CN113853588A - 用于非易失性存储器的总线加密 - Google Patents

Abstract

本公开涉及用于存储器管理的设备和方法。本公开进一步涉及一种用于包含至少存储器阵列和耦合到所述存储器阵列的存储器控制器的快闪存储器装置的接口协议。主机装置通过通信信道耦合到所述存储器装置，且在所述通信信道中针对在所述主机装置与所述存储器阵列之间交换的数据、地址和命令采用硬件和/或软件完整加密‑解密方案。

Description

用于非易失性存储器的总线加密

技术领域

本公开大体上涉及存储器装置，且更确切地说，涉及用于存储器管理的设备和方法。本公开进一步涉及用于快闪存储器装置的接口协议。

背景技术

存储器装置通常提供为计算机或其它电子装置中的内部半导体集成电路。存在许多不同类型的存储器，包含易失性和非易失性存储器。易失性存储器可需要电力来维持其数据且包含随机存取存储器(RAM)、动态随机存取存储器(DRAM)和同步动态随机存取存储器(SDRAM)等等。

非易失性存储器可通过当未被供电时保持所存储的数据而提供持久的数据，且可包含NAND快闪存储器、NOR快闪存储器、只读存储器(ROM)、电可擦除可编程ROM(EEPROM)、可擦除可编程ROM(EPROM)以及电阻可变存储器，例如相变随机存取存储器(PCRAM)、自选基于硫属化物的存储器、电阻性随机存取存储器(RRAM)、3D XPoint存储器(3DXP)和磁阻随机存取存储器(MRAM)等等。

存储器还用作易失性和非易失性数据存储装置以用于广泛范围的电子应用和系统。非易失性存储器可用于例如个人计算机、便携式记忆棒、数码相机、蜂窝电话、例如MP3播放器、影片播放器之类的便携式音乐播放器以及其它电子装置。存储器单元可布置成阵列，其中所述阵列在存储器装置中使用。

数据的存储一直与系统性能相关，但其也成为系统安全性的关键元件。

当今大多数执行移动NAND存储器是基于UFS，由JEDEC群组标准化。UFS协议已提供两个安全原语：具有AES-XTS和重放受保护存储器块(RPMB)功能性的数据加密，强制使用用于命令的SHA-256HMAC认证。然而，这些加密机构在一端上缺乏驱动认证和存取图案混淆。此外，它们未被设计成充分利用新兴的非易失性存储器(NVM)特征，例如小页大小和原位更新。

需要提供可容易地集成在UFS堆栈中并且在不增加写入放大的同时改进性能的新接口架构。

附图说明

图1A为展示本公开的存储器装置中所使用的UFS接口协议的OSI/RM层与UniPro层规范之间的比较的框图的示意图；

图1展示根据本公开的若干实施例的呈包含存储器装置的计算系统形式的设备的框图；

图2为展示根据本公开的加密和解密方案的框图的示意图；

图3为展示根据本公开的若干实施例的交换数据的主机装置和相关联存储器装置的框图的示意图；

图4为展示根据本公开的若干实施例的交换数据的主机装置和相关联存储器装置的框图的另一示意图；

图5展示本公开的装置的UniPro层协议内部所使用的数据加扰技术的示意图；

图6展示报告根据本公开的方法的阶段的示意性框图；

图7展示报告根据本公开的方法的一些其它阶段的另一示意性框图。

具体实施方式

如在此特定技术领域中已知，通用快闪存储装置(UFS)是被设计成用于需要将电力消耗最小化的电子应用中的高性能接口，包含例如智能电话和平板计算机等移动系统以及汽车应用。其高速串行接口和优化协议实现对吞吐量和系统性能的显著改进。

更确切地说，UFS是数码相机、移动电话和消费型电子装置的快闪存储规范。其旨在为快闪存储器存储带来更高的数据传送速度和增强的可靠性，同时减少市场混淆且不再需要针对不同类型存储卡的不同适配器。

此标准快闪存储器规范由消费型电子行业中的前沿事务所支持。此外，UFS被定位为用于eMMC(嵌入式多媒体卡)和SD卡的替代。

用于UFS的电接口使用高速串行接口且实施全双工低电压差分信令(LVDS)串行接口。LVDS接口是指定差分串行通信协议的电特性的技术标准，所述差分串行通信协议以比eMMC的8路并行接口更好地按比例缩放到更高的带宽。

UFS标准由周期性地更新标准的JEDEC固态技术协会开发且可从其购得。甚至Linux内核也支持UFS。

此UFS协议在移动市场中流行，因为用户需要更快的响应时间且使用高带宽应用程序，例如视频游戏。在其最新版本(3.0)中，UFS提供两个安全原语：具有AES-XTS和RPMB功能性的数据加密，强制使用SHA-256HMAC认证。

图1A展示OSI/RM层的堆栈10与UFS接口协议的UniPro层规范的堆栈20之间的示意性比较。考虑协议堆栈的方式为将其视为处理管线，其中堆栈的任何层提供取决于其下方的层的服务。

图1A的左列上展示的开放系统互连模型(OSI模型)是表征和标准化电信或计算系统的通信功能而不考虑其底层内部结构和技术的概念模型。其目标是具有标准协议的不同通信系统的互操作性。所述模型将通信系统划分成抽象层。模型的原始版本定义七层。

较高层之间的通信往往会处于高抽象化层级，而较低层之间的通信往往会处于低抽象化层级。

所展示的两个协议可支持通向和来自例如相机或显示模块、高速调制解调器、协同处理器等装置的通信，且可完全在硬件中实施或实施为在通用处理器上运行的软件或硬件与软件的任何其它组合。

