CN114764312A - 通过计算机网络控制存储器装置 - Google Patents

通过计算机网络控制存储器装置 Download PDF

Info

Publication number
CN114764312A
CN114764312A CN202210030475.XA CN202210030475A CN114764312A CN 114764312 A CN114764312 A CN 114764312A CN 202210030475 A CN202210030475 A CN 202210030475A CN 114764312 A CN114764312 A CN 114764312A
Authority
CN
China
Prior art keywords
memory device
computer system
client computer
cryptographic
digital signature
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202210030475.XA
Other languages
English (en)
Inventor
L·多弗
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Micron Technology Inc
Original Assignee
Micron Technology Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Micron Technology Inc filed Critical Micron Technology Inc
Publication of CN114764312A publication Critical patent/CN114764312A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/78—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601—Interfaces specially adapted for storage systems
    • G06F3/0602—Interfaces specially adapted for storage systems specifically adapted to achieve a particular effect
    • G06F3/0604—Improving or facilitating administration, e.g. storage management
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601—Interfaces specially adapted for storage systems
    • G06F3/0602—Interfaces specially adapted for storage systems specifically adapted to achieve a particular effect
    • G06F3/062—Securing storage systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601—Interfaces specially adapted for storage systems
    • G06F3/0602—Interfaces specially adapted for storage systems specifically adapted to achieve a particular effect
    • G06F3/062—Securing storage systems
    • G06F3/0622—Securing storage systems in relation to access
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601—Interfaces specially adapted for storage systems
    • G06F3/0628—Interfaces specially adapted for storage systems making use of a particular technique
    • G06F3/0655—Vertical data movement, i.e. input-output transfer; data movement between one or more hosts and one or more storage devices
    • G06F3/0659—Command handling arrangements, e.g. command buffers, queues, command scheduling
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601—Interfaces specially adapted for storage systems
    • G06F3/0668—Interfaces specially adapted for storage systems adopting a particular infrastructure
    • G06F3/067—Distributed or networked storage systems, e.g. storage area networks [SAN], network attached storage [NAS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H04L67/141—Setup of application sessions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0866—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving user or device identifiers, e.g. serial number, physical or biometrical information, DNA, hand-signature or measurable physical characteristics
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0891—Revocation or update of secret information, e.g. encryption key update or rekeying
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H04L67/146—Markers for unambiguous identification of a particular session, e.g. session cookie or URL-encoding

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Human Computer Interaction (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Power Engineering (AREA)
  • Software Systems (AREA)
  • Storage Device Security (AREA)

Abstract

本发明涉及用于通过计算机网络控制存储器装置的系统、方法及设备。举例来说，服务器系统与客户端计算机系统建立安全认证连接。经由所述连接，所述服务器从所述客户端计算机系统接收识别存储器装置的请求且基于存储于所述服务器系统中的数据确定所述客户端计算机系统有资格控制所述存储器装置。响应于来自所述客户端计算机系统的请求，所述服务器系统使用存储于所述服务器系统中的与所述存储器装置相关联的至少一密码密钥生成用于命令的数字签名。所述客户端计算机系统从所述服务器系统接收所述数字签名且将具有所述数字签名的所述命令提交给所述存储器装置。所述存储器装置在执行所述命令之前确认所述数字签名。

