CN113158203A - 一种soc芯片、电路和soc芯片的外部数据读写方法 - Google Patents

Abstract

本申请公开了一种SOC芯片,包括CPU和加解密同步数据传输接口，加解密同步数据传输接口包括第一数据连接端口、第二数据连接端口和加解密数据转换模块，加解密数据转换模块用于当CPU对外部存储器进行读写时，将第二数据连接端口输入的已加密数据解密后通过第一数据连接端口发送给CPU，或将第一数据连接端口输入的未加密数据加密后通过第二数据连接接口发送给外部存储器。由于通过对外部存储器进行数据读写时的通讯数据进行在线加解密，实现SOC芯片对外部存储器中存储数据进行在线加解密和传输同步，使得SOC芯片在满足数据外部存储的安全性要求的前提下，还可以直接在外部存储器上直接执行程序。

Description

一种SOC芯片、电路和SOC芯片的外部数据读写方法

技术领域

本发明涉及芯片技术领域，具体涉及一种SOC芯片、电路和SOC芯片的外部数据读写方法。

背景技术

随着IoT、边缘计算、人工智能的快速发展，智能设备硬件系统设计复杂度越来越高，设备主控所需要运行的代码和处理的数据容量也在不断地增大，大容量串行接口存储器的使用越来越广泛，例如在SOC（System on Chip，系统级芯片）中使用的SPI通信接口的Flash。一般串行接口存储器中存储的数据是明文存储的，因此攻击者很容易通过串行通讯接口读取外部存储器内部的数据，进而可以进行固件分析、固件抄板、漏洞利用、病毒植入等一系列活动，这可能对设备的原厂以及用户带来不可估量的损失。

发明内容

本发明主要解决的技术问题是如何对SOC读写的外部数据进行保护。

根据第一方面，一种实施例中提供一种SOC芯片，包括CPU和加解密同步数据传输接口；

所述加解密同步数据传输接口包括第一数据连接端口、第二数据连接端口和加解密数据转换模块，所述第一数据连接端口与所述CPU连接，所述第二数据连接端口用于与一外部存储器连接，所述加解密数据转换模块分别与所述第一数据连接端口和第二数据连接端口连接；所述加解密数据转换模块用于当所述CPU对所述外部存储器进行读写时，将所述第二数据连接端口输入的已加密数据解密后通过所述第一数据连接端口发送给所述CPU，或将所述第一数据连接端口输入的未加密数据加密后通过所述第二数据连接接口发送给所述外部存储器；所述加解密同步数据传输接口集成在所述SOC芯片上。

根据第二方面，一种实施例中提供一种SOC芯片电路，包括第一方面所述的SOC芯片和外部存储器。

根据第三方面，一种实施例中提供一种SOC芯片的外部数据读写方法，所述SOC芯片包括CPU和加解密同步数据传输接口，所述CPU通过所述加解密同步数据传输接口读写外部存储器，其中，所述外部存储器存储的是已加密数据；