UniPro协议的右堆栈20中的每一层提供与OSI/RM协议的左堆栈10中的对应层基本上相同的功能性。

每一层被展示为具有对应标记且具有从L1至L7的参考字母。协议层之间的接口被定义在称为服务存取点(SAP)的抽象化层级处。

堆栈10的前三个媒体层L1、L2和L3是：物理层11、数据链路层12和网络层13。其余层是主机层且被定义为：输送层14、会话层15、呈现层16和应用层17。后三个层15至17专用于数据。在右堆栈20中，这最后三个层由单个专用协议LA块40表示。

应注意，堆栈10OSI/RM的物理层L1已在UniPro规范中被拆分成两个子层，即：物理适配器层L1.5和支持展示为M-PHY的规范的下部物理子层L1。

被指示为装置管理实体(DME)的块30未在OSI/RM协议堆栈中展示，但充当控制平面以初始化且控制实际数据输送中而非数据通信中所涉及的层。

虽然可用于安全性应用，但是这些加密机构具有一些限制，因为它们仅对数据提供保护且将通信信道上的信息传送暴露给可能的攻击者。具备小页大小和原位更新以及其它特征的新的新兴非易失性存储器(NVM)正在开发中。

在涉及非易失性存储器(NVM)的所有应用中，非常期望保证命令、地址和数据的机密性、完整性和真实性。

然而，由UFS标准及其原语提供的现有解决方案并未解决此需求，因为其缺乏驱动认证和存取图案混淆。

因此，需要提供可使用非易失性存储器部分实施于所有装置中的更安全UFS协议。

此外，此类更安全UFS协议应可用于包含新兴存储器的所有未来架构中。

本公开建议通过对在通信信道，例如互连总线，上行进的数据、地址和评论采用完整加密/解密方案来在UFS协议的物理层之间的中间层级处，基本上在物理适配器层L1.5与支持规范M-PHY的下部物理子层L1之间干预。当然可实施无线或光学通信信道而非互连总线。

本公开的一个实施例涉及一种设备，其包括：

-存储器装置，其包含至少存储器阵列和耦合到所述至少存储器阵列的存储器控制器；

-主机装置，其通过通信信道耦合到所述存储器装置；以及

-在用于与所述至少存储器阵列交换的数据、地址和命令的所述通信信道中采用的硬件和/或软件加密-解密方案。

此外，根据UFS协议实施用于所述至少存储器阵列的数据、地址和命令的总线加密或解密。

此外，与所述通信信道进行通信的存储器控制器被构造成用于对所述数据、地址和命令进行加密和/或解密，且其中主机装置包括与所述通信信道总线进行通信且被构造成用于对所述数据、地址和命令进行加密和/或解密的至少控制器。

存储器装置包括NAND存储器装置或非易失性存储器装置。

然而，在本公开的一个实施例中，存储器装置可为包含至少第一存储类存储器阵列和至少第二非易失性存储器阵列的混合存储器装置。

虽然下文的描述是指包含存储类存储器和NAND存储器的实施例，但其它实施例是可能的，包含不同存储器类型，例如：NAND快闪存储器、NOR快闪存储器、只读存储器(ROM)、电可擦除可编程ROM(EEPROM)、可擦除可编程ROM(EPROM)和电阻可变存储器，例如相变随机存取存储器(PCRAM)、自选基于硫属化物的存储器、电阻性随机存取存储器(RRAM)、3DXPoint存储器(3DXP)和磁阻随机存取存储器(MRAM)等等。

举例来说，第一存储器阵列和第二存储器阵列可分别为单个裸片存储器阵列的第一存储器阵列部分和第二存储器阵列部分，或使用其它存储器类型。

本公开进一步涉及一种用于管理来自/去向设备的数据、地址和命令的方法，其包括：

在所述设备的通信信道上交换数据、地址和命令，

对在所述通信信道上交换的数据、地址和命令进行硬件和/或软件加密-解密。

为了更好地理解本公开，应注意，具有AES-XTS的数据加密在被正确地设定时将能够保证所需的数据的三个特性，也就是说：机密性、完整性和真实性。然而，此加密不会为地址或命令提供保护。

相反，保护系统免于无意的改写、恶意攻击和克隆是必不可少的。在一些应用中，使用被称为重放受保护存储器块(RPMB)的技术提供数据、命令和地址的完整性和真实性。使用此技术，认证RPMB数据擦除和写入保护命令，且验证其完整性，但其从未被加密。

此外，存储器地址从未被加密。

通过对命令和地址进行篡改，攻击者可例如通过恢复已被舍弃但尚未擦除的数据或通过例如利用隐藏的供应商命令来暗中损害整个系统的安全性。

通过观察存储器存取图案，攻击者可能够发动基于高速缓存的攻击，这可导致例如加密密钥之类的秘密被提取。

此外，存储器控制器还暴露在外部攻击者的模糊测试中。这可揭示驱动器的实施方案中的漏洞且产生系统中的特许代码执行。

在任何情况下，当前加密方案未被设计成充分利用新兴的存储器特征，例如较小页大小和原位更新。这引起高延时和重写入放大因子。

已提议一些已知技术来减少写入循环的数目，例如数据比较写入(DCW)和翻转N写入(FNW)。

这两种技术都充分利用数据字内部的改变的位的稀疏性，以减少写入到大容量存储器部分的位的数目。然而，良好加密算法的特征在于扩散特性，并且因此在加密时具有汉明距离1的两个明文将具有平均为n/2的汉明距离，其中n是密文大小。

