CN113935011A - 用于执行控制设备的安全启动序列的方法 - Google Patents

Abstract

本发明涉及一种用于执行控制设备的安全启动序列的方法，该控制设备包括：主机，该主机被设立为执行程序；和硬件安全模块HSM，该硬件安全模块被设立为对应用程序进行认证。该方法包括：启动主机和HSM；通过主机来执行加载程序，其中加载程序存储在主机的不能重写的第一存储器中；通过HSM来检查至少一个应用程序的真实性，其中该应用程序存储在主机的能重写的第二存储器中；而且如果确认该至少一个应用程序的真实性，则通过主机来执行该至少一个应用程序。

Description

用于执行控制设备的安全启动序列的方法

技术领域

本发明涉及一种用于执行用于控制设备的安全启动序列的方法以及一种用于执行该方法的计算单元和一种用于执行该方法的计算机程序。

背景技术

在机器和车辆中使用可编程控制设备，以便控制这些机器和车辆或者还有这些机器和车辆的组件。例如，机动车可包含用于发动机控制、用于制动系统等等的控制设备。这些控制设备包括处理器，该处理器具有一个或者通常具有多个处理器内核（也简称为主机或主机系统），该处理器执行存储在存储器中的程序，以便实现控制设备的功能。

出于安全原因，可以规定：在通过控制设备来执行程序之前，检查该程序的真实性，以便防止执行被篡改的程序。该检查可以由所谓的硬件安全模块HSM来执行，该硬件安全模块提供功能性，以便保护由控制设备执行的程序和通信以防篡改。为此，HSM使用签名，这些签名借助于加密功能和（秘密）密钥来被计算。在接通控制设备之后，首先必须检查主机的加载程序的真实性，该加载程序尤其是加载至少一个应用程序。通过HSM对加载程序的真实性的该检查延长了控制设备的启动阶段。启动阶段的延长可能附加地由于如下情况而受到不利影响：HSM首先必须本身被初始化并且在其中对记载程序进行真实性检查的初始时间段期间以降低的时钟频率来运行。

发明内容

按照本发明，提出了具有专利独立权利要求的特征的一种用于执行控制设备的安全启动序列的方法以及一种用于执行该方法的计算单元和一种用于执行该方法的计算机程序。有利的设计方案是从属权利要求以及随后的描述的主题。

通过按照本发明的方法，避免了在时间关键的控制设备（例如发动机控制设备）的情况下的启动序列的延迟。这通过如下方式来被实现：通过硬件保护来保护中央加载软件或引导软件，因为包含加载程序的第一存储器不能重写，并且因而不能更改。由此，保证了加载程序的完整性和真实性。加载程序可以立即、在无需HSM检查的情况下被执行，使得能够在没有时间延迟的情况下实现安全启动序列。换言之，用于执行控制设备的安全启动序列的方法是安全的控制设备启动序列。

在这种情况下，术语“启动序列”或启动（Hochlauf）表示由控制设备在启动之后最初执行的步骤，直至应用程序运行为止，这些应用程序实现控制设备的实际控制功能性。“安全”应该是指：不可能将启动序列篡改为使得执行如下程序，所述程序以未经允许的方式来更改控制设备的功能性、也就是说以其中使用该控制设备的装置（例如机器或车辆）的制造商和/或用户所不允许的方式来更改控制设备的功能性，或者所述程序能够使攻击者获得对控制设备的掌控以及借此至少部分地获得对由该控制设备所控制的装置的掌控。

本发明的另一优点在于：虽然加载程序存储在第一、不能重写的存储器中，但是提供控制设备的实际功能性的应用程序存储在第二、能重写的存储器中，使得能够对这些应用程序进行更新或重新编程。

主机或主机系统包括处理器，该处理器被设立为执行软件或计算机程序（简称为程序），以便实现控制设备的功能。主机可包括其它元件，比如易失性工作存储器（例如随机存取存储器，random access memory，RAM），非易失性存储器（这里是第一和第二存储器），通信接口，尤其是用于与存储器、HSM和外部设备通信的通信接口，和/或类似的元件。软件包含或存储在控制设备的非易失性存储器中。主机包括：不能重写的第一存储器，例如只一次性可写的存储器（OTP，One Time Programmable（一次性可编程））；和能重写的第二存储器，例如闪速存储器、硬盘或SSD（solid state disk（固态硬盘））。OTP存储器可以被实现为熔丝技术或反熔丝技术，其中在编程时将电子电路的相关连接点分开（熔丝技术）或者连接（反熔丝技术）；接着通过存储器的结构化的硬件特征来给出这样编程的程序的程序代码。也可以使用具有硬件保护的闪速存储器，该硬件保护阻止在最初的一次性编程之后进行重写。