所述外部数据读写方法包括：

当所述加解密同步数据传输接口传输所述外部存储器存储的已加密数据给所述CPU时，对所述已加密数据进行解密以获取明文数据，并将所述明文数据发送给所述CPU；

和/或，当所述加解密同步数据传输接口传输明文数据给所述外部存储器时，对所述明文数据进行加密以获取加密数据，并将所述加密数据发送给所述外部存储器。

一实施例中，所述对所述明文数据进行加密以获取加密数据，包括：

获取第一生成密钥，并对所述第一生成密钥进行标记；

依据标记后的所述第一生成密钥采用第一预设加解密方法进行加密计算，以获取加密计算结果；

将所述加密计算结果与所述明文数据进行逻辑运算；

获取第二生成密钥，依据所述第二生成密钥，将逻辑运算后的所述明文数据采用第二预设加解密方法进行加密计算后输出给所述外部存储器；

和/或，所述对所述已加密数据进行解密以获取明文数据，并将所述明文数据发送给所述CPU，包括：

获取第一生成密钥，并对所述第一生成密钥进行标记；

依据标记后的所述第一生成密钥采用第一预设加解密方法进行解密计算，以获取解密计算结果；

将所述解密计算结果与所述加密数据进行逻辑运算；

获取第二生成密钥，依据所述第二生成密钥采用第二预设加解密方法对逻辑运算后的所述加密数据进行解密计算以获取所述明文数据，并将所述明文数据输出给所述CPU。

依据上述实施例的SOC芯片,包括CPU和加解密同步数据传输接口，加解密同步数据传输接口包括第一数据连接端口、第二数据连接端口和加解密数据转换模块，加解密数据转换模块用于当CPU对外部存储器进行读写时，将第二数据连接端口输入的已加密数据解密后通过第一数据连接端口发送给CPU，或将第一数据连接端口输入的未加密数据加密后通过第二数据连接接口发送给外部存储器。由于通过对外部存储器进行数据读写时的通讯数据进行在线加解密，实现SOC芯片对外部存储器中存储数据进行在线加解密，使得在满足数据外部存储的安全性要求的前提下，还可以直接在外部存储器上直接执行程序。

附图说明

图1为一种SOC芯片电路示意图；

图2为一种用于SOC芯片的外部数据读写方法；

图3为一种实施例中SOC芯片电路的内部结构连接示意图；

图4为一种实施例中加解密同步数据传输接口的结构连接示意图；

图5为一种实施例中SOC芯片的外部数据读写方法流程示意图；

图6为一种实施例中SOC芯片的外部数据读写方法流程示意图；

图7为一种实施例中加解密同步数据传输接口的结构连接示意图；

图8为一种实施例中加解密同步数据传输接口的结构示意图。

具体实施方式

下面通过具体实施方式结合附图对本发明作进一步详细说明。其中不同实施方式中类似元件采用了相关联的类似的元件标号。在以下的实施方式中，很多细节描述是为了使得本申请能被更好的理解。然而，本领域技术人员可以毫不费力的认识到，其中部分特征在不同情况下是可以省略的，或者可以由其他元件、材料、方法所替代。在某些情况下，本申请相关的一些操作并没有在说明书中显示或者描述，这是为了避免本申请的核心部分被过多的描述所淹没，而对于本领域技术人员而言，详细描述这些相关操作并不是必要的，他们根据说明书中的描述以及本领域的一般技术知识即可完整了解相关操作。

另外，说明书中所描述的特点、操作或者特征可以以任意适当的方式结合形成各种实施方式。同时，方法描述中的各步骤或者动作也可以按照本领域技术人员所能显而易见的方式进行顺序调换或调整。因此，说明书和附图中的各种顺序只是为了清楚描述某一个实施例，并不意味着是必须的顺序，除非另有说明其中某个顺序是必须遵循的。

本文中为部件所编序号本身，例如“第一”、“第二”等，仅用于区分所描述的对象，不具有任何顺序或技术含义。而本申请所说“连接”、“联接”，如无特别说明，均包括直接和间接连接（联接）。

现在技术中，SOC对外部读写数据的安全保护措施是在主控制器内部对数据进行加密，再通过串行接口写入外部存储器。当需要执行代码或者读取数据时，先从外部存储器读入数据、并进行解密，才能使用数据，该安全保护措施读写外部数据的效率低下，且无法直接执行在外部存储器上程序。

请参考图1，为一种SOC芯片电路示意图，包括SOC芯片1和外部存储器2。SOC芯片包括CPU10、外部数据传输接口20、ROM 30、SRAM 40、加解密模块50和密钥生成模块60。其中，外部存储器2包括Flash， SRAM40是片上静态随机存取存储器，ROM 30是片上只读存储器，外部数据传输接口20包括QSIP接口。传统的SOC芯片电路是将SOC芯片外挂一个SIP Flash芯片，用于固件及敏感信息的存储（明文数据存储）。当系统上电时SOC芯片从外部存储器2读取固件和敏感信息到内部SRAM40中，并进行执行和处理。该设计中存在很大的安全风险，恶意攻击者很容易获取存储在外部Flash中的固件和敏感数，从而进行抄板和攻击活动。

