚拟机内存密钥VEK在设备掉电时进行保护。

我们知道，CPU在休眠状态下，主存储器(RAM)仍然有电源供给，而且它也是几乎唯一的有电源供给的原件。因为操作系统、所有应用程序等等的当前系统状态都是保存在主存储器中，可以把设备恢复到正好上次保持的状态——计算机从该休眠状态回来时主存储器的内容和它进入休眠状态时候的内容是相同的。也就是说，保存当前系统状态至内存，然后进入假关机状态，此时除了内存需要电源来保持数据以外，其他的设备全部断电。唤醒后可以快速回复到待机前状态。例如，通常所说的电源S3状态。

电源S4状态及以上包含了S3状态。在S3状态下，即在该休眠状态下，VEKM会失去供电，VEKM中保存的RVEK将丢失。因此当安全处理器收到休眠启动通知时，需要把VEKM中的RVEK保存在DRAM中，当安全处理器收到休眠恢复通知时，需要把DRAM中保存的RVEK恢复到VEKM。

在本发明中，增加VEKM器件，VEKM可以是单独的器件，可以合并到内存控制器中，成为内存控制器的一部分。也可以是各部分分开设置的器件。

本发明通过添加VEKM器件，使安全虚拟化固件不需要保存VEK，提高了VEK的安全性和虚拟机的安全性。

以上对虚拟机内存密钥生成装置、方法、系统进行了说明中，省略了相同或类似的说明，实施的过程、原理相同，可以参考对应的内容。

以上参考附图，基于实施方式的实施例和变形例说明了本发明，但本发明并非限定于上述的实施方式，根据实际需要等将各实施方式的部分构成适当组合或置换后的方案，也包含在本发明的范围内。另外，还可以基于本领域技术人员的知识适当重组各实施方式的组合和处理顺序，或者对各实施方式施加各种设计变更等变形，被施加了这样的变形的实施方式也可能包含在本发明的范围内。

Claims (16)