因此，将经加密数据存储在新兴的存储器中导致最终写入保存技术失效，因此降低其预期寿命。

举例来说，UFS驱动器中具有AES-XTS的数据加密的最小粒度为128位，因此甚至一个明文字中的单个位变化也导致对应密文中改变的64位的平均值。

为了避免所有上述缺点，本公开的一些实施例提供一种使用UFS协议的非易失性存储器装置的新总线加密方法。

所提议的架构以明文形式存储数据，因此利用所有现有写入减小技术且提供等效于未经加密的替代方案的写入放大因数。

本技术的新颖架构执行仅总线加密以保证发送到存储外围装置的数据、地址和命令未向外部攻击者公开且未被外部攻击者修改。

此外，根据本公开的一些实施例，所公开的架构为诸如3D XPoint(3DXP)的新兴存储器与UFS协议的未来集成铺路。

本公开架构下的想法是采用加密-解密方案，所述加密-解密方案防止总线窥探同时定义完整计算架构。

将仅总线加密方案集成在现有存储协议上的原始想法允许改进包含互连到控制器的存储器部分的电子设备的安全性，如通过以下描述将会更清楚。

本公开包含与混合存储器管理相关的设备和方法；举例来说，包含至少第一存储类存储器阵列和至少第二非易失性存储器阵列的存储器装置。

实例设备可包含第一存储器阵列、若干第二存储器阵列和耦合到所述第一存储器阵列且耦合到数个第二存储器阵列的控制器。

存储器装置可为混合存储器装置，其中第一存储器阵列可为存储类存储器，且数个第二存储器阵列可为不同类型的存储器，例如NAND快闪存储器。

所有上述存储器装置可被配置成执行写入操作。在若干实施例中，可在包含第一存储器阵列和若干第二存储器阵列的存储器装置上执行写入操作。

写入操作的执行涉及在由写入光标指示的位置处开始将数据写入到第一存储器阵列，且在完成写入操作的执行后将写入光标放置在第一存储器阵列中的经更新位置处，其中经更新位置为第一存储器阵列中的下一可用位置。

写入操作可包含将数据写入到第一存储器阵列和/或数个第二存储器阵列。可响应于存储在第一存储器阵列中的数据量低于阈值量而将数据写入到第一存储器阵列。

在若干实施例中，可基于指示写入操作将开始的位置的写入光标来写入对第一存储器阵列执行的写入操作。

写入光标的位置可基于写入阵列中的若干管理单元的状态，其中每一管理单元可具有有效、无效、空闲或不使用的状态。

写入光标的位置可在每一写入操作之后更新且放置在具有空闲状态的下一管理单元处。

举例来说，可基于管理单元的物理位置而按顺序次序将地址指派给管理单元，且管理单元基于其地址而按顺序次序迭代以确定管理单元的状态且将写入光标放置在经更新位置处。

类似地，在若干实施例中，读取操作可包含确定第一存储器阵列中的数据的管理单元图案干扰层级和原始位误差率(RBER)。

当管理单元图案干扰层级高于阈值或原始位误差率(RBER)高于阈值时，可执行移动操作以将数据移动到第一存储器阵列中的新位置。

当RBER高于阈值时数据可被移动到新位置，因为当从原始位置读取数据时错误校正(ECC)操作可能不能够校正错误。

当管理单元图案干扰层级高于阈值时数据可被移动到新位置，因为当从其中已至少数次编程了相邻管理单元的位置读取数据时，可更有可能发生错误。

在本公开的以下详细描述中，参考形成本公开的部分的附图，且图中通过图示的方式展示了可如何实践本公开的一或多个实施例。

足够详细地描述这些实施例以使得所属领域的一般技术人员能够实践本公开的实施例，且应理解，可利用其它实施例且可在不脱离本公开的范畴的情况下作出工艺、电气和/或结构变化。

如本文所使用，例如“N”或“M”等特定地关于图中的附图标记的指定符指示可包含若干如此标示的特定特征。还应理解，本文中所使用的术语仅仅是用于描述特定实施例且并不意图为限制性的。

如本文所使用，除非上下文另外明确规定，否则单数形式“一(a/an)”和“所述(the)”可包含单个指示物和多个指示物两者。另外，“数个”、“至少一个”和“一或多个”(例如，若干存储器阵列)可指一或多个存储器阵列，而“多个”意图指此类事物中的多于一者。

此外，贯穿本申请案以许可的意义(即，有可能、能够)而非以强制性的意义(即，一定)来使用单词“可(can/may)”。术语“包含”及其衍生词意味着“包含但不限于”。

视上下文而定，术语“耦合(coupled/coupling)”意味着物理上直接或间接连接或存取和移动(传输)命令和/或数据。视上下文而定，术语“数据”和“数据值”在本文中可互换地使用且可具有相同含义。

本文中的图式遵循编号惯例，其中前一或多个数字对应于图式编号，且其余数字标识图式中的元件或组件。

可使用类似数字来标识不同图式之间的类似元件或组件。如将了解，可添加、交换和/或去除本文中的各种实施例中展示的元件，以提供本公开的若干额外实施例。

另外，图式中所提供的元件的比例和/或相对尺度旨在示出本公开的某些实施例，并且不应被视作限制性意义。

图1是根据本公开的若干实施例的呈包含存储器装置106的计算系统100形式的设备的框图。

如本文所使用，“设备”可指但不限于多种结构中的任一者或结构的组合，例如电路或电路系统、一或多个裸片、一或多个模块、一或多个装置或一或多个系统。

在若干实施例中，计算系统100可包含数个存储器装置。在图1中所示的实施例中，存储器装置106可包含第一存储器类型(例如，第一存储器阵列110)和第二存储器类型(例如，数个第二存储器阵列112-1、……、112-N)。

存储器装置106可为混合存储器装置，其中存储器装置106包含第一存储器阵列110，所述第一存储器阵列是与数个第二存储器阵列112-1、……、112-N不同类型的存储器。

第一存储器阵列110可为存储类存储器(SCM)，其可为充当用于存储器装置106的主存储器的非易失性存储器，因为其具有比数个第二存储器阵列112-1、……、112-N快的存取时间。

