CN111680336B - 固件安全防护方法和装置、系统及设备 - Google Patents

Abstract

本申请涉及一种固件安全防护方法，包括：配置在芯片内的控制模块接收上位机下发的控制使能命令后，将控制使能命令传输至芯片的处理器；处理器接收并验证控制使能命令是否为合法命令；在验证出控制使能命令为合法命令时，将芯片中所配置的JTAG模块由默认的禁用状态切换为使能状态。通过在芯片内配置控制模块，并由处理器对JTAG模块进行使能控制，有效防止了在芯片调试阶段或测试阶段时，JTAG模块一直处于使能状态从而导致芯片内固件外泄的情况，有效保证了固件的安全性。同时，还通过对芯片的JTAG模块进行使能控制，有效避免了芯片启动时还需要对固件进行解密的操作，这也就有效加快了芯片的启动效率。

Description

固件安全防护方法和装置、系统及设备

技术领域

本申请涉及芯片信息安全技术领域，尤其涉及一种固件安全防护方法和装置、系统及设备。

背景技术

SSD芯片一般是由逻辑电路和固件构成。芯片内部的算法实现和硬件调度很多都是由固件实现的。在芯片设计和调试阶段需要使用JTAG接口对固件进行调试，解决固件中存在的bug，实现算法优化。由于JTAG接口能够跟踪固件运行和提取数据，因此专业人员可以采用一定的技术手段，将固件的指令代码提取出来，并将其反向还原成固件源代码，从而导致芯片内固件信息的泄漏，使得芯片的安全性较低。在相关技术中，通常会采用对固件进行加密的方式以提高固件的安全性，但是采用对固件本身进行加密的方式，在启动芯片时需要对固件进行解密，解密过程较为复杂，这就使得芯片的启动时间较长，从而影响芯片的性能。

