CN110611642A - 通讯装置、安全服务控制元件与安全服务控制方法 - Google Patents

Abstract

一种通讯装置、安全服务控制元件与安全服务控制方法被揭露。所述安全服务控制元件针对其与所述通讯装置之间的一安全服务流程储存一安全服务操作规则。所述安全服务控制元件自所述通讯装置接收与所述安全服务流程相关的一安全服务操作指令，并根据所述安全服务操作规则判断是否允许所述安全服务操作指令。

Description

通讯装置、安全服务控制元件与安全服务控制方法

技术领域

本揭露是关于一种通讯装置、安全服务控制元件与安全服务控制方法。更具体而言，本揭露是关于一种可阻止异常安全服务操作的通讯装置、安全服务控制元件与安全服务控制方法。

背景技术

当一通讯装置的主处理器为攻击者所破解(compromise)时，攻击者可任意存取所述主处理器来进行各种攻击，例如窃取或修改通讯装置的资料。为了改善，可将与安全服务流程(例如：开机安全检查、资料加密等等)相关的机敏资料与安全计算(例如：关键安全参数(Critical Security Parameters，CSPs)、金钥、密码学运算等等)改存放于独立且无法或难以破解的安全元件中来保护所述机敏资料，使得所述主处理器必须通过与所述安全元件执行所述安全服务流程来获取所述机敏资料，藉以避免通讯装置遭受所述攻击。然而，在此情况下，所述主处理器与所述安全元件间仍属于主从关系，亦即，所述安全服务流程是由所述主处理器来主导，而所述安全元件只是根据所述主处理器发送的指令被动地提供所述机敏资料。因此，一旦所述主处理器遭攻击者破解，攻击者仍可通过控制所述主处理器来主导所述安全服务流程(例如：传送恶意的或异常的安全服务操作指令)，藉此窃取或修改储存在所述安全元件中的所述机敏资料。有鉴于此，如何侦测并阻止来自通讯装置的主处理器的恶意的或异常的安全服务操作，将是本发明所属技术领域中特别需要被解决的一项技术问题。

发明内容

为了解决至少上述的问题，本发明的实施例提供了一种用于一通讯装置的安全服务控制元件。所述安全服务控制元件可包含一储存器、与所述通讯装置的所述处理器电性连接的一收发器以及与所述储存器及所述收发器电性连接的一处理器。所述储存器可用以针对所述安全服务控制元件与所述通讯装置的一处理器之间的一安全服务流程储存一安全服务操作规则。所述收发器可用以自所述通讯装置的所述处理器接收与所述安全服务流程相关的一安全服务操作指令。所述安全服务控制元件的所述处理器则可用以根据所述安全服务操作规则判断是否允许所述安全服务操作指令。

为了解决至少上述的问题，本发明的实施例还提供了一种通讯装置。所述通讯装置可包含一处理器以及与所述处理器电性连接的一安全服务控制元件。所述安全服务控制元件可用以针对所述安全服务控制元件与所述处理器之间的一安全服务流程储存一安全服务操作规则；自所述处理器接收与所述安全服务流程相关的一安全服务操作指令；以及根据所述安全服务操作规则判断是否允许所述安全服务操作指令。

为了解决至少上述的问题，本发明的实施例还提供了一种用于一通讯装置的安全服务控制方法。所述通讯装置可包含一安全服务控制元件与一处理器。所述安全服务控制方法可包含以下步骤：所述安全服务控制元件自所述处理器接收一安全服务操作指令，其中，所述安全服务操作指令与所述安全服务控制元件及所述处理器之间的一安全服务流程相关；以及所述安全服务控制元件根据一预存的安全服务操作规则判断是否允许所述安全服务操作指令。