第一存储器阵列110可为相变存储器(PCM)、自旋力矩转移(SST)存储器、铁电(FeRAM)、3D XPoint存储器(3DXP)、自选基于硫属化物的存储器和/或电阻性(RRAM)，以及其它类型的非易失性存储器。

数个第二存储器阵列112-1、……、112-N可充当用于存储器装置106的数据存储装置(例如，存储存储器)，且可为NAND快闪存储器，以及其它类型的存储器。

举例来说，数个第二存储器阵列112-1、……、112-N可为RAM、ROM、DRAM、SDRAM、PCRAM、RRAM和快闪存储器等。

如图1中所示出，主机102可经由接口104耦合到存储器装置106。主机104和存储器装置106可在接口或信道104上进行通信(例如，发送命令和/或数据)。

主机装置102可为具有嵌入式存储器组件106或包含连接到存储器装置的系统的更复杂电子装置的片上系统，如将从参考其它图式进行对本公开的其它实施例的描述所呈现。

主机102可为膝上型计算机、个人计算机、数码相机、数字记录和重放装置、移动电话、PDA、存储卡读取器、接口集线器以及其它主机系统，且可包含存储器存取装置，例如处理器。

所属领域的一般技术人员将理解，“处理器”可意指一或多个处理器，例如并行处理系统、若干协处理器等。

存储器装置106包含用以与主机102进行通信的控制器108以及第一存储器阵列110和数个第二存储器阵列112-1、……、112-N。

控制器108可发送命令以对第一存储器阵列110和数个第二存储器阵列112-1、……、112-N执行操作。控制器108可与第一存储器阵列110以及数个第二存储器阵列112-1、……、112-N进行通信以读取、写入、移动和/或擦除数据，以及进行其它操作。

控制器108可控制存储器装置106上的若干数据流。

举例来说，控制器108可控制将数据写入到第一存储器阵列110，将数据写入到数个第二存储器阵列112-1、……、112-N，从第一存储器阵列110读取数据，从数个第二存储器阵列112-1、……、112-N读取数据，将数据从第一存储器阵列110移动到数个第二存储器阵列112-1、……、112-N，以及将数据从数个第二存储器阵列112-1、……、112-N移动到第一存储器阵列110。

主机102包含主机控制器以与存储器装置106进行通信。主机控制器可经由接口104将命令发送到存储器装置106。主机控制器可与存储器装置106和/或存储器装置106上的控制器108进行通信以读取、写入和擦除数据，以及进行其他操作。

存储器装置106上的控制器108和/或主机102上的主机控制器可包含控制电路系统(例如，硬件、固件和/或软件)。

在一或多个实施例中，存储器装置106上的控制器108和/或主机102上的主机控制器可包含控制电路系统可为耦合到包含物理接口的印刷电路板的专用集成电路(ASIC)。并且，存储器装置106和主机102可包含易失性和/或非易失性存储器的缓冲器和若干寄存器。

出于本公开的目的，已假定整个计算系统100为安全域，且这意味着甚至主机102和存储器装置106也为安全域。由于若干防篡改技术可用于硅芯片中，因此主机102和存储器装置106为安全域的此假设是合理的。

在本公开的至少一个实施例中，提议集成到主机装置102与存储器装置106之间的接口104中的总线加密架构作为UFS标准，以保护数据、命令和地址。

接口或信道104的UFS协议已使用LFSR(线性反馈移位寄存器)在数据在UniPro规范中的层L1.5处被编码之前对数据进行加扰，如图1A和图1中分别展示。

通过用根据本公开的安全流密码替换所述LFSR，有可能保证重要的安全性特性。如先前所提及，本公开表明在UFS协议的物理层之间的中间层级处，基本上在物理适配器层L1.5与支持通常用于传输符号的规范M-PHY的下部物理子层L1之间干预。加密/解密层基本上集成到现有层中。

更确切地说，根据本实施例，准备好发送的符号被处置到适配器层L1.5中以使得此类符号更可能类似于噪声，即随机数据。这允许避免传输信道104上可能的干扰。

换句话说，本发明通过在物理层级处对例如互连总线的通信信道上行进的数据、地址和命令采用完整加密/解密方案而干预UFS协议。

已针对加密和/或解密阶段采用的模型是具有相关联数据的经认证加密(AEAD)，是同时确保数据的机密性和真实性的加密形式。这些属性提供于单个、易于使用的编程接口下。

举例来说，现在参考图2，其中展示通用原语AEAD加密块200连同通用AEAD解密块250。

块200的输入K为秘密密钥。输入DATA还可被视为具有相关联数据AD的明文PTX。这些相关联数据不被加密，但对加密数据的结果产生影响，例如，类似于对数据签名。

因此，块200的一个输出由加密数据CTX DATA的数据流表示，且另一输出由将在通信信道上传输的TAG值表示。

如果我们考虑解密块250，那么我们可注意到数据输入是加密块200的第一输出CTX DATA且第二输入由相同块200的相关联数据AD表示。使用相同的相关联数据AD将允许获得原始明文PTX。

上文所公开的情况确保数据机密性。如果将例如根据相关联数据修改两个块200或250中的仅一者或另一者，那么将获得不同明文PTX和不同TAG。然而，由于TAG值经由信道传输到解密块250，因此有可能检查TAG值是否保持相同(否则数据已更改)，由此还获得数据完整性。

如果我们获得机密性和完整性，那么还获得第三数据真实性特性。

出于性能原因，适当的是使用流密码以使得有可能在不依赖于所传送的数据的情况下提前产生伪随机字节流。然而，加密将保证数据的机密性而非完整性，而如我们已看到，使用散列函数，我们将保证完整性而非机密性。两个量度的组合可保证两个特性，且因此还有真实性。

