CN110276214A - 一种基于从机访问保护的双核可信soc架构及方法 - Google Patents

Abstract

本发明公开一种基于从机访问保护的双核可信SOC架构及方法。包括处理器，处理器包括可信核和非可信核，可信核用于处理与芯片及系统安全相关的重要信息和程序；所述非可信核用于处理普通应用所需程序和信息。方法包括：主机发起从机访问请求并传输到总线上，访问控制模块查找寄存器中可访问配置信息，判断从机是否在控制区；判断主机是否有权限访问从机，若没有权限，返回访问错误信号提供给主机；若有权限，主机正常访问从机。使用双核分别作为可信区和非可信区的处理器，减少了处理器在可信世界与非可信世界切换的花销，具有更高的执行效率。非可信主机对于控制区的可访问性可以由可信核根据实际访问需求进行配置，更具安全性与可定制性。

Description

一种基于从机访问保护的双核可信SOC架构及方法

技术领域

本发明涉及SoC安全防护技术领域，具体涉及一种基于从机访问保护的双核可信SOC架构及方法。

背景技术

随着集成电路的快速发展，基于SoC的智能移动设备的使用已经越来越普遍。然而各类移动终端设备的信息泄露问题不断出现，安全问题日益突出。由于SoC芯片上保存了大量的用户数据，一些可信风险可能会造成数据的泄露和破坏，这些安全风险来自系统中的各个部分，包括核心控制程序所存在的各种漏洞和后门以及应用软件本身，甚至是通信接口，也因为其本身的保护机制不完善等问题而导致一定的可信风险。

目前的嵌入式操作系统中为了保护系统的安全，往往将计算机系统权限分为几个等级，并根据不同的权限，进行访问隔离。高等级权限有权访问中低等权限资源，而中低等权限无法访问高等级资源。如MIPS架构将权限分为核心态、监管态、用户态三个等级。为了实现多进程访问共享资源的安全性，用户程序只能在用户态下执行，操作系统向用户程序提供具有预定功能的系统调用函数来访问只有核心态才能访问的硬件资源。然而核心权限可能被攻击者通过一些漏洞获取，因此这种方式并不能完全避免以上出现的安全问题。

因此，将重要的安全控制代码在可信区域中运行，普通的用户程序只放在非可信区域中运行，两种区域进行隔离并进行严密的监控，是针对以上风险的一种行之有效的方法。已有的实例是ARM提出的TrustZone技术，该技术从处理器核，互连，设备等各个IP共同入口，以物理隔离或逻辑隔离的方式将一个系统划分为可信的区域和非可信的区域。传统的操作系统和所有应用程序都是运行在非可信的区域，而可信区域则运行一个独立可信的操作系统，保存一些最核心的数据。可信区域中的软件向非可信区域的软件提供服务，同时对其行为进行监管，而非可信区域的软件除使用可信区域的软件提供服务外，无法直接访问、操作可信区域。

然而该技术方案需要对系统的软硬件进行全面调整，并且可信与非可信间的交互开销大，处理器也因为在可信执行模式和不可信执行模式之间不停切换，造成性能上的损耗。

发明内容

针对现有技术问题，本发明提供了一种基于从机访问保护的双核可信SOC架构及方法，在硬件层面建立可信域与非可信域。使用双核分别作为可信域和非可信域的处理器，同时，对于非可信域的处理器和非可信主机，增加一个从机访问保护模块，可以根据可信的软件配置，允许主机对相关从机发起访问或隔离访问并返回操作错误信号。从而隔离非可信域中非可信主机对重要外设，存储的访问，实现可信域与非可信域的安全隔离。

一种基于从机访问保护的双核可信SoC架构，包括处理器，所述处理器包括可信核和非可信核，所述可信核用于处理与芯片及系统安全相关的重要信息和程序；所述非可信核用于处理普通应用所需程序和信息。

进一步的，所述的非可信核及非可信域内的其他主机上设有访问隔离模块，用于限制非可信核及非可信主机的访问区域。

进一步的，所述的访问隔离模块主要包括寄存器模块，访问控制模块，总线接口单元；所述寄存器模块用于存储各个控制区的主机可访问性配置信息；访问控制模块用于根据当前寄存器模块的可访问性配置信息，修改主机原有总线接口的输入输出信号，隔离当前对于从机的非法访问请求。

进一步的，所述的寄存器模块只能由可信的主机通过总线接口单元进行配置，集成时应保证该寄存器模块只能由始终可信的主机进行访问。

进一步的，所述的总线上挂载的所有从机，根据其不同的地址区域空间划分成不同的控制区，其中的存储区域可按照实际需求，将连续地址区域划分成多个不同的控制区。

进一步的，当主机要访问的地址区间落在不可访问的控制区时，访问控制模块将修改并取消原总线接口的操作请求，同时，在遵循总线时序的情况下，返回访问错误的信号以提供给主机。

一种基于所述的基于从机访问保护的双核可信SoC架构的访问方法，包括以下步骤：

S1：主机发起从机访问请求并传输到总线上，访问控制模块查找寄存器中可访问配置信息，判断待访问从机是否在控制区；若不在控制区，正常访问，总线接口单元输入输出信号不变；若在在控制区，进行S2；