1.一种虚拟机内存密钥生成系统，用于包括一个以上处理核心的SoC系统，其特征在于，包括安全处理器和虚拟机内存密钥生成装置，

所述安全处理器基于来自所述处理核心的请求，生成虚拟机内存密钥索引，

所述虚拟机内存密钥生成装置从所述安全处理器接收所述虚拟机内存密钥索引，并通过特定的算法，计算生成用于与所述处理核心的请求所对应的虚拟机对应的虚拟机内存密钥。

2.如权利要求1所述的虚拟机内存密钥生成系统，其特征在于，

所述虚拟机内存密钥生成装置包括：

随机密钥生成部，生成随机密钥；以及，

密钥导出函数电路，其利用所述虚拟机内存密钥索引以及所述随机密钥，通过所述特定的算法，生成所述虚拟机内存密钥。

3.如权利要求1或2所述的虚拟机内存密钥生成系统，其特征在于，

所述随机密钥在所述虚拟机内存密钥生成装置上电期间保持不变。

4.如权利要求1或2所述的虚拟机内存密钥生成系统，其特征在于，

所述特定的算法为密钥导出函数算法，并保存在所述虚拟机内存密钥生成装置中。

5.如权利要求1或2所述的虚拟机内存密钥生成系统，其特征在于，

所述虚拟机内存密钥生成装置生成的所述虚拟机内存密钥对所述安全处理器不可见。

6.一种SoC系统，包括一个以上处理核心、虚拟机内存密钥生成系统以及内存控制器，其特征在于，

所述虚拟机内存密钥生成系统包括安全处理器和虚拟机内存密钥生成装置，

所述安全处理器基于来自所述处理核心的请求，生成虚拟机内存密钥索引，

所述虚拟机内存密钥生成装置从所述安全处理器接收所述虚拟机内存密钥索引，并通过特定的算法，计算生成用于与所述处理核心的请求所对应的虚拟机对应的内存密钥，

所述内存控制器从所述虚拟机内存密钥生成装置接收所述虚拟机内存密钥，在所述处理核心对外部内存进行读写时进行加密或解密。

7.如权利要求6所述的SoC系统，其特征在于，

所述虚拟机内存密钥生成装置包括：

随机密钥生成部，生成随机密钥；以及，

密钥导出函数电路，其利用所述虚拟机内存密钥索引以及所述随机密钥，通过所述特定的算法，生成所述虚拟机内存密钥。

8.如权利要求6或7所述的SoC系统，其特征在于，

所述随机密钥在所述虚拟机内存密钥生成装置上电期间保持不变。

9.如权利要求6或7所述的SoC系统，其特征在于，

所述特定的算法为密钥导出函数算法，并保存在所述虚拟机内存密钥生成装置中。

10.如权利要求6或7所述的SoC系统，其特征在于，

所述虚拟机内存密钥生成装置生成的所述虚拟机内存密钥对所述安全处理器不可见。

11.如权利要求6或7所述的SoC系统，其特征在于，

所述安全处理器在接收到表示上述SoC系统的电源将进入休眠的指令时，指示所述虚拟机内存密钥生成装置将所述随机密钥保存在所述外部内存中；并在从该休眠恢复时，所述外部内存中保存的所述随机密钥被读回到所述虚拟机内存密钥生成装置，

在所述休眠中，所述虚拟机内存密钥生成装置将掉电。

12.一种虚拟机内存密钥生成系统中的密钥生成方法，所述虚拟机内存密钥生成系统用于包括一个以上处理核心的SoC系统，并包括安全处理器和虚拟机内存密钥生成装置，所述密钥生成方法的特征在于，包括：

虚拟机内存密钥索引生成步骤，所述安全处理器基于来自所述处理核心的请求，生成虚拟机内存密钥索引；以及

虚拟机内存密钥生成步骤，所述虚拟机内存密钥生成装置从所述安全处理器接收所述虚拟机内存密钥索引，并通过特定的算法，计算生成用于与所述处理核心的请求所对应的虚拟机对应的内存密钥。

13.如权利要求12所述的虚拟机内存密钥生成系统中的密钥生成方法，

所述虚拟机内存密钥生成装置包括随机密钥生成部和密钥导出函数电路，

在所述虚拟机内存密钥生成步骤中，还包括：

由所述随机密钥生成部生成随机密钥的步骤；以及，

由所述密钥导出函数电路利用所述虚拟机内存密钥索引以及所述随机密钥，通过所述特定的算法，生成所述虚拟机内存密钥的步骤。

14.一种SoC系统中的虚拟机内存数据加密方法，所述SoC系统包括一个以上处理核心、虚拟机内存密钥生成系统以及内存控制器，所述虚拟机内存密钥生成系统包括安全处理器和虚拟机内存密钥生成装置，所述内存数据加密方法的特征在于，包括：

步骤1：所述安全处理器基于来自所述处理核心的请求，生成虚拟机内存密钥索引；

步骤2：所述安全处理器将所述处理核心发送来的虚拟机ID与所述虚拟机内存密钥索引发送给所述虚拟机内存密钥生成装置；

步骤3：所述虚拟机内存密钥生成装置基于所述虚拟机内存密钥索引，并通过特定的算法，计算生成用于与所述处理核心的请求所对应的虚拟机对应的虚拟机内存密钥；

步骤4：所述虚拟机内存密钥生成装置将所述虚拟机内存密钥和所述虚拟机ID发送给所述内存控制器；以及

步骤5：所述内存控制器将所述虚拟机内存密钥和所述虚拟机ID绑定，以在所述处理核心对外部内存进行读写时通过所述虚拟机内存密钥进行加密或解密。

15.如权利要求14所述的SoC系统中的虚拟机内存数据加密方法，其特征在于，

所述虚拟机内存密钥生成装置包括随机密钥生成部和密钥导出函数电路，

在步骤3中，还包括：

由所述随机密钥生成部生成随机密钥的步骤；以及，

由所述密钥导出函数电路利用所述虚拟机内存密钥索引以及所述随机密钥，通过所述特定的算法，生成所述虚拟机内存密钥的步骤。

16.如权利要求14或15所述的SoC系统中的虚拟机内存数据加密方法，其特征在于，

还包括：

步骤6：所述虚拟机内存密钥生成装置向所述内存控制器发送解除绑定命令；以及

步骤7：所述内存控制器基于所述解除绑定命令将所述虚拟机内存密钥和所述虚拟机ID的绑定解除，并删除所述虚拟机内存密钥。