发明内容

有鉴于此，本申请提出了一种固件安全防护方法，可以在不影响芯片的启动时间的前提下，还能够有效实现对芯片内的固件的安全防护。

根据本申请的一方面，提供了一种固件安全防护方法，包括：

配置在芯片内的控制模块接收上位机下发的控制使能命令后，将所述控制使能命令传输至所述芯片的处理器；

所述处理器接收并验证所述控制使能命令是否为合法命令；

在验证出所述控制使能命令为合法命令时，将所述芯片中所配置的JTAG模块由默认的禁用状态切换为使能状态。

在一种可能的实现方式中，还包括：

在验证出所述控制使能命令不是合法命令时，控制所述JTAG模块继续保持默认的所述禁用状态。

在一种可能的实现方式中，所述处理器接收并验证所述控制使能命令是否为合法命令，包括：

所述处理器接收所述控制使能命令并对所述控制使能命令进行解析，得到相应的控制密码；

将所述控制密码与预先存储的使能密码相比较；

在所述控制密码与所述使能密码相一致时，验证出所述控制使能命令为合法命令。

在一种可能的实现方式中，所述控制模块包括UART、SPI和I2C中的任意一种。

在一种可能的实现方式中，在所述控制模块接收所述上位机下发的所述控制使能命令之前，还包括：

所述上位机下发握手信号至控制模块，由所述控制模块将所述握手信号发送至所述处理器；

所述处理器接收所述握手信号并基于所述握手信号与所述上位机建立连接。

根据本申请的另一方面，还提供了一种固件安全防护装置，包括控制模块、验证模块和使能模块；

其中，所述控制模块配置在芯片内部，并被配置为接收上位机下发的控制使能命令，将接收到的所述控制使能命令传输至所述芯片的处理器；

所述验证模块配置在所述处理器中，并被配置为接收所述控制使能命令并验证所述控制使能命令是否为合法命令；

所述使能模块配置在所述处理器中，并被配置为在所述验证模块验证出所述控制使能命令为合法命令时，将所述芯片中所配置的JTAG模块由默认的禁用状态切换为使能状态。

在一种可能的实现方式中，所述使能模块还被配置为在所述验证模块验证出所述控制使能命令不是合法命令时，控制所述JTAG模块继续保持所述禁用状态。

在一种可能的实现方式中，所述验证模块包括接收子模块、解析子模块和比较子模块；

所述接收子模块，被配置为接收所述控制使能命令；

所述解析子模块，被配置为对所述控制使能命令进行解析，得到相应的控制密码；

所述比较子模块，被配置为将所述控制密码与预先存储的使能密码相比较，在比较出所述控制密码与所述使能密码相一致时，验证出所述控制使能命令为合法命令。

根据本申请的一方面，还提供了一种固件安全防护系统，包括命令发送模块和前面任一所述的固件安全防护装置；

其中，所述命令发送模块适用于装载在上位机中，并被配置为下发控制使能命令至所述固件安全防护装置中的控制模块。

根据本申请的另一方面，还提供了一种固件安全防护设备，包括：

处理器；

用于存储处理器可执行指令的存储器；

其中，所述处理器被配置为执行所述可执行指令时实现前面任一所述的方法。

本申请实施例的固件安全防护方法，通过将芯片中所配置的JTAG模块的默认状态设置为禁用状态，同时在芯片内配置控制模块，由控制模块接收上位机下发的控制使能命令，并将接收到的控制使能命令传输至芯片内的处理器，由处理器对控制使能命令进行验证，在验证出控制使能命令为合法命令时再将JTAG模块的状态切换为使能状态，以达到使能JTAG模块地目的。通过在芯片内配置控制模块，并由处理器对JTAG模块进行使能控制，有效防止了在芯片调试阶段或测试阶段时，JTAG模块一直处于使能状态从而导致芯片内固件外泄的情况，有效保证了固件的安全性。同时，还通过对芯片的JTAG模块进行使能控制，相较于相关技术中对固件直接进行加密来实现固件安全防护的方式，有效避免了芯片启动时还需要对固件进行解密的操作，这也就有效加快了芯片的启动效率。

根据下面参考附图对示例性实施例的详细说明，本申请的其它特征及方面将变得清楚。

附图说明

包含在说明书中并且构成说明书的一部分的附图与说明书一起示出了本申请的示例性实施例、特征和方面，并且用于解释本申请的原理。

图1示出本申请实施例的固件安全防护方法的流程图；

图2示出实现本申请实施例的固件安全防护方法的系统结构示意图；

图3示出本申请实施例的固件安全防护方法的数据传输过程示意图；

图4示出本申请实施例的固件安全防护装置的结构框图；

图5示出本申请实施例的固件安全防护设备的结构框图。

具体实施方式

以下将参考附图详细说明本申请的各种示例性实施例、特征和方面。附图中相同的附图标记表示功能相同或相似的元件。尽管在附图中示出了实施例的各种方面，但是除非特别指出，不必按比例绘制附图。

在这里专用的词“示例性”意为“用作例子、实施例或说明性”。这里作为“示例性”所说明的任何实施例不必解释为优于或好于其它实施例。

另外，为了更好的说明本申请，在下文的具体实施方式中给出了众多的具体细节。本领域技术人员应当理解，没有某些具体细节，本申请同样可以实施。在一些实例中，对于本领域技术人员熟知的方法、手段、元件和电路未作详细描述，以便于凸显本申请的主旨。

图1示出根据本申请实施例的固件安全防护方法的流程图。图2示出实现本申请实施例的固件安全防护方法的系统结构示意图。如图1和图2所示，该方法包括：步骤S100，配置在芯片内的控制模块接收上位机下发的控制使能命令后，将接收到的控制使能命令传输至芯片的处理器。此处，需要指出的是，芯片可以为各种类型的芯片，如：可以为SSD芯片，还可以为其他芯片等，此处不对芯片的类型进行限定。同时，在本申请中，芯片内所配置的JTAG模块的默认状态为禁用状态，从而在对芯片进行调试阶段时，JTAG仿真器与JTAG模块之间是不能进行数据读取和传输的。上位机与芯片的处理器之间的数据传输通过芯片内所配置的控制模块来实现。

步骤S200，处理器接收并验证控制使能命令是否为合法命令。在验证出控制使能命令为合法命令时，则通过步骤S300，将芯片中所配置的JTAG模块由默认的禁用状态切换为使能状态。

由此，本申请实施例的固件安全防护方法，通过将芯片中所配置的JTAG模块的默认状态设置为禁用状态，同时在芯片内配置控制模块，由控制模块接收上位机下发的控制使能命令，并将接收到的控制使能命令传输至芯片内的处理器，由处理器对控制使能命令进行验证，在验证出控制使能命令为合法命令时再将JTAG模块的状态切换为使能状态，以达到使能JTAG模块地目的。通过在芯片内配置控制模块，并由处理器对JTAG模块进行使能控制，有效防止了在芯片调试阶段或测试阶段时，JTAG模块一直处于使能状态从而导致芯片内固件外泄的情况，有效保证了固件的安全性。同时，还通过对芯片的JTAG模块进行使能控制，相较于相关技术中对固件直接进行加密来实现固件安全防护的方式，有效避免了芯片启动时还需要对固件进行解密的操作，这也就有效加快了芯片的启动效率。