在本揭露中，安全服务控制元件可依据预先储存的安全服务操作规则，判断来自通讯装置的处理器的安全服务操作指令是否是异常的或是恶意的。若是所述安全服务操作指令不符合所述安全服务操作规则，则所述安全服务控制元件就会阻止且拒绝执行所述安全服务操作指令。因此，通过预先制定以及预先储存所述安全服务操作规则，所述安全服务控制元件便可有效地阻止且拒绝执行来自所述通讯装置的所述处理器的异常的或是恶意的安全服务操作指令。举例而言，假如攻击者控制所述处理器在开机安全检查流程中发送金钥存取指令，则所述安全服务控制元件即可根据所述安全服务操作规则，判断所述金钥存取指令并非所述开机安全检查所需指令，进而阻止以及拒绝执行所述指令。

以上内容并非为了限制本发明，而只是概括地叙述了本发明可解决的技术问题、可采用的技术手段以及可达到的技术功效，以让本发明所属技术领域中具有通常知识者初步地了解本发明。根据检附的图式及以下的实施方式所记载的内容，本发明所属技术领域中具有通常知识者将可进一步了解本发明的各种实施例。

附图说明

图1例示了在本发明的某些实施例中，一种通讯装置以及其所包含的安全服务控制元件。

图2例示了在本发明的某些实施例中，一种安全服务操作规则的储存型态。

图3例示了在本发明的某些实施例中，一种用在一通讯装置的安全服务控制方法。

1：通讯装置

11：安全服务控制元件

111：处理器

113：收发器

115：储存器

13：处理器

2：安全服务操作规则

3：安全服务控制方法

301、303：步骤

OP_01、OP_02、OP_0N、OP_11、OP_12：指令内容

RQ：安全服务流程请求

SSOI：安全服务操作指令

TK：验证码

UUID_0、UUID_1：识别码

具体实施方式

以下将透过多个实施例来说明本发明，惟这些实施例并非用以限制本发明只能根据所述操作、环境、应用、结构、流程或步骤来实施。为了便于说明，于图式中，与本发明非直接相关的元件皆已省略。于图式中，各元件的尺寸以及各元件之间的比例仅是范例，而非用以限制本发明。除了特别说明之外，在以下内容中，相同(或实质相同)的元件符号可对应至相同(或实质相同)的元件。

图1例示了在本发明的某些实施例中，一种通讯装置以及其所包含的安全服务控制元件。图1所示内容仅是为了举例说明本发明的实施例，而非为了限制本发明。

参照图1，通讯装置1可包含安全服务控制元件11以及处理器13。在某些实施例中，安全服务控制元件11与处理器13都设置在通讯装置1之中。安全服务控制元件11可包含处理器111、与处理器111电性连接的收发器113以及与处理器11电性连接的储存器115。收发器113可与通讯装置1的处理器13电性连接。须说明者，所述「电性连接」是指相连接的两者间可以是直接电性连接(即，没有透过其他元件而彼此连接)或间接电性连接(即，透过其他元件而彼此连接)。

在某些实施例中，安全服务控制元件11可不设置在通讯装置1之中，而是独立地设置于通讯装置1之外，但安全服务控制元件11的收发器113仍电性连接至设置在通讯装置1之中的处理器13。

依据不同的需求，通讯装置1可以应用至，例如但不限于，物联网(Internet ofThings，IoT)、窄频物联网(Narrow Band-IoT，NB-IoT)、增强型机器类型通讯(enhancedMachine-Type Communication，eMTC)、大规模机器型通讯(massive Machine-TypeCommunications,mMTC)、无线个人网路(Wireless Personal Area Network，WPAN)、无线区域网路(Wireless Local Area Network，WLAN)、无线都会网路(Wireless MetropolitanArea Network，WMAN)、无线广域网路(Wireless Wide Area Network，WWAN)等通讯系统。通讯装置1可以是，例如但不限于，行动电话、穿戴式电子装置、可携式电脑、物联网产品、车联网产品、路由器、中继集线器(hub)、网路交换器(network switch)、闸道器(gateway)、网路伺服器、桌上型电脑等通讯装置。举例而言，假设通讯装置1应用至物联网通讯系统，则通讯装置1可以是一物联网终端机、一物联网闸道器或是一管理伺服器。

