CN114329490A - Mcu中软件自启动方法、装置及终端 - Google Patents

Abstract

本发明公开了一种MCU中软件自启动方法、装置及终端，属于信息安全领域。该方法中，先采用处理速度较快的MAC认证机制进行第一阶段安全认证，若MAC认证成功则当前功能软件可信并启动运行；若MAC认证失败则启动基于签名校验的第二阶段安全认证，若签名校验成功则当前功能软件可信并启动运行，且证明第一阶段安全认证是误校验，此时MCU对MAC校验认证机制进行更新，避免软件存在误校验的问题；进一步实现了MCU安全启动功能与其生命周期的关联，操作人员可根据需要在MCU不同的生命周期中激活或关闭MCU安全启动功能，避免了该功能对开发调试造成的不必要影响，进而减少了开发成本和周期。

Description

MCU中软件自启动方法、装置及终端

技术领域

本发明实施例涉及信息安全领域，特别涉及一种MCU中软件自启动方法、装置及终端。

背景技术

随着嵌入式应用的越来越广泛，针对终端的开放环境，MCU传统启动方式所产生的效率与安全问题也越来越受到关注。如，采用顺序启动方案，某功能MCU对应的安全模块、安全软件、校验软件运行无误后，再启动对应功能的MCU，会导致MCU的前期启动时间较长，所运行软件响应较慢。

为了解决上述情况或其它相关情形所带来的安全问题，相关技术中，通常采用如下单一安全校验机制：在MCU整个生命周期内开启安全启动功能，响应于通过安全校验，则启动MCU。

然而，在上述相关技术中的解决方案中，仍会产生其他问题。由于MCU所在软件的运行调试需要成功通过安全启动中的安全校验，而该校验过程可能会涉及密钥的生成/配置/使用/更新以及软件MAC值/签名的同步更新操作，即开启MCU安全启动功能会对功能软件的开发调试产生不必要的影响，导致MCU开发周期延长，开发成本增加。

发明内容

本发明实施例提供了一种MCU中软件自启动方法、装置及终端，能够解决相关技术中MCU自启动方法带来的效率与成本问题。所述技术方案如下：

一方面，本发明实施例提供了一种MCU中软件自启动方法，所述方法用于嵌入MCU的终端，所述MCU布局有安全模块和功能模块，所述安全模块嵌入安全软件，所述功能模块嵌入功能软件，所述方法包括：

所述MCU上电状态下，所述安全模块启动所述安全软件，且所述功能模块同步启动校验功能软件；

所述校验功能软件执行MAC校验机制；

响应于MAC校验成功，所述功能软件运行；

响应于所述MAC校验失败，所述校验功能软件执行签名校验机制；

响应于签名校验成功，所述功能软件运行；

所述MCU更新所述MAC校验机制；

响应于所述签名校验失败，确定所述功能软件为恶意软件。

另一方面，本发明实施例提供了一种MCU中软件自启动装置，所述装置用于嵌入MCU的终端，所述装置包括：第一启动模块、第二启动模块和校验功能模块；

所述MCU上电状态下，所述第一启动模块用于启动安全软件，所述第二启动模块用于同步启动校验功能模块；

所述校验功能模块，用于执行MAC校验机制；

响应于MAC校验成功，所述第二启动模块用于运行功能软件；

响应于所述MAC校验失败，所述校验功能模块用于执行签名校验机制；

响应于签名校验成功，所述第二启动模块运行所述功能软件；

所述MCU更新所述MAC校验机制；

响应于所述签名校验失败，所述校验功能模块还用于确定所述功能软件为恶意软件。

另一方面，本发明实施例提供了一种终端，所述终端包括处理器和存储器；所述存储器存储有至少一条指令，所述至少一条指令用于被所述处理器执行以实现如上述方面的MCU中软件自启动方法。