UFS协议必须稍微适于支持初始化向量IV的交换，保护免于降级攻击和密钥初始化。此初始化向量是数据阵列，其用于初始化密码且有助于确定密码输出。

在这方面，本公开的协议架构的功能块在图3中展示。

UFS协议已采用256位共享秘密来提供RPMB功能性。在图3的架构中所展示的实例中可采用相同的共享秘密。

共享秘密通常由主机102在生产期间初始化，且可在完全大容量存储器部分安全擦除之后复位。

为了避免反重用攻击，一定从未用相同初始化向量IV和相同密钥对相同数据加密两次。

如果攻击者主动存取总线，那么他/她可篡改总是以明文发送的IV，由此能够强制一个端点两次产生相同伪随机流。

解决此潜在问题的一个可能性将为认证初始化向量IV消息，以使得另一端点可确保IV尚未被篡改。

可出于此目的采用由2008年的NIST标准化的HMAC消息认证协议。可以参考：2008年N.I.标准与技术的“密钥散列消息认证码(HMAC)(The keyed-hash messageauthentication code(HMAC))”。

图3展示报告在本公开的计算系统架构100中的图2的加密和解密方案的应用的示意图。

举例来说，计算系统300对应于图1的计算系统100，其包含主机系统302和根据在其间建立的通信信道中的UFS协议进行操作的存储器装置306。主机系统302和存储器装置306两者均包括表示UFS协议的上部自适应物理层的UFS L2块。

UFS L1块304可作为物理子层被视为通信信道。

主机系统302和存储器装置306两者拥有在前一步骤中已呈现为常见的相同密钥K1(即，口令)。换句话说，在此实例中，我们不具有密钥交换。

在此实施方案中，图2的加密块200等效于块320，其中相关联数据AD由初始化向量IV表示，且密码原语函数是流密码和HASH函数。换句话说，此处我们具有在块320中用作密码原语的散列函数和对称流密码的组合。

在此实例中，标记为“系统”302的虚线块可被视为如图1的块102的通用主机装置，而标记为“UFS装置”306的虚线块可被视为图1的存储器装置106。

这些块302和306两者均包含用以在可为例如有线总线、无线信道或光学信道之类的物理信道的通信信道304上传输和接收信息的硬件。

将我们的注意力集中于系统块302上，可了解，其包含对由表示UFS层L2的块330产生的p0值作用的散列函数块325。块325的加密散列函数包含将任意大小的数据映射到固定大小(散列)的位串的数学算法且被设计为单向函数。

块325产生与p0值组合的值h0。在逻辑求和节点335中将所述组合的结果添加到作为使用秘密密钥K1作为种子的伪随机数产生器而作用的流密码块E的输出。初始化向量IV还提供为流密码块E的输入。

求和节点335的输出被寻址到通信信道304且由包含位于UFS装置块306，即存储器装置，中的解密块350的对称结构接收。

因此，散列块325和流密码E的组合在以类似方式构造的对称加密块350中加倍，其中散列函数360对验证散列值正确的值p0和h0起作用。将解密的结果提供到表示存储器装置306中的UFS层L2的块370。

以上所公开的加密和解密块320和350的基础结构已在分别并入存储器装置306和主机装置302中的对应加密和解密块340和380中加倍。

这些块340、380还包含对应块320和350的组合散列函数和对称流密码，且对使用秘密密钥K2作为流密码E的种子的值p1和h1起作用。

因为这些块340、380的内部结构对应于对称块320和350的内部结构，所以我们将省略对其详细描述。

存储器装置306包括可被视为等效于图2的解密块250的解密块350。即使在此情况下，也使用对称流密码和HASH函数原语。

从先前公开内容应清楚，原语函数的选择对于本技术的正确实施方案而言并非基本的。

举例来说，在图4中报告替代实施框图利用具有相关联数据(AEAD)的经认证加密AE。

图4展示报告在本公开的计算系统架构100中的图2的加密和解密方案的应用的示意图。

举例来说，计算系统400对应于图1的计算系统100，其包含主机系统402和根据UFS协议进行操作的存储器装置406。主机系统402和存储器装置406两者均包括表示上部自适应物理层的UFS L2块。

UFS L1块404可作为物理子层被视为通信信道。

主机系统402和存储器装置406两者拥有在前一步骤中已呈现为常见的相同密钥K1(即，口令)。换句话说，在此实例中，我们不具有密钥交换。

在此实例中，主机装置402包含加密块420，所述加密块包含接收秘密密钥K1和初始化向量IV作为输入的经认证加密AE 425。

经认证加密块425在值p0上起作用且产生值c0和标签作为输出。此输出被寻址到通信信道404。

类似地，存储器装置406包含对应且对称的解密块450，所述解密块还包含接收秘密密钥K1和初始化向量IV作为输入的经认证解密块460。

存储器装置还包含接收秘密密钥K2和初始化向量IV作为输入的经认证加密AE块465。经认证加密块465在值p1上起作用且产生值c1和标签作为输出。此输出被寻址到通信信道404。

类似地，主机装置402包含对应且对称的解密块480，所述解密块还包含接收秘密密钥K2和初始化向量IV作为输入的经认证解密块475。

为了公开内容的完整性，应注意，物理层UFS在许多场合中不包括单个互连对，如同图3和4中所展示的那些，而是包括称为通路的多个互连。

因此，对于任何通路，使用图3和4两者中的第二密钥K2来重复加密，如对称块中所展示。

为了阻止生日悖论攻击且避免初始化向量IV重复，传输IV的一方应使用大计数器来产生其。

随着当前UFS数据加扰算法发生，主机之间的同步可能失去，如果发生了，那么以明文发送去偏差图案。当接收到图案时，加密必须复位，且必须产生新IV并将其传输到主机。

就本公开的完整性来说，我们现在将参考图5中展示的用于描述在M-PHY块内部使用的数据加扰技术以缓解与电磁干扰有关的问题的实例。

更确切地说，参考在至少四个通路的群组当中由编号550指示的单个通路#0来报告加扰的实例。加扰特征是任选的，但UniPro实施方案包含加扰的支持。

所传输的数据应通过伪随机位流(PRBS)加扰以减小链路中的重复图案的可能性。加扰支持将在PA层的入站和出站方向上实施。UniPro PA层(或PHY适配器层)是L1级与L2级之间的中间层，且在PA-TX处实施跳过符号插入，如下文将看到。将在每一电力模式变更请求处启用或停用加扰。在完成电力模式变更程序之后，新加扰设定适用于第一突发处的链路。