安全服务控制元件11的处理器111以及通讯装置1的处理器13各自可包含各种处理单元，例如微处理器(microprocessor)或微控制器(microcontroller)，以各自在安全服务控制元件11以及通讯装置1中执行各种运算程序。微处理器或微控制器是一种可程序化的特殊积体电路，其具有运算、储存、输出/输入等能力，且可接受并处理各种编码指令，藉以进行各种逻辑运算与算术运算，并输出相应的运算结果。

收发器113可以是由一传送器(transmitter)和一接收器(receiver)所构成。所述传送器用以传送指令或资料给处理器13，而所述接收器用以接收来自于处理器13的指令或资料。收发器113与处理器13之间的通讯界面可以是，例如但不限于，积体电路汇流排(Inter-Integrated Circuit，I²C)、串列周边界面(Serial Peripheral Interface，SPI)等。

储存器115可为非挥发性记忆体(non-volatile memory，NVM)。非挥发性记忆体可以是，例如但不限于，唯读记忆体(read-only memory，ROM)、可复写唯读记忆体(programmable read-only memory，PROM)、电子可改写唯读记忆体(electricallyalterable read only memory，EAROM)、抹除式可复写唯读记忆体(erasableprogrammable read only memory，EPROM)、电子抹除式可复写唯读记忆体(electricallyerasable programmable read only memory，EEPROM)或快闪记忆体(flash memory)等等。

在某些实施例中，安全服务控制元件11可以是通讯装置1的硬体信任锚点(hardware rootoftrust，HRoT)。换言之，安全服务控制元件11可以是具有硬体防伪功能的一个独立的积体电路(IC)，并用以与通讯装置1的处理器13一起进行各种安全服务流程。所述安全服务流程可涉及到，例如但不限于，密码计算、金钥认证、资料加密以及开机安全检查等等。

收发器113可用以自通讯装置1的处理器13接收与一安全服务流程相关的安全服务操作指令SSOI。所述安全服务流程是指为了在安全服务控制元件11与通讯装置1的处理器13之间完成某一项安全服务(例如：开机安全检查、资料加密、或本发明所属技术领域中可知的各种安全服务)所进行的一或多个安全服务操作。所述安全服务操作指令SSOI是用来指示进行所述一或多个安全服务操作其中之一的指令。

举例而言，假设所述安全服务是通讯装置1的开机安全检查，则所述安全服务流程可包含，例如但不限于，以下操作：(1)完整性测试(integrity test)；(2)签章验证初始(signature verify initial)；(3)签章验证更新(signature verify update)；以及(4)签章验证终止(signature verify final)。此时，与这个安全服务流程相关的安全服务操作指令SSOI可以是用来指示进行上述操作其中之一的指令。

图2例示了在本发明的某些实施例中，一种安全服务操作规则的储存型态。图2所示内容仅是为了举例说明本发明的实施例，而非为了限制本发明。

如图2所示，储存器115是将安全服务操作规则2储存为表格型态。然而，在某些实施例中，储存器115也可以将安全服务操作规则2储存为其他型态，例如但不限于，阵列、字串、链结串列等。

参照图1及图2，储存器115可用以针对在安全服务控制元件11与通讯装置1的处理器13之间所进行的一或多个安全服务流程预先储存一安全服务操作规则2。在收发器113自通讯装置1的处理器13接收了与某一安全服务流程相关的安全服务操作指令SSOI之后，所述安全服务控制元件11的处理器111即根据安全服务操作规则2来判断是否允许所述安全服务操作指令SSOI。若不允许，所述安全服务控制元件11的处理器111将阻止且拒绝执行所述安全服务操作指令SSOI。