术语“第一存储器”和“第二存储器”应被理解成主机的存储器；HSM的存储器被称作“HSM存储器”。

程序可包括：一个或多个应用程序，所述一个或多个应用程序被设立为当所述一个或多个应用程序由主机执行时实现控制设备的控制功能；加载程序，该加载程序被设立为当该加载程序由主机执行时执行初始化并且调用所述应用程序中的至少一个应用程序；和一个或多个更新程序（编程软件），所述一个或多个更新程序主要被设立为当所述一个或多个更新程序由主机执行时用软件（程序数据）或者数据来对第二存储器或该第二存储器的部分进行重写。应用程序优选地存储在第二存储器中。加载程序以及优选地还有更新程序存储在第一存储器中。

这些更新程序在某种程度上可以说是用于对控制设备进行重新编程的编程软件，这样可以对控制设备进行更新或重新编程。该更新可涉及：程序，所述程序的运行决定控制设备的功能；和/或对于控制设备的功能来说所需的数据，比如初始化参数或程序参数。在该更新或该重新编程的情况下，第二存储器或该第二存储器的区域完全或部分地利用更新数据（新程序、也就是说软件，和/或其它新数据）来被重写。如有必要，更新程序也许可执行其它行动，例如确定哪些程序/数据必须被更新，或者在更新之后促使对控制设备的重启。

硬件安全模块，简称HSM，提供加密功能，这些加密功能可被主机使用，以便保护安全关键的功能、比如多个控制设备彼此间的通信。为此，HSM尤其是管理秘密密码（密文）、签名和/或加密密钥，并且优选地以硬件来实现加密方法。这些密钥被HSM存储在HSM的存储器（HSM存储器）的为此所设置的区域中。HSM包括处理器（该处理器不同于主机处理器），并且可以与主机分开地实施或者与主机或主机处理器一起集成在芯片中（那么，HSM和主机例如通过该芯片上的不同的处理器内核来形成）。也可能的是：不同的存储器至少部分地彼此集成（尤其是第二存储器与HSM存储器集成）并且构造在具有主机处理器和/或HSM处理器的芯片上。HSM尤其被设立为检查第二存储器的存储区的完整性，以便检查包含在相应的存储区中的计算机程序或软件和/或所包含的数据的真实性。

在完整性检查的情况下，确定所要检查的存储区的内容是否相对于已知正确的内容而言未经更改。这优选地通过对签名的比较来实现，其中将由HSM管理且存储在HSM存储器中的对应于存储区的从中知道该存储区正确（未被篡改）的（先前）状态的签名（也就是说参考签名）与该签名的新计算出的值进行比较，该值基于存储区的当前内容来被计算。如果新计算出的签名值与所存储的签名（参考签名）相同，则存储区的内容（就签名比较而言）未被更改，那么程序的真实性被确认。另一方面，如果新计算出的签名值与所存储的签名（参考签名）不相同，则存储区的内容（就签名比较而言）被更改，那么程序的真实性未被确认。

例如可以计算存储在存储区中的数据的校验值或哈希值，并且将该校验值或哈希值与在已知该存储区包含正确的、未被篡改的软件和/或数据的先前时间点所计算出的值进行比较。优选地，对于完整性检查来说，将MAC、也就是说消息认证码（MessageAuthentication Code）进行对照。在计算MAC时，除了原始消息、这里是存储在存储区中的数据或这些数据的哈希值之外，加入HSM所管理的秘密密钥。由此，可以防止所谓的碰撞攻击（或这里是原像攻击）。优选地，使用所谓的CMAC（基于密码的消息认证码（Cipher-basedMessage Authentication Code））。所提到的这些方法（校验值、哈希值、MAC、CMAC）是对于可能的签名方法来说优选的示例，然而也可以使用本领域技术人员公知的其它方法，例如公知的数字签名。