其中，需要指出的是，在本申请实施例的固件安全防护方法中，上位机下发控制使能命令至芯片内的控制模块时，上位机与芯片之间的通讯协议可以根据实际情况由芯片原厂商进行自定义。同时，上位机所下发的控制使能命令同样可以由芯片研发厂商进行自定义设置。也就是说，在本申请实施例的固件安全防护方法中，通过控制模块来实现上位机与芯片内处理器之间的数据通信的通信协议以及上位机下发的控制使能命令均是由芯片原厂商自己定义的，对于其他用户来说则均是不可见的，这也就保证了通过对JTAG模块的使能控制来实现对固件的安全防护作用。

在一种可能的实现方式中，控制使能命令可以包括芯片的基本信息和用户所自定义的专属信息两部分。其中，芯片的基本信息包括芯片型号、芯片类型和芯片大小中的至少一种。专属信息则为专设的私密信息，该私密信息为非公开的，主要用于实现对JTAG模块的使能控制。应当指出的是，专属信息也是由芯片原厂商根据实际情况进行自定义的，此处不进行具体限定。

也就是说，上位机所下发的控制使能命令为特定的命令序列，该控制使能命令针对不同的芯片设置不同的命令序列，这就使得每一个芯片(或每一种类型的芯片)均具有自己专属的控制使能命令。由此，通过将控制使能命令设置为特定的命令序列，使得控制使能命令具有唯一性，并与芯片一一对应，这也就更进一步的提高了固件安全防护的可靠性和安全性。

其中，应当指出的是，对于同一类型(或同一型号)的芯片可以采用相同的控制使能命令进行芯片内JTAG模块的使能控制，从而便于芯片的批量生产。

此外，在通过步骤S200，处理器接收并验证控制使能命令是否为合法命令验证出控制使能命令不是合法命令时，表明此时上位机所发送的控制使能命令并不是经过授权后的命令序列，因此可通过步骤S400，控制JTAG模块继续保持默认的禁用状态，以防止对固件的窃取，保证芯片内固件的安全性。

更进一步的，在本申请实施例的固件安全防护方法中，处理器接收并验证控制使能命令是否为合法命令时，可以通过以下方式来实现。

即，处理器接收控制使能命令并对控制使能命令进行解析，得到相应的控制密码。然后，将得到的控制密码与预先存储的使能密码相比较，在比较出控制密码与预先存储的使能密码相一致时，则可以验证出当前接收到的控制使能命令为合法命令。在比较出控制密码与预先存储的使能密码不一致时，则表明此时所接收到的控制使能命令并不是经过授权后的命令序列，因此可直接验证出当前接收到的控制使能命令不是合法命令。

通过采用对控制使能命名进行解析，并与预先存储的使能密码相比较的方式对控制使能命令的合法性进行验证，实现逻辑简单，并且逻辑运算量小，有效节省了逻辑运算时的能耗。

此处，还需要指出的是，本领域技术人员可以理解的是，处理器对接收到的控制使能命令的解析方式可以采用本领域的常规技术手段来实现，还可以自行设计解析方式，此处不进行具体限定。

同时，还应当指出的是，为了保证本申请实施例的固件安全防护方法的可靠性，配置在芯片内的控制模块只要求具有数据传输的功能即可。即，在芯片内所配置的控制模块只需要能够接收上位机下发的控制使能命令，并将接收到的控制使能命令传输至处理器即可。因此，该控制模块可以采用UART、SPI和I2C中的任意一种来实现。

更进一步的，在本申请实施例的固件安全防护方法中，在上位机下发控制使能命令至控制模块之前，还包括：上位机下发握手信号至控制模块，由控制模块将握手信号发送至处理器。处理器接收握手信号并基于握手信号与上位机建立连接。即，参阅图3，在上位机下发控制使能命令之前，需要先与芯片内的处理器建立连接，达成握手协议从而保证控制使能命令的顺利下发。

需要说明的是，尽管以图1至图3作为示例介绍了如上所述的固件安全防护方法，但本领域技术人员能够理解，本申请应不限于此。事实上，芯片开发厂商完全可根据个人喜好和/或实际应用场景灵活设定控制使能命令的内容以及控制使能命令的验证方式，只要能够达到对芯片内的JTAG模块的使能控制即可。