安全服务操作规则2可以针对通讯装置1的处理器13所发送的安全服务操作指令SSOI预先建立一或多个限制。举例而言，安全服务操作规则2可限制通讯装置1的处理器13所发送的安全服务操作指令SSOI的序数及/或内容，其中安全服务操作指令SSOI的序数可用来判断其所对应的安全服务操作在安全服务流程中的顺序是否正确，而安全服务操作指令SSOI的内容可用来判断其是否对应到正确的安全服务操作。在此情况下，处理器111便可根据安全服务操作规则2，判断安全服务操作指令SSOI的序数及/或内容是否符合安全服务操作规则2，以决定是否允许安全服务操作指令SSOI。除了序数和内容以外，于其他实施例，安全服务操作规则2还可针对通讯装置1的处理器13所发送的安全服务操作指令SSOI的建立其他限制。

参照图2，针对每一个安全服务流程，例如图2所示的开机安全检查流程、资料加密流程等等，安全服务操作规则2可限制收发器113应依序接收N个安全服务操作指令SSOI，且限制这些安全服务操作指令SSOI的内容按1～N的顺序应分别为OP_01、OP_02、…、OP_0N。

举例而言，假设通讯装置1的处理器13欲与安全服务控制元件11进行的安全服务流程是开机安全检查流程，且处理器13发送至安全服务控制元件11的收发器113的第一个安全服务操作指令SSOI的内容为OP_01，则安全服务控制元件11的处理器111会因所述安全服务操作指令SSOI的内容与序数都符合安全服务操作规则2而允许所述安全服务操作指令SSOI。然而，若所述安全服务操作指令SSOI的内容与序数其中之一不符合安全服务操作规则2，例如处理器13发送至安全服务控制元件11的收发器113的第一个安全服务操作指令SSOI的内容不是OP_01，则安全服务控制元件11的处理器111就会阻止且拒绝执行所述安全服务操作指令SSOI。

在某些实施例中，每一个安全服务操作指令SSOI的内容(例如：OP_01、OP_02、…、OP_0N等)的格式可以由指令类型(CLA)、指令代码(INS)、参数(P1)与参数(P2)这四个项目所组成。于其他实施例中，每一个安全服务操作指令SSOI的内容也可以是其他的格式。

在某些实施例中，若通讯装置1的处理器13与安全服务控制元件11进行的安全服务流程超过一种，则需要一种识别机制运作在通讯装置1的处理器13以及安全服务控制元件11。举例而言，可针对每一个安全服务流程界定一识别码，且将每一个安全服务所对应的识别码储存到安全服务控制元件11的储存器115以及通讯装置1中，以供通讯装置1的处理器13以及安全服务控制元件11识别目前进行的安全服务流程。在此情况下，处理器13可将相对应的识别码与安全服务操作指令SSOI一并传送至安全服务控制元件11的收发器113，而安全服务控制元件11的处理器111便可根据所述识别码来识别出所述安全服务操作指令SSOI是对应至哪一个安全服务流程。所述识别码可以是，例如但不限于，通用唯一识别码(Universally Unique Identifier，UUID)。以图2为例，所述识别码即为UUID_0、UUID_1、…。

于某些实施例中，安全服务操作规则2可由一特定管理者预先建立并储存至安全服务控制元件11的储存器115。所述特定管理者必须使用特定权限由通讯装置1的处理器13登入至安全服务控制元件11，然后才能针对一或多个安全服务流程建立且储存安全服务操作规则2至安全服务控制元件11的储存器115。在所述特定管理者建立且储存安全服务操作规则2至安全服务控制元件11的储存器115之后，安全服务操作规则2就无法被新增、删除、修改。举例而言，可藉由删除所述特定权限来限制所有人再次登入所述安全服务控制元件11；或者，可由所述特定管理者将安全服务操作规则2的所有修改机制移除。在所述特定管理者建立且储存安全服务操作规则2至安全服务控制元件11的储存器115之后，安全服务控制元件11的收发器113可发送每一个安全服务所对应的识别码至通讯装置1储存。