该方法还可包括：如果未确认该至少一个应用程序的真实性，则执行存储在第一存储器中的更新程序；而且通过该更新程序，利用更新数据来对第二存储器的其中存储有该至少一个应用程序的区域进行重写。优选地，该实施方案还包括：发送和/或输出提供更新数据的请求；而且接收这些更新数据。

如果对应用程序的认证应该会不成功，比如因为该应用程序已被篡改而应该会不成功，则按照该实施方案可以执行安全更新，因为更新程序存储在不能重写的第一存储器中并且因此不会受到未经允许的更改。可以请求并且从控制设备之外获得所需的更新数据。这有利地由HSM借助于相对应的密钥来保护。

该设计方案还可包括：通过HSM，基于第二存储器的被重写的区域或这些更新数据来更新被用于检查该至少一个应用程序的真实性的签名。这样保证了：由HSM所管理的参考签名对应于被重写的应用程序，这例如在该应用程序的新版本的情况下是必需的。

优选地，该方法包括：用加载程序和/或更新程序来对第一存储器进行一次性写。适宜地，这在将控制设备安装到其中使用该控制设备的装置（例如机器或机动车）中之前或者在将控制设备安装到其中使用该控制设备的装置（例如机器或机动车）时进行。也就是说，这在安全环境下（例如在控制设备的制造商处或者在其中使用该控制设备的装置的制造商处）进行，使得可以保证加载程序或更新程序不被篡改。

按照本发明的计算单元、例如机动车的控制设备尤其是以程序技术方式被设立为执行按照本发明的方法。

尤其是当进行实施的控制设备还被用于其它任务并且因而总归存在时，按照本发明的方法的以具有用于执行所有方法步骤的程序代码的计算机程序或计算机程序产品的形式的实现方案也是有利的，因为这引起了特别低的成本。尤其是，适合于提供该计算机程序的数据载体是磁存储器、光存储器和电存储器，诸如硬盘、闪速存储器、EEPROM、DVD以及其它等等。通过计算机网络（因特网、内联网等等）来下载程序也是可行的。

本发明的其它优点和设计方案从描述以及随附的附图中得到。

本发明依据实施例在附图中示意性示出并且在下文参考附图予以描述。

附图说明

图1示出了本发明可基于的控制设备的原理性构造。

图2示出了关于用于安全执行控制设备的启动序列的方法的优选的实施方式的原理性结构的概览图。

图3示出了按照本发明的方法的优选的实施方式的流程图。

具体实施方式

图1示出了本发明可基于的控制设备或包含在控制设备中的计算单元的原理性构造。在此，基本上只示出了对于理解本发明来说必要的那些组成部分。

控制设备1包括主机2和硬件安全模块（HSM）4。该主机和该硬件安全模块借助于一个或多个连接或线路3来彼此连接，用于进行数据交换。可涉及串行或并行连接。该连接可以是点对点连接或者也可以通过总线来实现。

主机2具有：主机内核6、也就是说处理器；第一存储器8；和第二存储器10。第一存储器8不能重写，也就是说该第一存储器的内容在一次性写之后不再能被更改。这里可涉及所谓的一次性可编程存储器（OTP存储器）。第二存储器10能重写。两个存储器都是非易失性存储器，程序、尤其是加载程序、更新程序和应用程序以及数据被存储在这些非易失性存储器中。加载程序存储在第一存储器8中。在第二存储器10中存储有一个或多个应用程序。主机内核2被设立为执行存储在第一存储器8中和存储在第二存储器10中的程序。

HSM 4具有：HSM内核12、也就是说处理器；和HSM存储器14，用于要由HSM内核来执行的程序并且用于数据、尤其是用于签名（或参考签名）和密钥。

为了完整起见，还示出了通信接口16，该通信接口用于将控制设备1与其它装置连接。这尤其可以是要由该控制设备控制的装置和/或其它控制设备。应该用来更新该控制设备的编程设备同样可以经由通信接口16来与该控制设备进行通信。通信接口16除了其它接口之外例如可包括CAN总线接口。这里，通信接口16与主机2直接连接，但是也可以经由总线来连接。

各个部分（主机2、HSM 4、存储器8、10、14、通信接口16）中的多个部分或者甚至所有部分都可以集成在芯片中。不同于所示出的那样，存储器8、10、14也可以与相应的内核分开地（单独芯片）实现。这三个存储器（第一存储器8、第二存储器10和HSM存储器14）也可以部分地彼此集成。控制设备可包括其它未示出的组成部分。