一旦激活加扰，将不会停用加扰，而是仅复位加扰。

在一个或另一个命令UniPro冷或温复位之后，停用加扰过程。仅在对等装置已标记PACP_CAP_EXT1_ind交换(PA_PeerScrambling)期间解扰数据的能力的情况下，将请求加扰。加扰请求始终涉及加扰入站和出站链路。然而，加扰将仅应用于Fast_Mode或FastAuto_Mode中的链路。尽管主动请求加扰，但不会对处于Slow_Mode或SlowAuto_Mode的链路进行加扰。

在PA_PDU映射到8位M-PHY符号之后且在M-TX内部进行8b10b编码之前，将在发射器处对PA层进行加扰。在M-RX内部进行10b8b解码之后且在将8位M-RX符号与PA_PDU匹配之前，将在接收器处对PA层进行解扰。

M-PHY跳过符号在使用的情况下总是在加扰器与8b10b编码器之间的PA TX处插入，且在10b8b解码器与解扰器之间的PA RX处移除。

数据加扰将应用于每通路基础。在多通路M-PORT链路中，加扰将呈现为在通路之间独立的。将加扰进入相同方向中的所有作用通路和传输虚拟突发的通路。将从不加扰M-PHY标记符号。如果启用加扰过程，那么将加扰M-PHY数据符号。

PRBS应使用包含自500至515的单元的线性反馈移位寄存器(LFSR)的伽罗瓦(Galois)形式来产生，且实施产生器多项式：

G(x)＝x16+x5+x4+x3+1

LFSR将取决于逻辑通路编号而被初始化到以下16位种子值：

·逻辑通路0：种子＝0x0040

·逻辑通路1：种子＝0x0080

·逻辑通路2：种子＝0x00C0

·逻辑通路3：种子＝0x0100

在作用通路中，初始化将在去偏差序列<MK0，MK1>的传输或接收期间触发，且将从(重新)初始化的LFSR输出G(x)开始加扰以下M-PHY数据符号。传输虚拟突发的通路将在突发开始时初始化LFSR。尝试飞行线路窥探的测试仪装备可使用去偏差图案来同步其自身的解扰器。

LFSR将在G(x)处针对待加扰的每一M-PHY符号产生八位序列，从其复位值开始。LFSR将针对每一M-PHY符号产生G(x)的新位序列，当将M-PHY标记符号呈现给加扰器时，LFSR多项式产生还将提前八位循环。然而，当在加扰过程之后逻辑上发生跳过符号插入时，跳过符号插入将不推进LFSR。

将通过八个位G(x)的序列的逐位加法(X-OR)来实现加扰，其中待加扰的M-PHY数据符号位从8位M-PHY数据符号的位0开始直至位7。加扰器首先对<高，低>符号对的高符号进行加扰。

本公开中所提议的总线加密架构具有一般有效性且可以许多方式实施。

图3和4被报告为实施方案的可能实例。那些实例涉及在移动高性能存储基础结构上定制的实施方案假设。

所附的两个实施方案假设均是基于众所周知的加密构建块，所述加密构建块已经历大量且独立的加密工作。

图3中展示的第一任选实施方案是具有快速流密码和对明文消息的附加散列摘录以保证完整性的架构。

我们需要采用任意输入长度、输出具有低延时的至少128位的HASH函数的散列算法。

所选择的HASH函数在加密方式上必须安全以避免第一和第二原像冲突。

在可能的替代功能中，已选择表1中展示的那些是已嵌入在已由2015年的NIST标准化的UFS控制器和SHA-3中的SHA-256。

表1：(散列算法基准)

SHA-3承载高区域消耗，但将能够用一个散列核心全速覆盖单个通路。

·ISO/IEC标准的部分

·经优化以用于轻量硬件加密

·当在FPGA中实施时，与AES-GCM相比，10×更高效节能。

作为替代方案，如图4中所展示，提议一种使用经认证加密(AE)原语的架构，以在加密期间产生完整性标签且同时执行解密和认证步骤。

在以下表2中，我们可以看到Enocoro-128v2的两个参考实施方案。

表2：(加密算法基准)

此实施方案的框图展示于图4中。

AE原语在其操作中如同流密码，不同之处在于其能够产生任意长度的认证标签。

如果在解密期间接收到的标签并不与所计算的标签匹配，那么不返回结果，以阻止选择-密文攻击(CCA)。

使用函数ACORN作为经认证流密码已允许在所有硬件实施方案中获得有效结果。

密码分析工作已报告ACORN函数可呈现自适应-选择-明文攻击(CPA2)风险且容易受故障注入侧信道攻击的影响。

然而，两个攻击中没有一个会使日常使用的密码变得不安全。

可通过选择128位的大小来设定认证标签大小，有可能暴力破解标签的概率与暴力破解加密密钥的概率一样高。

当使用ACORN密码时，不同IV/密钥对必须用于每一加密的消息。代替在每一消息处交换新128位IV，我们可采用每发送新消息时递增的128位计数器。

计数器可在去偏差图案发送之后同步。

对于通路同步，可能的方法可为以下：每当接收到去偏差图案时，PA层RX将在每一通路上锁定PA层符号同步。M-RX通过锁定到为去偏差图案的高部分的MK0来处理M-PHY符号同步。