相应的，基于前面任一所述的固件安全防护方法，本申请还提供了一种固件安全防护装置。由于本申请提供的固件安全防护装置的工作原理与本申请的固件安全防护方法的原理相同或相似，因此重复之处不再赘述。

参阅图4，本申请实施例提供的固件安全防护装置100，包括控制模块110、验证模块120和使能模块130。其中，控制模块110配置在芯片300内部，并被配置为接收上位机400下发的控制使能命令，将接收到的控制使能命令传输至芯片300的处理器(即，芯片内部CPU310)；验证模块120配置在处理器中，并被配置为接收控制使能命令并验证控制使能命令是否为合法命令；使能模块130配置在处理器中，并被配置为在验证模块120验证出控制使能命令为合法命令时，将芯片300中所配置的JTAG模块320由默认的禁用状态切换为使能状态。

在一种可能的实现方式中，使能模块130还被配置为在验证模块120验证出控制使能命令不是合法命令时，控制JTAG模块320继续保持禁用状态。

在一种可能的实现方式中，验证模块120包括接收子模块、解析子模块和比较子模块(图中未示出)。其中，接收子模块，被配置为接收控制使能命令；解析子模块，被配置为对控制使能命令进行解析，得到相应的控制密码；比较子模块，被配置为将控制密码与预先存储的使能密码相比较，在比较出控制密码与使能密码相一致时，验证出控制使能命令为合法命令。

进一步的，基于前面任何所述的固件安全防护装置100，本申请还提供了一种固件安全防护系统，包括命令发送模块(图中未示出)和前面任一所述的固件安全防护装置100。其中，命令发送模块适用于装载在上位机400中，并被配置为下发控制使能命令至固件安全防护装置100中的控制模块110。

其中，固件安全防护装置100中的控制模块110配置在芯片300内部，并用于接收上位机400装载的命令发送模块所下发的控制使能命令，将控制使能命令传输至芯片300内部的处理器中。处理器中所配置的验证模块120对控制使能模块130进行验证，在验证出控制使能模块130为合法命令时，则控制芯片300的JTAG模块由默认的禁用状态转换为使能状态。

本申请的固件安全防护系统，通过将芯片300的JTAG模块默认为禁用状态，并在芯片300内部配置控制模块110，该控制模块110与配套设置的上位机400软件(即，命名发送模块)相结合，接收上位机400软件下发的控制使能模块130并传输给处理器，处理器根据接收到的控制使能命令对JTAG模块的使能进行控制，从而限制了JTAG模块对芯片300内的固件运行的追踪功能，防止了通过JTAG模块窃取芯片300内部的固件的情况。

由此，使用本申请实施例的固件安全防护系统对芯片300内部的固件进行安全防护时，只需要将芯片300内的JTAG模块的默认状态设置为禁用状态，并在芯片300内配置控制模块110，同时自定义所配套设计的上位机400软件与控制模块110之间的通讯协议和控制使能命令即可实现。

其中，本领域技术人员可以理解的是，在本申请实施例的固件安全防护系统中，将芯片300内部所配置的JTAG模块320的默认状态设置为禁用状态，从而对芯片300进行调试时，JTAG仿真器500与JTAG模块320之间是不能进行数据读取和传输的，只有通过处理器对JTAG模块320进行使能控制，将JTAG模块320的状态转换为使能状态之后才能进行数据传输，这也就有效防止了JTAG仿真器500通过JTAG模块320对固件的运行进行追踪和提取数据的情况，从而避免了固件的外泄。

更进一步地，根据本申请的另一方面，还提供了一种固件安全防护设备200。参阅图5，本申请实施例的固件安全防护设备200包括处理器210以及用于存储处理器210可执行指令的存储器220。其中，处理器210被配置为执行可执行指令时实现前面任一所述的固件安全防护方法。

此处，应当指出的是，处理器210的个数可以为一个或多个。同时，在本申请实施例的固件安全防护设备200中，还可以包括输入装置230和输出装置240。其中，处理器210、存储器220、输入装置230和输出装置240之间可以通过总线连接，也可以通过其他方式连接，此处不进行具体限定。

存储器220作为一种计算机可读存储介质，可用于存储软件程序、计算机可执行程序和各种模块，如：本申请实施例的固件安全防护方法所对应的程序或模块。处理器210通过运行存储在存储器220中的软件程序或模块，从而执行固件安全防护设备200的各种功能应用及数据处理。