继续参照图1，在某些实施例中，当通讯装置1的处理器13欲与安全服务控制元件11进行某一安全服务流程时，其必须先传送一安全服务流程请求RQ至安全服务控制元件11的收发器113，而安全服务控制元件11的处理器111可用以因应于所述安全服务流程请求RQ而产生一验证码TK，并透过收发器113回传至处理器13。

接着，通讯装置1的处理器13必须将验证码TK与安全服务操作指令SSOI一并发送至安全服务控制元件11的收发器113。在收发器113接收到的所述验证码TK之后，安全服务控制元件11的处理器111会验证所述验证码TK是否有效(即，验证所述验证码TK是否就是处理器111因应所述安全服务流程请求RQ而产生的)。只有在所述验证码TK为有效的情况下，处理器111才会根据安全服务操作规则2判断是否允许相对应的安全服务操作指令SSOI。

于某些实施例中，每一个验证码TK可以是由处理器111以随机随机乱数方式产生的一整数。于某些实施例中，第一个验证码TK可以是由处理器111以随机乱数方式产生的一整数，而后续的验证码TK是以所述整数为基础来变化，例如但不限于，递增、递减等等。

图3例示了在本发明的某些实施例中，一种用在一通讯装置的安全服务控制方法。图3所示内容仅是为了举例说明本发明的实施例，而非为了限制本发明。

参照图3，一种用在一通讯装置的安全服务控制方法3被揭露，其中所述通讯装置可包含一安全服务控制元件与一处理器，且安全服务控制方法3可包含以下步骤：所述安全服务控制元件自所述处理器接收一安全服务操作指令，其中所述安全服务操作指令与所述安全服务控制元件及所述处理器之间的一安全服务流程相关(标示为301)；以及所述安全服务控制元件根据一预存的安全服务操作规则判断是否允许所述安全服务操作指令(标示为303)。

在安全服务控制方法3的某些实施例中，若所述安全服务操作指令的序数与内容符合所述安全服务操作规则，则所述安全服务控制元件可允许所述安全服务操作指令。

在安全服务控制方法3的某些实施例中，除了步骤301以及步骤303，安全服务控制方法3还可包含以下步骤：所述安全服务控制元件可根据所述安全服务流程的一识别码，识别出所述安全服务操作指令。

在安全服务控制方法3的某些实施例中，除了步骤301以及步骤303，安全服务控制方法3还可包含以下步骤：所述安全服务控制元件可自所述处理器接收一验证码。另外，所述安全服务控制元件是在验证所述验证码有效之后，才根据所述安全服务操作规则判断是否允许所述安全服务操作指令。

在安全服务控制方法3的某些实施例中，除了步骤301以及步骤303，安全服务控制方法3还可包含以下步骤：在接收到所述安全服务操作指令之前，所述安全服务控制元件可自所述处理器接收所述安全服务流程的一请求；以及因应于所述请求，所述安全服务控制元件可产生所述验证码且传送所述验证码至所述处理器。

在某些实施例中，安全服务控制方法3的上述全部步骤可以由通讯装置1以及安全服务控制元件11来执行。在某些实施例中，除了上述步骤之外，安全服务控制方法3还可以包含与通讯装置1以及安全服务控制元件11的上述所有实施例相对应的其他步骤。因本发明所属技术领域中具有通常知识者可根据上文针对通讯装置1以及安全服务控制元件11的说明而了解安全服务控制方法3的这些其他步骤，故于此将不再赘述。

上述实施例只是举例来说明本发明，而非为了限制本发明。任何针对上述实施例进行修饰、改变、调整、整合而产生的其他实施例，只要是本发明所属技术领域中具有通常知识者不难思及的，都已涵盖在本发明的保护范围内。本发明的保护范围以申请专利范围为准。

Claims (15)