在多通路使用中，PA层将由于通路之间的偏差且由于M-RX的独立RX时钟而使多个传入通路同步。通过对准从发射器并行发送的传入去偏差图案而发生通路同步。取决于去偏差要求，这可能需要例如在PA层RX内创建浅度去偏差FIFO。

对准器的原理操作将如下：

1.当突发开始时，通路并未被同步。

2.每一作用通路未检测到去偏差图案，PA层RX丢弃PA符号直至其检测到去偏差图案。

3.一旦所有活动通路已接收到去偏差图案，通路同步就会成功并且PA层RX就开始消耗PA符号。

4.如果PA层RX检测到新的去偏差图案，那么所有通路的通路同步都会损失且操作返回到步骤2。

在去偏差图案损失且PA层RX无法获取通路同步的情况下，同步通路的为既定行为的去偏差FIFO上溢。PA层RX应等待直到对等装置传输另一去偏差图案且将锁定到此第二模式为止。

最低限度地，PA层将能够在其PHY_SAP处以四个PA符号的通路至通路偏差正确地操作，参见表22的细节。

我们现在考虑此内容中的密钥管理。

最新UFS 3.0标准在其最大速度(GEAR4)下实现每通路1248MB/s的吞吐量。

UFS实施方案通常为每方向具有两个独立通路的全双工。结果，对于每个端点可能需要多达四个加密核心。

每一核心需要加密密钥，且必须注意不在所有密码上使用相同密钥，否则它们将产生相同伪随机流，从而产生IV重用攻击设定。

这将最终导致对协议消息的部分的检索。

所有加密密钥的串接消耗512位。因为此信息仅交换一次，所以方便的解决方案可为从主机侧上的声音伪随机数产生器导出所有密钥位。

其次，所产生的密钥将必须存储在SRAM中，使得当驱动器被重新初始化时，可重写所述密钥。

最后，出于完整性考虑，应注意，可如下处理计算系统的能力的管理。

本地和对等M-TX和M-RX可在能力方面不同。为了简化能力检查，PA层形成从对等M-TX开始且以本地M-RX结束的整个入站链路的通用能力值。用于计算共同容量值的等式稍后在此部分中列出。此能力降级自动地在链路启动序列结束时执行。

由于自动降级过程无法考虑基础OMC或来自物理互连的限制，因此应用程序具有通过这些属性改写所计算的能力的能力。

虽然能力降级仅进行一次，但在链路启动序列结束时，每当存在改变电力模式的请求时执行能力检查。PA层将验证入站链路能力。举例来说，如果本地装置想要改变出站链路的参数，那么对等PA层负责验证链路能力。

为了概述先前报告的实施例中所公开的技术，我们可参考图6和7的框图。

公开了一种用于管理在设备中交换数据、地址和命令的方法，所述设备包括：

-存储器装置，其包含至少非易失性存储器阵列和耦合到所述存储器阵列的控制器，以及

-主机装置，其通过通信信道耦合到所述存储器装置；

-其中数据、地址和命令的所述交换包含在所述通信信道中采用的硬件和/或软件加密-解密方案。

图6中的块610示出方法阶段，其中存储器装置被构造成用于通过通信信道交换数据、地址和命令，例如用于与例如主机装置102的主机装置进行通信。存储器装置可为图1的计算系统的示意性块106。

块610指示本公开的方法适用于管理来自/去向设备，即存储器设备，的数据、地址和命令的交换。

随后，在阶段620中，对数据、地址和命令应用硬件和/或软件完全加密-解密方案。

以此方式，针对如由块630重新标记的所交换数据获得数据的三个基本特性，也就是说：机密性、完整性和真实性。

此块630示出硬件和/或软件加密-解密数据、地址和命令在通信信道上有效地交换。

以定义本公开的方法的替代方式，如图7中所报告，在阶段710中，存储器装置被构造成用于与通信信道，例如在图1的主机装置102与存储器装置106之间建立的信道104，进行通信。

随后，在阶段720中，在主机装置与存储器装置之间的通信信道中实施UFS协议。

随后，在阶段730中，对在所述通信信道上交换的所有数据、地址和命令采用加密-解密方案。

尽管已在本文中说明并描述了具体实施例，但所属领域的一般技术人员应了解，经计算以实现相同结果的布置可取代所展示的具体实施例。本公开意图涵盖本公开的各种实施例的修改或变化。

应理解，以上描述已以说明性方式而非限制性方式进行。在审阅以上描述之后，上述实施例的组合以及本文中未具体描述的其它实施例对于所属领域的技术人员而言将是显而易见的。本公开的各种实施例的范畴包含其中使用以上结构和方法的其它应用。因此，本公开的各种实施例的范畴应参考所附权利要求书以及这些权利要求书所授予的等效物的完整范围来确定。

Claims (39)

1.一种设备，其包括：

存储器装置，其包含至少存储器阵列和耦合到所述至少存储器阵列的存储器控制器

主机装置，其通过通信信道耦合到所述存储器装置；以及

在所述通信信道中针对与所述至少存储器阵列交换的数据、地址和命令采用的硬件和/或软件加密-解密方案。

2.根据权利要求1所述的设备，其中根据UFS协议实施用于所述至少存储器阵列的所述加密或解密方案。

3.根据权利要求1所述的设备，其中所述存储器装置包括非易失性存储器装置或NAND存储器装置。

4.根据权利要求1所述的设备，其中所述加密-解密方案包含散列函数和流密码的至少组合，所述散列函数和流密码用作并入于所述主机装置中和所述存储器装置中的对称加密和解密块中的密码原语。