另一方面，提供了一种计算机可读存储介质，所述存储介质存储有至少一条指令，所述至少一条指令用于被处理器执行以实现如上述方面的MCU中软件自启动方法。

采用本发明实施例提供的MCU中软件自启动方法，在MCU启动过程中，先采用处理速度较快的MAC认证机制进行第一阶段安全认证，若MAC认证成功则当前功能软件可信并启动运行；若MAC认证失败则启动基于签名校验的第二阶段安全认证，若签名校验成功则当前功能软件可信并启动运行，且证明第一阶段安全认证是误校验，此时MCU对MAC校验认证机制进行更新，便于MCU在下次启动时进行校验，由此，避免软件存在误校验的问题，使得MCU安全等级更高，鲁棒性更强；在该方法中，实现了MCU安全启动功能与其生命周期的关联，操作人员可根据需要在MCU不同的生命周期中激活或关闭MCU安全启动功能，避免了该功能对开发调试造成的不必要影响，进而减少了开发成本和周期。

附图说明

图1示出了本发明涉及的一种MCU布局示意图；

图2示出了相关技术中顺序启动方法的流程示意图；

图3示出了本发明示例性实施例示出的MCU中软件自启动方法的流程图；

图4示出了同步启动流程示意图；

图5示出了MAC校验机制的逻辑示意图；

图6示出了本发明实施例提供的MCU中软件自启动装置的结构框图；

图7示出了本发明一个示例性实施例提供的终端700的结构方框图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。

在本文中提及的“多个”是指两个或两个以上。“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。

为了方便下述实施例执行主体的理解，请参考图1，图1示出了本发明涉及的一种MCU布局示意图。如图1所示，MCU布局有安全模块和功能模块，安全模块嵌入安全软件，功能模块嵌入功能软件。

其中，安全模块是可信任平台模块，是一个可独立进行密钥生成、加解密的装置，内部拥有独立的处理器和存储单元，可存储密钥和特征数据，为终端或所在结构提供加密和安全认证服务。用安全模块进行加密，密钥被存储在硬件中，被窃的数据无法解密，从而保护商业隐私和数据安全。

其中，安全软件内嵌并由安全模块控制，是一种可以对病毒、木马等一切已知的对计算机有危害的程序代码进行清除的程序工具。

其中，功能模块为不同类别芯片的总称，对应的，功能软件内嵌并由功能模块控制。

如图2所示，图2示出了相关技术中顺序启动方法的流程示意图。MCU上电/reset后，安全模块启动，进而所嵌入的安全软件运行，用于安全校验的校验功能软件运行，校验通过后，对应的功能模块启动，进而嵌入的功能软件运行。该顺序启动方法，导致MCU启动时间较长，软件响应较慢。

此外，相关技术还采用单一安全校验机制。由于MCU所在软件的运行调试需要成功通过安全启动中的安全校验，而该校验过程可能会涉及密钥的生成/配置/使用/更新以及软件MAC值/签名的同步更新操作，即开启MCU安全启动功能会对功能软件的开发调试产生不必要的影响，导致MCU开发周期延长，开发成本增加。

由此，发明人根据上述存在的问题，提供了一种MCU中软件自启动方法，能够解决上述MCU启动较慢且开发成本不理想的问题。

请参考图3，其示出了本发明示例性实施例示出的MCU中软件自启动方法的流程图。该方法用于嵌入MCU的终端，MCU布局参考图1，该方法包括：

步骤301，MCU上电状态下，安全模块启动安全软件，且功能模块同步启动校验功能软件。

如图4所示，其示出了同步启动流程示意图。与图2顺序启动相比，在本发明实施例中，MCU上电(或reset复位)状态下，所嵌入的安全模块与功能模块启动，进而安全模块运行对应的安全软件，而功能模块在运行功能软件之前需要对其进行校验，由此，在功能模块在启动后，先运行校验功能软件。

可选的，校验功能软件可以是嵌入功能模块的程序，或者是独立运行于MCU中的一段程序，本发明实施例对此不作限定。

此外，本发明除采用同步启动方案外，为保证功能模块内上电/reset后首先运行的软件(一般是bootloader，后文简称为BL)是可信的，其必须是OTP(One TimeProgramable)模式，本发明为实现OTP模式采用硬件保护方式实现，即对BL的访问或操作必须先通过身份认证和授权，否则，用户无法访问或操作BL，由此，MCU既保留了更新BL的能力，还可以缩短MCU启动时间，提高MCU响应速度。