请参考图2，为一种用于SOC芯片的外部数据读写方法，包括：

步骤110，获取外部已加密的待处理数据。

响应CPU 10的读取命令，外部数据传输接口20获取外部存储器2中存储的已加密的待处理数据。

步骤120，对已加密的待处理数据进行解密。

外部数据传输接口20将获取的已加密的待处理数据发送给加解密模块50，加解密模块50依据密钥生成模块60生成的密钥对已加密的待处理数据进行解密。

步骤130，将已解密的待处理数据存入SRAM 。

加解密模块50将解密后的待处理数据存入SRAM 40中。

步骤140，CPU处理SRAM中已解密的待处理数据。

CPU10执行或处理SRAM40中存储的已解密的待处理数据。

从上述用于SOC芯片的外部数据读写方法可知，为了增加SOC芯片对外部数据的读写安全性，增加的加解密存储的过程，给数据的执行和处理带来了很多额外的代价，效率低下，并且CPU无法在外部储存器上直接执行程序。

在本申请实施例中，由于通过对外部存储器进行数据读写时的通讯数据进行在线加解密和传输同步，实现SOC芯片对外部存储器中存储数据进行在线加解密，使得在满足直接在外部存储器上直接执行程序的前提下，还能提高SOC芯片数据的外部存储的安全性。

实施例一：

请参考图3，为一种实施例中SOC芯片电路的内部结构连接示意图，SOC芯片电路包括SOC芯片1和外部存储器2。SOC芯片1包括CPU 10、ROM 30、SRAM 40、密钥生成模块60和加解密同步数据传输接口70。

请参考图4，为一种实施例中加解密同步数据传输接口的结构连接示意图，加解密同步数据传输接口70包括第一数据连接端口、第二数据连接端口和加解密数据转换模块71，第一数据连接端口与CPU 10连接，第二数据连接端口用于与一外部存储器2连接，加解密数据转换模块71分别与第一数据连接端口和第二数据连接端口连接。加解密数据转换模块71用于当CPU 10对外部存储器2进行读写时，将第二数据连接端口输入的已加密数据解密后通过第一数据连接端口发送给CPU 10，或将第一数据连接端口输入的未加密数据加密后通过第二数据连接接口发送给外部存储器2。加解密同步数据传输接口70集成在SOC芯片1上。一实施例中，第一数据连接端口通过系统总线与CPU 10连接，第二数据连接端口通过串行接口与外部存储器2连接。一实施例中，系统总线包括AHB总线，串行接口包括SPI接口一实施例中，SOC芯片1,还包括密钥生成模块，用于生成密钥给加解密数据转换模块71，以用于加解密数据转换模块71对CPU 10和外部存储器 1之间传输的数据进行加密或解密。

一实施例中加解密数据转换模块71包括密钥标记模块72、第一加解密模块73和逻辑运算模块74。密钥生成模块60用于生成第一生成密钥输出给第一加解密模块73。密钥标记模块72用于对第一生成密钥进行标记。第一加解密模块73用于应用第一预设加解密方法对标记后的第一生成密钥进行加解密计算，并将获取的加解密计算结果输出给逻辑运算模块74。逻辑运算模块74用于将加解密计算结果和第一数据连接端口输入的未加密数据进行逻辑运算，或将加解密计算结果和第二数据连接端口输入的已加密数据进行逻辑运算。一实施例中，加解密数据转换模块71还包括第二加解密模块75。密钥生成模块还用于生成第二生成密钥输出给第二加解密模块75。第二加解密模块用于应用第二预设加解密方法对逻辑运算后的未加密数据进行加密后通过第二数据连接端口输出，或对逻辑运算后的已加密数据进行解密后通过第一数据连接端口输出。一实施例中，第一预设加解密方法采用对称加解密算法的CTR模式。一实施例中，第二预设加解密方法采用非线性变换加解密算法。一实施例中，对称加解密算法包括但不限于AES加解密或SM4加解密。