在图2中，示出了关于用于执行控制设备的安全启动序列的方法的优选的实施方案的原理性结构的概览图。在此，在该附图左侧示出了在主机侧22进行的过程，而在该附图右侧示出了在HSM侧24进行的过程。箭头表示各个要素之间的关系或相互作用，也就是说通常不是在流程图意义上的连续步骤的时间顺序。所绘制的要素沿该附图的垂直方向的布置大致对应于时间顺序，不过该布置不一定与实际的时间顺序准确对应，也就是说可能在不同时间点进行位于相同的垂直高度的过程或者同时或以相反的顺序进行位于不同高度的过程，只要这与该方法的逻辑顺序一致即可。

首先，随着控制设备的启动或接通，在步骤26中启动主机并且在步骤28中启动HSM。在此，通常由主机或主机内核并且同样由HSM或HSM内核分别执行固件，该固件执行或提供基本的初始化和功能。

接着，由主机的固件来调用主机的加载程序30，该加载程序可执行接下来的初始化（例如这种涉及控制设备的特定使用的初始化）并且加载一个（或多个）应用程序、也就是说软件，该软件实现控制设备的实际的控制功能。按照本发明，加载程序30存储在第一存储器中，该第一存储器不能重写，也就是说加载程序不能被更改。加载程序相对应地在一个未示出的步骤中从第一存储器中被读取。由于第一存储器不能重写，所以对加载程序的篡改不可能，使得通过HSM对加载程序的会导致启动时的时间延迟的认证成为多余。

主机的加载程序尤其是引起：HSM在步骤32中执行HSM的接下来的初始化并且HSM的提供功能、尤其是加密功能的主应用被启动，这些功能可以被主机调用，以便确保控制设备的安全性以防篡改。特别是，应该防止对由主机执行的程序的更改或篡改。此外，借此可以保护数据交换、例如与机动车中的其它控制设备的数据交换。加密功能可以至少部分地实现为硬件，以便确保高速。

加载程序还加载至少一个应用程序34，不过该应用程序不是立即由主机执行，而是在由HSM进行的真实性检查成功之后才由主机执行。在此，首先在步骤36中基于其中存储有应用程序的存储区的内容（也就是说程序数据）来计算所属的签名值（例如数字签名或消息认证码），并且接着在步骤38中将该签名值与先前计算出的应用程序签名进行比较，该应用程序签名属于该存储区的内容的先前的已知正确的状态。先前计算出的签名在某种程度上可以说是应用程序的参考签名。如果当前所计算出的签名值与先前计算出的应用程序签名相同，则准许对应用程序的执行并且在步骤40中执行该应用程序。应用程序签名——一般来说存在多个应用程序，这些应用程序要么在控制设备启动序列期间由加载程序加载要么稍后由其它应用程序调用——存储在HSM存储器中。

图3示出了按照本发明的方法的优选的实施方式的流程图。原则上，安全的控制设备启动序列开始于步骤52，即启动主机和HSM，其中尤其是启动主机内核和HSM内核。还示出了上一步骤50，在该上一步骤中对不能重写的第一存储器进行一次性写，其中尤其是加载程序以及可选地至少一个更新程序被写到第一存储器中。该步骤50只是一次性地被执行，例如在制造控制设备或者对控制设备进行首次编程时被执行。

然后，加载程序被调用并且在步骤54中被执行，其中加载程序在一个未进一步示出的步骤中从第一存储器中被读取。如已经阐述的那样，加载程序例如执行接下来的初始化并且促使HSM切换到其主应用。最后，加载程序调用至少一个应用程序，该至少一个应用程序存储在能重写的第二存储器中。不过，该应用程序不是立即被执行，而是在步骤56中首先通过HSM来检查该至少一个应用程序的真实性，并且只有当该认证成功时才执行该应用程序。这样可以保证：只有未被篡改的程序才由主机执行。在真实性检查的情况下，检查存储区的完整性，也就是说检查该存储区是否未被更改。这通过基于其中包含有该至少一个应用程序的存储区来计算加密签名、例如数字签名或消息认证码的值来实现。将所计算出的签名值与针对该至少一个应用程序的先前计算出的参考签名进行比较。该计算以及随后的比较由HSM来执行，该HSM也将参考签名和在计算这些参考签名时必要时加入的秘密密钥存储在HSM存储器中并对这些参考签名和这些秘密密钥进行管理。