步骤302，校验功能软件执行MAC校验机制。

本发明采用速度较快的MAC校验机制，其可以是CMAC认证，也可以是HMAC认证，本发明对此不作限定。

可选的，步骤302包括如下内容。

内容一、校验功能软件计算功能软件的MAC。

内容二、校验功能软件将功能软件的MAC与期望MAC进行比对。

步骤303，响应于MAC校验成功，功能软件运行。

对应的，响应于功能软件的MAC与期望MAC相等，功能软件运行，其中，功能软件由功能模块进行运行的控制。

步骤304，响应于MAC校验失败，校验功能软件执行签名校验机制。

对应的，响应于功能软件的MAC与期望MAC不同，校验功能软件执行签名校验机制。

其中，校验功能软件执行签名校验机制的内容包括：校验功能软件计算功能软件的签名；校验功能软件将功能软件的签名与期望签名进行比对。

步骤305，响应于签名校验成功，功能软件运行。

对应的，响应于功能软件的签名与期望签名相等，功能软件运行，其中，功能软件由功能模块进行运行的控制。

步骤306，MCU更新MAC校验机制。

在一种可能的实施方式中，若签名校验成功，说明第一阶段安全校验(即MAC校验)是误校验，此时MCU会重新计算软件MAC，并更新第一阶段安全校验机制中的期望MAC，便于MCU在下次启动时进行校验。

其中，MAC更新校验机制的过程包括如下内容一和内容二。

内容一、MCU获取当前计算的功能软件的MAC。

内容二、MCU将期望MAC更新为当前计算的功能软件的MAC。

步骤307，响应于签名校验失败，确定功能软件为恶意软件。

对应的，响应于功能软件的签名与期望签名不同，确定功能软件为恶意软件，其中，确定功能软件为恶意软件的过程由校验功能软件执行。

如图5所示，其示出了MAC校验机制的逻辑示意图，该图对应上述提供的MCU中软件自启动方法，在此不再解释。

综上所述，采用本发明实施例提供的MCU中软件自启动方法，在MCU启动过程中，先采用处理速度较快的MAC认证机制进行第一阶段安全认证，若MAC认证成功则当前功能软件可信并启动运行；若MAC认证失败则启动基于签名校验的第二阶段安全认证，若签名校验成功则当前功能软件可信并启动运行，且证明第一阶段安全认证是误校验，此时MCU对MAC校验认证机制进行更新，便于MCU在下次启动时进行校验，由此，避免软件存在误校验的问题，使得MCU安全等级更高，鲁棒性更强；在该方法中，实现了MCU安全启动功能与其生命周期的关联，操作人员可根据需要在MCU不同的生命周期中激活或关闭MCU安全启动功能，避免了该功能对开发调试造成的不必要影响，进而减少了开发成本和周期。

此外，本发明还提供有更新期望MAC与期望签名的内容。在软件更新后，软件需要计算新刷入的期望MAC和期望签名，并将新刷入的期望MAC和期望签名存储进存储器，便于下次启动时校验。

在一种可能的实施方式中，步骤302之前还包括如下内容。

内容一、校验功能软件对MCU内存储器进行检测。

内容二、响应于MCU内存储有期望MAC和期望签名，校验功能软件读取期望MAC和期望签名。

内容三、反之，校验功能软件计算首次刷入的期望MAC与期望签名，并写入MCU内存储器。

由此，对于期望MAC和期望签名的及时更新，可以避免期望MAC和期望签名不正确带来的第二阶段安全认证，进一步提高MCU对软件的启动效率。

请参考图6，其示出了本发明实施例提供的MCU中软件自启动装置的结构框图。该装置可以通过软件、硬件或者两者的结合实现成为终端的全部或一部分，本发明实施例中，该装置用于嵌入MCU的终端。该装置包括：第一启动模块、第二启动模块和校验功能模块；