Description

通过计算机网络控制存储器装置
技术领域
本文中公开的至少一些实施例大体上涉及计算机安全，且更特定来说(但不限于)，涉及控制存储器装置的安全操作。
背景技术
存储器子系统可包含存储数据的一或多个存储器装置。存储器装置可为例如非易失性存储器装置及易失性存储器装置。一般来说，主机系统可利用存储器子系统将数据存储在存储器装置处及从所述存储器装置检索数据。
发明内容
在一方面中，本申请案提供一种方法，其包括：由服务器系统与客户端计算机系统建立安全认证连接；在所述服务器系统中经由所述连接从所述客户端计算机系统接收识别存储器装置的请求；基于存储于所述服务器系统中的数据确定所述客户端计算机系统有资格控制所述存储器装置；由所述服务器系统使用存储于所述服务器系统中的与所述存储器装置相关联的至少一密码密钥生成用于命令的第一数字签名；及经由所述连接将所述第一数字签名从所述服务器系统传输到所述客户端计算机系统，所述客户端计算机系统将具有所述第一数字签名的所述命令提交给所述存储器装置，所述存储器装置在执行所述命令之前确认所述第一数字签名。
在另一方面中，本申请案进一步提供一种计算系统，其包括：存储器，其存储存储器装置的密码密钥及指示客户端计算机系统控制所述存储器装置的特权的数据；及至少一个处理器，其经由一组指令配置以：与客户端计算机系统建立安全认证连接；经由所述连接从所述客户端计算机系统接收识别存储器装置的请求；基于存储于所述计算系统中的数据确定所述客户端计算机系统有资格控制所述存储器装置；使用存储于所述计算机系统中的与所述存储器装置相关联的至少一密码密钥生成用于命令的第一数字签名；及经由所述连接将所述第一数字签名传输到所述客户端计算机系统，所述客户端计算机系统将具有所述第一数字签名的所述命令提交给所述存储器装置，所述存储器装置在执行所述命令之前确认所述第一数字签名。
在又一方面中，本申请案进一步提供一种非暂时性计算机存储媒体，其存储当由计算系统执行时致使所述计算系统执行一种方法的指令，所述方法包括：与客户端计算机系统建立安全认证连接；经由所述连接从所述客户端计算机系统接收识别存储器装置的请求；基于存储于所述计算系统中的数据确定所述客户端计算机系统有资格控制所述存储器装置；使用存储于所述计算机系统中的与所述存储器装置相关联的至少一密码密钥生成用于命令的第一数字签名；及经由所述连接将所述第一数字签名传输到所述客户端计算机系统，所述客户端计算机系统将具有所述第一数字签名的所述命令提交给所述存储器装置，所述存储器装置在执行所述命令之前确认所述第一数字签名。
附图说明
实施例通过实例来说明且不限于附图的图，其中相似的参考元件指示类似元件。
图1展示根据一个实施例的经配置以控制存储器装置的服务器系统。
图2说明根据本公开的一些实施例的具有存储器子系统的实例计算系统。
图3说明根据一个实施例的具有安全管理器的集成电路存储器装置。
图4说明根据一个实施例的用于认证存储器装置的技术。
图5说明根据一个实施例的用于生成控制存储器装置的安全操作的命令的技术。
图6展示根据一个实施例的用于控制存储器装置的方法。
图7是本公开的实施例可操作于其中的实例计算机系统的框图。
具体实施方式
本公开的至少一些方面涉及经配置以控制存储器装置(例如，存储器装置的安全特征的激活、指示存储器装置执行安全操作的特权的转移等)的服务器系统。
存储器装置可经制造以包含安全管理器。安全管理器可经激活以实行对存取存储器装置中的存储器单元的控制。存取控制可使用密码技术实施。举例来说，拥有密码密钥的实体可经提供有指示存储器装置执行受限制操作的特权。此类操作的实例可包含改变存储器装置的安全设置或配置、读取存储器装置中的存储器单元的部分、将数据写入到存储器单元的部分、从存储器单元的部分删除数据、更新存储器单元的部分中的数据等。一种挑战是保护用于存取控制中的密码密钥及保护特权的转移。
本公开的至少一些方面通过具有密钥管理服务器及存取控制服务器的服务器系统解决上述及其它缺点及/或挑战。
密钥管理服务器经配置以保护密码密钥及保护涉及密码密钥的计算。密钥管理服务器实施涉及并非特定于存储器装置及客户端的密码密钥的操作。因此，密钥管理服务器的功能性可经限制、简化及/或标准化以改进安全性。
存取控制服务器存储客户端信息且经配置以执行特定于不同客户端及/或不同存储器装置的计算/或安全任务。存取控制服务器经配置于密钥管理服务器与和存储器装置连接的客户端计算机系统之间。客户端计算机系统请求存取控制服务器提供涉及存储于密钥管理服务器中的密码密钥的响应。存取控制服务器处理请求以确定是否使用密钥管理服务器的服务生成响应。存取控制系统可用作密钥管理服务器的看门人及/或代理，其拒绝来自未列于白名单的计算机系统的连接、使密钥管理服务器免受拒绝服务(DoS)攻击及使用密钥管理服务器的密码密钥管理功能性实施客户端/装置特定的操作。通过控制对密钥管理服务器的存取，存取控制服务器可降低密钥管理服务器的安全性风险且提供丰富的服务来适应各种类型的存储器装置、控制活动及客户端偏好。
存储器装置可经配置以具有唯一标识。标识可使用密码技术认证以防止伪造装置及/或被篡改装置存取服务且防止不安全操作。标识可基于存储器装置的硬件及存储于存储器装置中的所选择的数据生成以表示作为一个整体的存储器装置的硬件与软件的组合。此外，存储器装置可经配置以向拥有一或多个密码密钥的实体提供请求存储器装置执行与存储器装置的受保护方面相关的命令的特权。密钥管理服务器可用于存储器装置的唯一标识的确认及特权的转移。