本申请实施例中还公开了一种用于SOC芯片的外部数据读写方法，其中，SOC芯片包括CPU和加解密同步数据传输接口，CPU通过加解密同步数据传输接口读写外部存储器，外部存储器存储的是已加密数据，该外部数据读写方法包括：

当加解密同步数据传输接口传输外部存储器存储的已加密数据给CPU时，对已加密数据进行解密以获取明文数据，并将明文数据发送给CPU。

或，当加解密同步数据传输接口传输明文数据给外部存储器时，对明文数据进行加密以获取加密数据，并将加密数据发送给外部存储器。

请参考图5，为一种实施例中SOC芯片的外部数据读写方法流程示意图，包括：

步骤210，获取已加密的数据。

响应CPU的读取外部数据命令，加解密同步数据传输接口从外部存储器获取已加密的待处理数据。

步骤220，传输已加密的数据时进行同步解密。

加解密同步数据传输接口对传输的已加密的数据进行同步解密，对已加密数据进行解密以获取明文数据，并将明文数据发送给CPU，包括：

获取第一生成密钥，并对第一生成密钥进行标记。

依据标记后的第一生成密钥采用第一预设加解密方法进行解密计算，以获取解密计算结果。

将解密计算结果与加密数据进行逻辑运算。

获取第二生成密钥，依据第二生成密钥采用第二预设加解密方法对逻辑运算后的加密数据进行解密计算以获取明文数据。

步骤230，将已解密的数据发送给CPU。

将明文数据输出给CPU。

步骤240，CPU处理已解密的数据。

CPU获取或直接执行已解密的数据。

如图4所示，外部存储器2存储的已加密数据C1通过SIP接口传输给逻辑运算模块74，密钥生成模块60生成第一生成密钥和第二生成密钥分别发送给第一加解密模块73和第二加解密模块75。密钥标记模块72对密钥生成模块产生的密钥进行标记。第一加解密模块73对第一生成密钥进行解密计算，并将解密计算结果输出给逻辑运算模块74。逻辑运算模块74将解密计算结果和已加密数据C1进行逻辑运算，并将获取的逻辑运算结果发送给第二加解密模块75。第二加解密模块75依据第二生成密钥采用第二加解密计算方法对逻辑运算结果进行解密以获取明文数据P1，并将获取的明文数据P1发送给CPU。其中，逻辑运算模块74进行的逻辑运算为XOR计算。

请参考图6，为一种实施例中SOC芯片的外部数据读写方法流程示意图，包括：

步骤310，获取明文数据。

CPU将明文数据发送加解密同步数据传输接口。

步骤320，传输明文数据时进行同步加密。

加解密同步数据传输接口对传输的明文数据进行同步加密，对明文数据进行加密以获取加密数据，包括：

获取第一生成密钥，并对第一生成密钥进行标记。

依据标记后的第一生成密钥采用第一预设加解密方法进行加密计算，以获取加密计算结果。

将加密计算结果与明文数据进行逻辑运算。

获取第二生成密钥，依据第二生成密钥，将逻辑运算后的明文数据采用第二预设加解密方法进行加密计算，以获取加密数据。

步骤330，将加密数据发送给外部存储器。

将加密数据发送给外部存储器。

请参考图7，为一种实施例中加解密同步数据传输接口的结构连接示意图, CPU10中的明文数据P1通过AHB接口发送给逻辑运算模块74，密钥生成模块60生成第一生成密钥和第二生成密钥分别发送给第一加解密模块73和第二加解密模块75。密钥标记模块72对密钥生成模块产生的密钥进行标记。第一加解密模块73对第一生成密钥进行加密计算，并将加密计算结果输出给逻辑运算模块74。逻辑运算模块74将加密计算结果和明文数据P1进行逻辑运算，并将获取的逻辑运算结果发送给第二加解密模块75。第二加解密模块75依据第二生成密钥采用第二加解密计算方法对逻辑运算结果进行加密以获取加密数据C1，并将获取的加密数据C1发送给外部存储器。其中，逻辑运算模块74进行的逻辑运算为XOR计算。