1.一种用于一通讯装置的安全服务控制元件，包含：

一储存器，用以针对所述安全服务控制元件与所述通讯装置的一处理器之间的一安全服务流程储存一安全服务操作规则；

一收发器，用以与所述通讯装置的所述处理器电性连接，且自所述通讯装置的所述处理器接收与所述安全服务流程相关的一安全服务操作指令；以及

一处理器，用以与所述储存器以及所述收发器电性连接，且用以根据所述安全服务操作规则判断是否允许所述安全服务操作指令。

2.根据权利要求1所述的安全服务控制元件，其中若所述安全服务操作指令的序数与内容符合所述安全服务操作规则，则所述安全服务控制元件的所述处理器允许所述安全服务操作指令。

3.根据权利要求1所述的安全服务控制元件，其中所述安全服务控制元件的所述处理器还用以根据所述安全服务流程的一识别码，识别出所述安全服务操作指令。

4.根据权利要求1所述的安全服务控制元件，其中所述收发器还用以自所述通讯装置的所述处理器接收一验证码，且所述安全服务控制元件的所述处理器是在验证所述验证码有效之后，才根据所述安全服务操作规则判断是否允许所述安全服务操作指令。

5.根据权利要求4所述的安全服务控制元件，其中在所述收发器接收到所述安全服务操作指令之前，所述收发器还用以自所述通讯装置的所述处理器接收所述安全服务流程的一请求，且因应于所述请求，所述安全服务控制元件的所述处理器还用以产生所述验证码，且所述收发器还用以传送所述验证码至所述通讯装置的所述处理器。

6.一通讯装置，包含：

一处理器；以及

一安全服务控制元件，与所述处理器电性连接，并用以：

针对所述安全服务控制元件与所述处理器之间的一安全服务流程储存一安全服务操作规则；

自所述处理器接收与所述安全服务流程相关的一安全服务操作指令；以及

根据所述安全服务操作规则判断是否允许所述安全服务操作指令。

7.根据权利要求6所述的通讯装置，其中若所述安全服务操作指令的序数与内容符合所述安全服务操作规则，则所述安全服务控制元件允许所述安全服务操作指令。

8.根据权利要求6所述的通讯装置，其中所述安全服务控制元件还用以根据所述安全服务流程的一识别码，识别出所述安全服务操作指令。

9.根据权利要求6所述的通讯装置，其中所述安全服务控制元件还用以自所述处理器接收一验证码，且所述安全服务控制元件是在验证所述验证码有效之后，才根据所述安全服务操作规则判断是否允许所述安全服务操作指令。

10.根据权利要求9所述的通讯装置，其中在安全服务控制元件接收到所述安全服务操作指令之前，所述安全服务控制元件还用以自所述处理器接收所述安全服务流程的一请求，且因应于所述请求，所述安全服务控制元件还用以产生所述验证码且传送所述验证码至所述处理器。

11.一种用于一通讯装置的安全服务控制方法，所述通讯装置包含一安全服务控制元件与一处理器，所述安全服务控制方法包含：

所述安全服务控制元件自所述处理器接收一安全服务操作指令，所述安全服务操作指令与所述安全服务控制元件及所述处理器之间的一安全服务流程相关；以及

所述安全服务控制元件根据一预存的安全服务操作规则判断是否允许所述安全服务操作指令。

12.根据权利要求11所述的安全服务控制方法，其中若所述安全服务操作指令的序数与内容符合所述安全服务操作规则，则所述安全服务控制元件允许所述安全服务操作指令。

13.根据权利要求11所述的安全服务控制方法，还包含：所述安全服务控制元件根据所述安全服务流程的一识别码，识别出所述安全服务操作指令。

14.根据权利要求11所述的安全服务控制方法，还包含：所述安全服务控制元件自所述处理器接收一验证码；其中所述安全服务控制元件是在验证所述验证码有效之后，才根据所述安全服务操作规则判断是否允许所述安全服务操作指令。

15.根据权利要求14所述的安全服务控制方法，还包含：

在接收到所述安全服务操作指令之前，所述安全服务控制元件自所述处理器接收所述安全服务流程的一请求；以及

因应于所述请求，所述安全服务控制元件产生所述验证码且传送所述验证码至所述处理器。