所述MCU上电状态下，所述第一启动模块601用于启动安全软件，所述第二启动模块602用于同步启动校验功能模块603；

所述校验功能模块603，用于执行MAC校验机制；

响应于MAC校验成功，所述第二启动模块602用于运行功能软件；

响应于所述MAC校验失败，所述校验功能模块603用于执行签名校验机制；

响应于签名校验成功，所述第二启动模块602运行所述功能软件；

所述MCU更新所述MAC校验机制；

响应于所述签名校验失败，所述校验功能模块603还用于确定所述功能软件为恶意软件。

可选的，所述校验功能模块603，包括：

第一校验单元，用于所述校验功能软件计算所述功能软件的MAC；

第二校验单元，用于所述校验功能软件将所述功能软件的MAC与期望MAC进行比对。

可选的，所述响应于MAC校验成功，所述第二启动模块602，还用于：

响应于所述功能软件的MAC与期望MAC相等，所述功能软件运行。

可选的，所述响应于所述MAC校验失败，所述校验功能模块603，还用于：

响应于所述功能软件的MAC与期望MAC不同，所述校验功能软件执行所述签名校验机制。

可选的，所述校验功能模块603，还包括：

第三校验单元，用于所述校验功能软件计算所述功能软件的签名；

第四校验单元，用于所述校验功能软件将所述功能软件的签名与期望签名进行比对。

可选的，所述校验功能模块603之前，还包括：

第一校验模块，用于所述校验功能软件对MCU内存储器进行检测；

第二校验模块，用于响应于所述MCU内存储有所述期望MAC和所述期望签名，所述校验功能软件读取所述期望MAC和所述期望签名；反之，

第三校验模块，用于所述校验功能软件计算首次刷入的期望MAC与期望签名，并写入所述MCU内存储器。

可选的，所述响应于签名校验成功，所述第二启动模块602，还用于：

响应于所述功能软件的签名与期望签名相等，所述功能软件运行。

可选的，所述响应于所述签名校验失败，所述校验功能模块603还用于：

响应于所述功能软件的签名与期望签名不同，确定所述功能软件为恶意软件。

可选的，所述MCU还用于更新所述期望MAC。

请参考图7，其示出了本发明一个示例性实施例提供的终端700的结构方框图。该终端700可以是智能手机、平板电脑、电子书、便携式个人计算机等安装并运行有应用程序的电子设备。本发明中的终端700可以包括一个或多个如下部件：处理器710、存储器720和屏幕730。

处理器710可以包括一个或者多个处理核心。处理器710利用各种接口和线路连接整个终端700内的各个部分，通过运行或执行存储在存储器720内的指令、程序、代码集或指令集，以及调用存储在存储器720内的数据，执行终端700的各种功能和处理数据。可选地，处理器710可以采用数字信号处理(Digital Signal Processing，DSP)、现场可编程门阵列(Field－Programmable Gate Array，FPGA)、可编程逻辑阵列(Programmable LogicArray，PLA)中的至少一种硬件形式来实现。处理器710可集成中央处理器(CentralProcessing Unit，CPU)、图像处理器(Graphics Processing Unit，GPU)和调制解调器等中的一种或几种的组合。其中，CPU主要处理操作系统、用户界面和应用程序等；GPU用于负责屏幕730所需要显示的内容的渲染和绘制；调制解调器用于处理无线通信。可以理解的是，上述调制解调器也可以不集成到处理器710中，单独通过一块通信芯片进行实现。

存储器720可以包括随机存储器(Random Access Memory，RAM)，也可以包括只读存储器(Read-Only Memory)。可选地，该存储器720包括非瞬时性计算机可读介质(non-transitory computer-readable storage medium)。存储器720可用于存储指令、程序、代码、代码集或指令集。存储器720可包括存储程序区和存储数据区，其中，存储程序区可存储用于实现操作系统的指令、用于实现至少一个功能的指令(比如触控功能、声音播放功能、图像播放功能等)、用于实现上述各个方法实施例的指令等，该操作系统可以是安卓(Android)系统(包括基于Android系统深度开发的系统)、苹果公司开发的IOS系统(包括基于IOS系统深度开发的系统)或其它系统。存储数据区还可以存储终端700在使用中所创建的数据(比如电话本、音视频数据、聊天记录数据)等。

屏幕730可以为触摸显示屏，该触摸显示屏用于接收用户使用手指、触摸笔等任何适合的物体在其上或附近的触摸操作，以及显示各个应用程序的用户界面。触摸显示屏通常设置在终端700的前面板。触摸显示屏可被设计成为全面屏、曲面屏或异型屏。触摸显示屏还可被设计成为全面屏与曲面屏的结合，异型屏与曲面屏的结合，本发明实施例对此不加以限定。

本发明实施例还提供了一种计算机可读介质，该计算机可读介质存储有至少一条指令，所述至少一条指令由所述处理器加载并执行以实现如上各个实施例所述的MCU中软件自启动方法。

本发明实施例还提供了一种计算机程序产品，该计算机程序产品存储有至少一条指令，所述至少一条指令由所述处理器加载并执行以实现如上各个实施例所述的MCU中软件自启动方法。