请参考图8，为一种实施例中加解密同步数据传输接口的结构示意图，加解密同步数据传输接口包括第一数据连接端口76、第二数据连接端口77和加解密数据转换模块71。第一数据连接端口76包括XIP接口41、XIP命令控制模块42、高速缓存43和XIP数据控制模块44。第二数据连接端口77包括FIFO存储器52和OSPI接口51。一实施例中，加解密同步数据传输接口还包括第三数据连接端口78，第三数据连接端口78包括系统从接口31、命令控制模块32和数据控制模块33。

在本申请实施例中，加解密同步数据传输接口采用在串行接口存储器控制器的逻辑中加入加解密数据转换模块，一实施例中，将串行存储器控制器功能与对称密码结合实现数据读写的在线加解密的方法来提升了读写效率，其中，为了不影响通讯速率对称密码算法的核心加解密采用CTR模式，并增加3轮的非线性变换，抵抗密文比特的篡改攻击和加密密钥的破解攻击。不但对SOC芯片读写外部存储器的读写性能有明显的提升，还可以进行在线加解密，对软件透明，简化软件设计，并且当CODE在加密存储的情况下，CPU也可以对外部存储器的数据进行在线执行。

本申请公开了一种SOC芯片,包括CPU和加解密同步数据传输接口，加解密同步数据传输接口包括第一数据连接端口、第二数据连接端口和加解密数据转换模块，加解密数据转换模块用于当CPU对外部存储器进行读写时，将第二数据连接端口输入的已加密数据解密后通过第一数据连接端口发送给CPU，或将第一数据连接端口输入的未加密数据加密后通过第二数据连接接口发送给外部存储器。由于通过对外部存储器进行数据读写时的通讯数据进行在线加解密，实现SOC芯片对外部存储器中存储数据进行在线加解密和传输同步，使得SOC芯片在满足直接在外部存储器上直接执行程序的前提下，还能提高数据外部存储的安全性。

本领域技术人员可以理解，上述实施方式中各种方法的全部或部分功能可以通过硬件的方式实现，也可以通过计算机程序的方式实现。当上述实施方式中全部或部分功能通过计算机程序的方式实现时，该程序可以存储于一计算机可读存储介质中，存储介质可以包括：只读存储器、随机存储器、磁盘、光盘、硬盘等，通过计算机执行该程序以实现上述功能。例如，将程序存储在设备的存储器中，当通过处理器执行存储器中程序，即可实现上述全部或部分功能。另外，当上述实施方式中全部或部分功能通过计算机程序的方式实现时，该程序也可以存储在服务器、另一计算机、磁盘、光盘、闪存盘或移动硬盘等存储介质中，通过下载或复制保存到本地设备的存储器中，或对本地设备的系统进行版本更新，当通过处理器执行存储器中的程序时，即可实现上述实施方式中全部或部分功能。

以上应用了具体个例对本发明进行阐述，只是用于帮助理解本发明，并不用以限制本发明。对于本发明所属技术领域的技术人员，依据本发明的思想，还可以做出若干简单推演、变形或替换。

Claims (10)

1.一种SOC芯片,其特征在于，包括CPU和加解密同步数据传输接口；

所述加解密同步数据传输接口包括第一数据连接端口、第二数据连接端口和加解密数据转换模块，所述第一数据连接端口与所述CPU连接，所述第二数据连接端口用于与一外部存储器连接，所述加解密数据转换模块分别与所述第一数据连接端口和第二数据连接端口连接；所述加解密数据转换模块用于当所述CPU对所述外部存储器进行读写时，将所述第二数据连接端口输入的已加密数据解密后通过所述第一数据连接端口发送给所述CPU，或将所述第一数据连接端口输入的未加密数据加密后通过所述第二数据连接接口发送给所述外部存储器；所述加解密同步数据传输接口集成在所述SOC芯片上。