如果确认该至少一个应用程序的真实性，即箭头58，也就是说如果所计算出的签名值与参考签名相同，则在步骤60中执行该至少一个应用程序。该至少一个应用程序必要时可以调用另一应用程序，该另一应用程序在实施之前同样必须经过真实性检查。即，箭头62，再次以步骤56、也就是说真实性检查来继续，其中该真实性检查这一次被应用于该另一应用程序。

另一方面，如果未确认该至少一个应用程序的真实性，即箭头64，也就是说如果所计算出的签名值与参考签名不相同，即该至少一个应用程序有可能已被篡改，则在步骤66中调用并执行存储在不能重写的第一存储器中的更新程序。在步骤72中，更新程序用更新数据来执行对其中包含有该至少一个应用程序的存储区的至少部分的重写。这些更新数据包含该至少一个应用程序的已知未被篡改的版本。如果更新程序访问该至少一个应用程序的安全的、未被篡改的版本以及相对应的更新数据，则可以立即执行重写的步骤72。

可选地，例如如果更新程序没有访问该至少一个应用程序的安全版本以及相对应的更新数据，则可以在步骤68中请求包含该至少一个应用程序的未被篡改的版本的更新数据并且在步骤70中接收这些更新数据。对这些更新数据的请求和接收可以经由控制设备的通信接口来实现。

同样，在步骤74中还可以更新由HSM管理的该至少一个应用程序的签名（参考签名），使得该签名对应于该至少一个应用程序的被重写的版本。在该更新的情况下，通过HSM将所更新的签名写到HSM存储器中。所更新的签名例如可以包含在这些更新数据中或者由HSM来重新计算。

总体上实现了：即使有可能被篡改的应用程序应该会包含在第二存储器中，该应用程序也不被执行并且作为替代通过更新程序来执行安全更新，该更新程序被保护以防篡改，因为该更新程序包含在不能重写的第一存储器中。

Claims (8)

1.一种用于执行控制设备（1）的安全启动序列的方法，所述控制设备包括：主机（2），所述主机被设立为执行程序；和硬件安全模块HSM（4），所述硬件安全模块被设立为对应用程序进行认证，所述方法包括：

启动（26、28；52）所述主机和所述HSM；

通过所述主机来执行（30；54）加载程序，其中所述加载程序存储在所述主机的不能重写的第一存储器（8）中；

通过所述HSM来检查（36、38；56）至少一个应用程序的真实性，其中所述应用程序存储在所述主机的能重写的第二存储器（10）中；而且

如果确认所述至少一个应用程序的真实性，则通过所述主机来执行（40；60）所述至少一个应用程序。

2.根据权利要求1所述的方法，所述方法包括：如果未确认所述至少一个应用程序的真实性，则：

执行（66）存储在所述第一存储器中的更新程序；而且

通过所述更新程序，利用更新数据来对所述第二存储器的其中存储有所述至少一个应用程序的区域进行重写（72）。

3.根据权利要求2所述的方法，所述方法包括：

发送和/或输出（68）提供所述更新数据的请求；而且

接收（70）所述更新数据。

4.根据权利要求2或3所述的方法，所述方法包括：

通过所述HSM，基于所述第二存储器的被重写的区域来更新（74）被用于检查所述至少一个应用程序的真实性的签名。

5.根据上述权利要求中任一项所述的方法，所述方法包括：

用所述加载程序来对所述第一存储器进行一次性写（50）。

6.一种计算单元（1），其包括：

主机（2），所述主机被设立为执行程序，而且所述主机具有不能重写的第一存储器（8）和能重写的第二存储器（10），其中加载程序存储在所述第一存储器中并且至少一个应用程序存储在所述第二存储器中；和

硬件安全模块HSM（4），所述硬件安全模块被设立为检查所述至少一个应用程序的真实性，

其中所述计算单元被设立为执行根据上述权利要求中任一项所述的方法的所有方法步骤。

7.一种计算机程序，当所述计算机程序在计算单元上被执行时，所述计算机程序促使所述计算单元执行根据权利要求1至5中任一项所述的方法的所有方法步骤。

8.一种机器可读存储介质，其具有被存储在其上的根据权利要求7所述的计算机程序。

Images