5.根据权利要求1所述的设备，其中所述存储器装置是包含至少第一存储类存储器阵列和至少第二非易失性存储器阵列的混合存储器装置。

6.根据权利要求5所述的设备，其中所述第二非易失性存储器阵列包括非易失性存储器装置或NAND快闪存储器装置。

7.根据权利要求1所述的设备，其中所述主机装置或所述存储器装置包含控制器，所述控制器与所述通信信道进行通信且被构造成用于对所述数据、地址和命令进行加密和/或解密。

8.根据权利要求1所述的设备，其中所述加密-解密方案包含接收秘密密钥和初始化向量作为输入的至少经认证加密AE块。

9.根据权利要求1所述的设备，其中与所述通信信道进行通信的所述存储器控制器被构造成用于对所述数据、地址和命令进行加密和/或解密，且其中所述主机装置包括与所述通信信道进行通信且被构造成用于对所述数据、地址和命令进行加密和/或解密的至少控制器。

10.根据权利要求1所述的设备，其中所述数据、地址和命令通过使用对称加密来保证数据、地址和命令的完整性的重放受保护存储器块(RPMB)而被加密。

11.根据权利要求1所述的设备，其中所述数据、地址和命令在传输于所述通信信道上之前和之后被加密。

12.根据权利要求1所述的设备，其中所述通信信道是互连总线、无线信道或光学信道。

13.一种设备，其包括：

存储器装置，其包含存储器阵列和存储器控制器；

主机装置，其与所述存储器装置相关联；

通信信道，其在所述主机装置与所述存储器装置之间；

所述通信信道被构造和配置成用于交换经加密和/或经解密数据、地址和命令。

14.根据权利要求13所述的设备，其中根据UFS协议交换所述经加密和/或经解密数据、地址和命令。

15.根据权利要求13所述的设备，其中所述存储器装置包括非易失性存储器装置或NAND存储器装置。

16.根据权利要求13所述的设备，其中所述主机装置或所述存储器装置包含硬件或软件加密-解密方案，所述硬件或软件加密-解密方案包括散列函数和流密码的至少组合，所述散列函数和流密码用作并入于所述主机装置中和所述存储器装置中的对称加密和解密块中的密码原语。

17.根据权利要求13所述的设备，其中所述存储器装置是包含至少第一存储类存储器阵列和至少第二非易失性存储器阵列的混合存储器装置。

18.根据权利要求17所述的设备，其中所述第二非易失性存储器阵列包括非易失性存储器装置或NAND快闪存储器装置。

19.根据权利要求16所述的设备，其中所述加密-解密方案包含接收秘密密钥和初始化向量作为输入的至少经认证加密AE块。

20.根据权利要求13所述的设备，其中所述数据、地址和命令通过使用对称加密来保证数据、地址和命令的完整性的重放受保护存储器块(RPMB)而被加密。

21.根据权利要求13所述的设备，其中所述数据、地址和命令在传输于所述通信信道上之前被加密且之后被解密。

22.根据权利要求13所述的设备，其中所述通信信道是互连总线、无线信道或光学信道。

23.一种存储器装置，其包含：

存储器控制器，其通过通信信道与外部装置进行通信；

所述存储器控制器被构造成在所述通信信道上传输或接收数据、地址和命令时对所述数据、地址和命令在传输时加密或在接收时解密。

24.根据权利要求23所述的存储器装置，其中所述存储器装置包括存储类存储器。

25.根据权利要求23所述的存储器装置，其中所述存储器装置包括非易失性存储器装置或NAND存储器装置。

26.根据权利要求23所述的存储器装置，其中所述控制器包含硬件或软件加密-解密方案，所述硬件或软件加密-解密方案包括用作密码原语的散列函数和流密码的至少组合。

27.根据权利要求23所述的存储器装置，其中所述存储器装置是包含至少第一存储类存储器阵列和至少第二非易失性存储器阵列的混合存储器装置。

28.根据权利要求27所述的存储器装置，其中所述第二非易失性存储器阵列包括非易失性存储器装置或NAND快闪存储器装置。

29.根据权利要求23所述的存储器装置，其中所述控制器包含硬件或软件加密-解密方案，所述硬件或软件加密-解密方案包括接收秘密密钥和初始化向量作为输入的至少经认证加密AE块。

30.一种用于管理来自/去向设备的数据、地址和命令的交换的方法，其包括：

在所述设备的通信信道上交换数据、地址和命令，

对在所述通信信道上交换的数据、地址和命令进行硬件和/或软件加密-解密。

31.根据权利要求30所述的方法，其中根据UFS协议实施对数据、地址和命令进行的所述硬件和/或软件加密-解密。

32.根据权利要求30所述的方法，其中所述硬件和/或软件加密-解密包含使用秘密密钥和初始化向量作为输入而对数据、地址和命令执行经认证加密AE阶段。

33.根据权利要求30所述的方法，其中所述设备包括非易失性存储器装置、存储类存储器装置或NAND快闪存储器装置。

34.根据权利要求30所述的方法，其中使用对称加密通过重放受保护存储器块(RPMB)对数据、地址和命令进行所述硬件和/或软件加密。

35.根据权利要求30所述的方法，其中所述硬件和/或软件加密-解密包含加扰阶段，所述加扰阶段一旦激活就不会停用而是复位。

36.根据权利要求30所述的方法，其中所述硬件和/或软件加密-解密包含对所述数据、地址和命令执行与流加密组合的散列函数。

37.根据权利要求30所述的方法，其中所述硬件和/或软件加密-解密包括通过经认证加密原语对数据、地址和命令进行加密。

38.一种用于管理在存储器装置中交换数据、地址和命令的方法：

将所述存储器装置构造成用于与通信信道进行通信；

针对所述通信信道实施UFS通信协议；

针对在所述通信信道上交换的数据、地址和命令采用硬件和/或软件完整加密和/或解密方案。

39.根据权利要求38所述的方法，其中所述存储器装置包括非易失性存储器装置、存储类存储器装置或NAND快闪存储器装置。

Images