本领域技术人员应该可以意识到，在上述一个或多个示例中，本发明实施例所描述的功能可以用硬件、软件、固件或它们的任意组合来实现。当使用软件实现时，可以将这些功能存储在计算机可读介质中或者作为计算机可读介质上的一个或多个指令或代码进行传输。计算机可读介质包括计算机存储介质和通信介质，其中通信介质包括便于从一个地方向另一个地方传送计算机程序的任何介质。存储介质可以是通用或专用计算机能够存取的任何可用介质。

以上所述仅为本发明的可选实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (11)

1.一种MCU中软件自启动方法，其特征在于，所述方法用于嵌入MCU的终端，所述MCU布局有安全模块和功能模块，所述安全模块嵌入安全软件，所述功能模块嵌入功能软件，所述方法包括：

所述MCU上电状态下，所述安全模块启动所述安全软件，且所述功能模块同步启动校验功能软件；

所述校验功能软件执行MAC校验机制；

响应于MAC校验成功，所述功能软件运行；

响应于所述MAC校验失败，所述校验功能软件执行签名校验机制；

响应于签名校验成功，所述功能软件运行；

所述MCU更新所述MAC校验机制；

响应于所述签名校验失败，确定所述功能软件为恶意软件。

2.根据权利要求1所述的方法，其特征在于，所述校验功能软件执行MAC校验机制，包括：

所述校验功能软件计算所述功能软件的MAC；

所述校验功能软件将所述功能软件的MAC与期望MAC进行比对。

3.根据权利要求2所述的方法，其特征在于，所述响应于MAC校验成功，所述功能软件运行，包括：

响应于所述功能软件的MAC与期望MAC相等，所述功能软件运行。

4.根据权利要求3所述的方法，其特征在于，所述响应于所述MAC校验失败，所述校验功能软件执行签名校验机制，包括：

响应于所述功能软件的MAC与期望MAC不同，所述校验功能软件执行所述签名校验机制。

5.根据权利要求4所述的方法，其特征在于，所述校验功能软件执行签名校验机制，包括：

所述校验功能软件计算所述功能软件的签名；

所述校验功能软件将所述功能软件的签名与期望签名进行比对。

6.根据权利要求5所述的方法，其特征在于，所述响应于签名校验成功，所述功能软件运行，包括：

响应于所述功能软件的签名与期望签名相等，所述功能软件运行。

7.根据权利要求6所述的方法，其特征在于，所述响应于所述签名校验失败，确定所述功能软件为恶意软件，包括：

响应于所述功能软件的签名与期望签名不同，确定所述功能软件为恶意软件。

8.根据权利要求2所述的方法，其特征在于，所述MCU更新所述MAC校验机制，包括：

所述MCU获取当前计算的所述功能软件的MAC；

所述MCU将所述期望MAC更新为当前计算的所述功能软件的MAC。

9.根据权利要求5所述的方法，其特征在于，所述校验功能软件执行MAC校验机制之前，还包括：

所述校验功能软件对MCU内存储器进行检测；

响应于所述MCU内存储有所述期望MAC和所述期望签名，所述校验功能软件读取所述期望MAC和所述期望签名；反之，

所述校验功能软件计算首次刷入的期望MAC与期望签名，并写入所述MCU内存储器。

10.一种MCU中软件自启动装置，其特征在于，所述装置用于嵌入MCU的终端，所述装置包括：第一启动模块、第二启动模块和校验功能模块；

所述MCU上电状态下，所述第一启动模块用于启动安全软件，所述第二启动模块用于同步启动校验功能模块；

所述校验功能模块，用于执行MAC校验机制；

响应于MAC校验成功，所述第二启动模块用于运行功能软件；

响应于所述MAC校验失败，所述校验功能模块用于执行签名校验机制；

响应于签名校验成功，所述第二启动模块运行所述功能软件；

所述MCU更新所述MAC校验机制；

响应于所述签名校验失败，所述校验功能模块还用于确定所述功能软件为恶意软件。

11.一种终端，其特征在于，所述终端包括处理器和存储器；所述存储器存储有至少一条指令，所述至少一条指令用于被所述处理器执行以实现如权利要求1至9任一所述的MCU中软件自启动方法。

Images