S2：判断主机是否有权限访问从机，若没有权限，访问控制模块将修改并取消原总线接口的操作请求，返回访问错误的信号以提供给主机；若有权限，进行S3；

S3：主机正常访问从机，总线接口单元输入输出信号不变。

使用双核分别作为可信区和非可信区的处理器，减少了处理器在可信世界与非可信世界切换的花销。双核同时工作，无需在不同世界中切换，性能损耗小，具有更高的执行效率。

对其中的非可信核以及非可信主机进行相关的从机访问保护，有效阻止非可信主机对于重要存储或外设的访问，实现了可信域与非可信域的物理隔离。

非可信主机对于控制区的可访问性可以由可信核根据实际访问需求进行配置，更具安全性与可定制性。

附图说明

图1双核可信设计的总体架构；

图2从机访问保护模块结构框图；

图3从机访问保护的流程。

具体实施方式

下面结合说明书附图对本发明的技术方案作进一步说明。

提出一种基于从机访问保护的双核可信SoC架构，如图1和图2所示，从硬件上建立可信核与可信区域。该方法主要是在SoC设计的硬件阶段进行实现，整个SoC包含两个处理器，其中一个处理器作为可信核，用于处理与芯片及系统安全相关的重要信息和程序。另一个处理器作为非可信核，用于处理普通应用所需程序和信息。同时，对挂载在总线上的非可信核，通过增加一个访问隔离模块，限制非可信核的访问区域，实现整个SoC的可信设计，保护系统内的重要信息不被非可信核访问。

所述隔离模块主要包括寄存器模块，访问控制模块，总线接口单元。寄存器模块只能由可信的主机通过总线接口单元进行配置，集成时应保证该寄存器模块只能由始终可信的主机进行访问。总线上挂载的所有从机，根据其不同的地址区域空间划分成不同的控制区，其中的存储区域可按照实际需求，将连续地址区域划分成多个不同的控制区。该寄存器模块就用于存储各个控制区的主机可访问性配置信息，包括各个控制区是否允许被该主机访问，若为1，则该控制区可被该主机访问，若为0，则该控制区不可被该主机访问。

访问控制模块主要用于根据当前寄存器模块的可访问性配置信息，修改主机原有总线接口的输入输出信号，隔离当前对于从机的非法访问请求。具体来说就是，当主机要访问的地址区间落在不可访问的控制区时，访问控制模块将修改并取消原总线接口的操作请求，同时，在遵循总线时序的情况下，返回访问错误的信号以提供给主机。

为了进一步保证芯片的安全可信，不仅是非可行核，对于非可信的其他主机，例如DMA等总线主机，也需在其主机总线接口处增加从机访问保护模块，从而实现可信区域与非可信区域的完全隔离。

一种基于从机访问保护的双核可信访问方法，如图3所示，具体步骤如下：

S1：主机发起从机访问请求并传输到总线上，访问控制模块查找寄存器中可访问配置信息，判断待访问从机是否在控制区；若不在控制区，正常访问，总线接口单元输入输出信号不变；若在在控制区，进行S2；

S2：判断主机是否有权限访问从机，若没有权限，访问控制模块，将修改并取消原总线接口的操作请求，返回访问错误的信号以提供给主机；若有权限，进行S3；

S3：主机正常访问从机，总线接口单元输入输出信号不变。

Claims (7)

1.一种基于从机访问保护的双核可信SoC架构，包括处理器，其特征在于所述处理器包括可信核和非可信核，所述可信核用于处理与芯片及系统安全相关的重要信息和程序；所述非可信核用于处理普通应用所需程序和信息。

2.根据权利要求1所述的一种基于从机访问保护的双核可信SoC架构，其特征在于所述的非可信核及非可信主机上设有访问隔离模块，用于限制非可信核及非可信主机的访问区域。

3.根据权利要求2所述的一种基于从机访问保护的双核可信SoC架构，其特征在于所述的访问隔离模块主要包括寄存器模块，访问控制模块，总线接口单元；所述寄存器模块用于存储各个控制区的主机可访问性配置信息；访问控制模块用于根据当前寄存器模块的可访问性配置信息，修改主机原有总线接口的输入输出信号，隔离当前对于从机的非法访问请求。

4.根据权利要求3所述的一种基于从机访问保护的双核可信SoC架构，其特征在于所述的寄存器模块只能由可信的主机通过总线接口单元进行配置，集成时应保证该寄存器模块只能由始终可信的主机进行访问。

5.根据权利要求3所述的一种基于从机访问保护的双核可信SoC架构，其特征在于所述的总线上挂载的所有从机，根据其不同的地址区域空间划分成不同的控制区，其中的存储区域可按照实际需求，将连续地址区域划分成多个不同的控制区。

6.根据权利要求3所述的一种基于从机访问保护的双核可信SoC架构，其特征在于当主机要访问的地址区间落在不可访问的控制区时，访问控制模块将修改并取消原总线接口的操作请求，同时，在遵循总线时序的情况下，返回访问错误的信号以提供给主机。

7.一种基于权利要求3-6任一所述的基于从机访问保护的双核可信SoC架构的访问方法，其特征在于包括以下步骤：

S1：主机发起从机访问请求并传输到总线上，访问控制模块查找寄存器中可访问配置信息，判断待访问从机是否在控制区；若不在控制区，正常访问，总线接口单元输入输出信号不变；若在在控制区，进行S2；

S2：判断主机是否有权限访问从机，若没有权限，访问控制模块，将修改并取消原总线接口的操作请求，返回访问错误的信号以提供给主机；若有权限，进行S3；

S3：主机正常访问从机，总线接口单元输入输出信号不变。