输入装置230可用于接收输入的数字或信号。其中，信号可以为产生与设备/终端/服务器的用户设置以及功能控制有关的键信号。输出装置240可以包括显示屏等显示设备。

根据本申请的另一方面，还提供了一种非易失性计算机可读存储介质，其上存储有计算机程序指令，计算机程序指令被处理器210执行时实现前面任一所述的固件安全防护方法。

以上已经描述了本申请的各实施例，上述说明是示例性的，并非穷尽性的，并且也不限于所披露的各实施例。在不偏离所说明的各实施例的范围和精神的情况下，对于本技术领域的普通技术人员来说许多修改和变更都是显而易见的。本文中所用术语的选择，旨在最好地解释各实施例的原理、实际应用或对市场中的技术的技术改进，或者使本技术领域的其它普通技术人员能理解本文披露的各实施例。

Claims (10)

1.一种固件安全防护方法，其特征在于，包括：

配置在芯片内的控制模块接收上位机下发的控制使能命令后，将所述控制使能命令传输至所述芯片的处理器；

所述处理器接收并验证所述控制使能命令是否为合法命令；

在验证出所述控制使能命令为合法命令时，将所述芯片中所配置的JTAG模块由默认的禁用状态切换为使能状态；

上位机所下发的控制使能命令为特定的命令序列，该控制使能命令针对不同的芯片设置不同的命令序列，这就使得每一个芯片或每一种类型的芯片均具有自己专属的控制使能命令。

2.根据权利要求1所述的方法，其特征在于，还包括：

在验证出所述控制使能命令不是合法命令时，控制所述JTAG模块继续保持默认的所述禁用状态。

3.根据权利要求1所述的方法，其特征在于，所述处理器接收并验证所述控制使能命令是否为合法命令，包括：

所述处理器接收所述控制使能命令并对所述控制使能命令进行解析，得到相应的控制密码；

将所述控制密码与预先存储的使能密码相比较；

在所述控制密码与所述使能密码相一致时，验证出所述控制使能命令为合法命令。

4.根据权利要求1至3任一项所述的方法，其特征在于，所述控制模块包括UART、SPI和I2C中的任意一种。

5.根据权利要求1至3任一项所述的方法，其特征在于，在所述控制模块接收所述上位机下发的所述控制使能命令之前，还包括：

所述上位机下发握手信号至控制模块，由所述控制模块将所述握手信号发送至所述处理器；

所述处理器接收所述握手信号并基于所述握手信号与所述上位机建立连接。

6.一种固件安全防护装置，其特征在于，包括控制模块、验证模块和使能模块；

其中，所述控制模块配置在芯片内部，并被配置为接收上位机下发的控制使能命令，将接收到的所述控制使能命令传输至所述芯片的处理器；

所述验证模块配置在所述处理器中，并被配置为接收所述控制使能命令并验证所述控制使能命令是否为合法命令；

所述使能模块配置在所述处理器中，并被配置为在所述验证模块验证出所述控制使能命令为合法命令时，将所述芯片中所配置的JTAG模块由默认的禁用状态切换为使能状态；

上位机所下发的控制使能命令为特定的命令序列，该控制使能命令针对不同的芯片设置不同的命令序列，这就使得每一个芯片或每一种类型的芯片均具有自己专属的控制使能命令。

7.根据权利要求6所述的装置，其特征在于，所述使能模块还被配置为在所述验证模块验证出所述控制使能命令不是合法命令时，控制所述JTAG模块继续保持所述禁用状态。

8.根据权利要求6所述的装置，其特征在于，所述验证模块包括接收子模块、解析子模块和比较子模块；

所述接收子模块，被配置为接收所述控制使能命令；

所述解析子模块，被配置为对所述控制使能命令进行解析，得到相应的控制密码；

所述比较子模块，被配置为将所述控制密码与预先存储的使能密码相比较，在比较出所述控制密码与所述使能密码相一致时，验证出所述控制使能命令为合法命令。

9.一种固件安全防护系统，其特征在于，包括命令发送模块和权利要求6至8任一项所述的固件安全防护装置；

其中，所述命令发送模块适用于装载在上位机中，并被配置为下发控制使能命令至所述固件安全防护装置中的控制模块。

10.一种固件安全防护设备，其特征在于，包括：

处理器；

用于存储处理器可执行指令的存储器；

其中，所述处理器被配置为执行所述可执行指令时实现权利要求1至5中任意一项所述的方法。