2.如权利要求1所述的SOC芯片,其特征在于，所述第一数据连接端口通过系统总线与所述CPU连接，所述第二数据连接端口通过串行接口与所述外部存储器连接。

3.如权利要求1所述的SOC芯片,其特征在于，还包括密钥生成模块，用于生成密钥给所述加解密数据转换模块，以用于所述加解密数据转换模块对所述CPU和外部存储器之间传输的数据进行加密或解密。

4.如权利要求3所述的SOC芯片,其特征在于，所述加解密数据转换模块包括密钥标记模块、第一加解密模块和逻辑运算模块；

所述密钥生成模块用于生成第一生成密钥输出给所述第一加解密模块；

所述密钥标记模块用于对所述第一生成密钥进行标记；

所述第一加解密模块用于应用第一预设加解密方法对标记后的所述第一生成密钥进行加解密计算，并将获取的加解密计算结果输出给所述逻辑运算模块；

所述逻辑运算模块用于将所述加解密计算结果和所述第一数据连接端口输入的未加密数据进行逻辑运算，或将所述加解密计算结果和所述第二数据连接端口输入的已加密数据进行逻辑运算。

5.如权利要求4所述的SOC芯片,其特征在于，所述加解密数据转换模块还包括第二加解密模块；

所述密钥生成模块还用于生成第二生成密钥输出给所述第二加解密模块；

所第二加解密模块用于应用第二预设加解密方法对逻辑运算后的所述未加密数据进行加密后通过所述第二数据连接端口输出，或对逻辑运算后的所述已加密数据进行解密后通过所述第一数据连接端口输出。

6.如权利要求5所述的SOC芯片,其特征在于，所述第一预设加解密方法采用对称加解密算法的CTR模式，所述第二预设加解密方法采用非线性变换加解密算法。

7.如权利要求6所述的SOC芯片,其特征在于，所述对称加解密算法包括AES加解密或SM4加解密。

8.一种SOC芯片电路，其特征在于，包括如权利要求1至7任一项所述的SOC芯片和外部存储器。

9.一种SOC芯片的外部数据读写方法，其特征在于，所述SOC芯片包括CPU和加解密同步数据传输接口，所述CPU通过所述加解密同步数据传输接口读写外部存储器，其中，所述外部存储器存储的是已加密数据；

所述外部数据读写方法包括：

当所述加解密同步数据传输接口传输所述外部存储器存储的已加密数据给所述CPU时，对所述已加密数据进行解密以获取明文数据，并将所述明文数据发送给所述CPU；

和/或，当所述加解密同步数据传输接口传输明文数据给所述外部存储器时，对所述明文数据进行加密以获取加密数据，并将所述加密数据发送给所述外部存储器。

10.如权利要求9所述的方法,其特征在于，所述对所述明文数据进行加密以获取加密数据，包括：

获取第一生成密钥，并对所述第一生成密钥进行标记；

依据标记后的所述第一生成密钥采用第一预设加解密方法进行加密计算，以获取加密计算结果；

将所述加密计算结果与所述明文数据进行逻辑运算；

获取第二生成密钥，依据所述第二生成密钥，将逻辑运算后的所述明文数据采用第二预设加解密方法进行加密计算后输出给所述外部存储器；

和/或，所述对所述已加密数据进行解密以获取明文数据，并将所述明文数据发送给所述CPU，包括：

获取第一生成密钥，并对所述第一生成密钥进行标记；

依据标记后的所述第一生成密钥采用第一预设加解密方法进行解密计算，以获取解密计算结果；

将所述解密计算结果与所述加密数据进行逻辑运算；

获取第二生成密钥，依据所述第二生成密钥采用第二预设加解密方法对逻辑运算后的所述加密数据进行解密计算以获取所述明文数据，并将所述明文数据输出给所述CPU。

Images