举例来说，存储器装置可存储用于其认证的秘密。在安全设施中制造存储器装置期间，唯一装置秘密(UDS)可在存储器装置中被拒绝且存储于存储器装置的受保护的且存取可控的区中。根据装置标识组合引擎(DICE)及稳健物联网(RIoT)的标准及/或实施方案，密码密钥可在启动时基于唯一装置秘密(UDS)及存储于安全存储器装置中的其它非秘密数据的组合生成。接着，可将密码密钥用作秘密及存储器装置的标识。
在安全设施中制造存储器装置期间，存储器装置的唯一装置秘密(UDS)注册于密钥管理服务器中。随后，在存储器装置从存储器装置的制造商运出之后，唯一装置秘密(UDS)不会在存储器装置的安全区段外由存储器装置传出、提供、传递及/或不在存储器装置外。因为唯一装置秘密(UDS)在存储器装置与密钥管理服务器之间是已知的，因此存储器装置130及密钥管理服务器两者可执行使用唯一装置秘密(UDS)生成密码密钥的相同计算。至少部分基于唯一装置秘密(UDS)导出密码密钥以用于存储器装置的认证。
举例来说，存储器装置的认证可通过验证存储器装置具有密码密钥且因此具有唯一装置秘密且存储未被篡改版本的非秘密数据来执行。存储器装置可使用密码密钥来对证书或消息进行数字签名。如果可验证已使用密码密钥创建数字签名，那么存储器装置被认为是拥有密码密钥且因此具有表示唯一装置秘密且与其相关联的标识。
消息的数字认证可通过将密码函数应用到消息及使用密码密钥来实现。举例来说，对称密码学及/或非对称密码学可依赖于作为使用密码密钥进行数字签名的内容的散列。举例来说，使用对称密码学的签名可通过创建消息认证码(MAC)(例如，基于散列的消息认证码(HMAC)或基于密文的消息认证码(CMAC))来执行。举例来说，使用非对称密码学的签名可通过创建数字签名(例如，使用数字签名算法(DSA)或椭圆曲线数字签名算法(ECDSA))来执行。密码函数可包含散列及加密，其通常用于生成经添加到消息以进行认证的标头。标头可在使用对称密码学时是散列摘要，或在应用非对称密码学时是数字签名。接着，消息的接收者可将类似密码函数应用到接收到的消息及使用密码密钥认证消息的内容由拥有适当密码密钥的受信任方发送。举例来说，标头中的经加密散列值可经解密以与独立于消息计算出的散列值进行比较。如果在从消息计算的散列值与从解密标头(例如，数字签名及/或散列摘要)恢复的散列值之间存在匹配，那么可鉴于散列值确认消息的完整性；且标头可被视为已使用密码密钥创建。
在启动时生成的密码密钥可用于在启动时对证书进行签名且立即被丢弃以保护其保密性。替代地，在启动时生成的密钥可保持于存储器中以稍后在运行时使用。在一些情况中，在启动时使用的密码密钥称为DICE装置ID密钥，且在运行时使用的密钥称为DICE别名密钥。在一些情况中，装置ID私密密钥可用于对包含别名公共密钥的证书进行签名，以证明别名密钥是从存储器装置生成。
在一些布置中，存储器装置的至少一些安全特征最初在存储器装置被从制造存储器装置的设施运到存储器装置安装于其中的计算装置的原始设备制造商(OEM)时取消激活。命令可经提供给存储器装置以激活不活动安全特征。
使命令被存储器装置接受以供执行的特权可与密码密钥相关联。当存储器装置验证命令经由正确密码密钥数字签名时，存储器装置执行命令；否则，存储器装置可拒绝或忽略命令。用以激活或取消激活安全特征或读取、写入、更新、删除及/或修改存储器单元的安全区段的各种命令可经配置以需要基于相关密码密钥的特权。
举例来说，存储器装置经配置以存储用于在请求存储器装置执行命令时验证实体的特权的密码密钥。特权可通过使用密码密钥检查命令是否通过使用对应密码密钥进行签名来验证。当使用对称密码学时，将使用存储于存储器装置中的相同密码密钥对命令进行签名以验证特权。当使用非对称密码学时，将使用与存储于存储器装置中的公共密钥相关联的私密密钥对命令进行签名以验证特权。
操作存储器装置的至少一些特权可在最初提供给存储器装置的制造商。举例来说，存储器装置可经制造以存储制造商的公共密钥，以允许由存储器装置通过使用制造商的对应私密密钥确认应用于命令上的数字签名来检查特权。替代地，当使用对称密码学时，存储器装置经制造以存储在存储器装置与制造商之间已知的秘密密码密钥以进行数字签名确认。
特权可从存储器装置的制造商转移到另一实体，例如存储器装置安装于其中的计算装置的制造商。转移可通过替换存储于存储器装置中的对应密码密钥或通过提供可用于对命令进行签名的秘密密钥来实现。
存取控制服务器可使用密钥管理服务器的服务安全验证存储器装置的标识，以签名需要权限的命令及/或转移特权。
举例来说，一组特权可经指派到被视作存储器装置的所有者的实体。所有者特权可经由存储于存储器装置内的密码密钥验证。可能需要此类特权的实例来激活存储器装置的安全特征、更新存储器装置的标识(例如，基于存储于存储器装置中的经更新非安全数据)及将所有者特权转移到另一实体，例如存储器装置安装于其中的计算装置的制造商。存储器装置的当前所有者可对特权命令进行数字签名以请求其在存储器装置中执行。
可能进一步需要所有者特以取消激活所选择的安全特征、管理存储器装置中的密码密钥以认证被授权使用存储器装置中的一或多个安全区段的用户及/或管理至少部分基于存储器装置的唯一装置秘密生成的存储器装置及/或计算装置的标识。
图1展示根据一个实施例的经配置以控制存储器装置的服务器系统102。服务器系统102包含密钥管理服务器103及存取控制服务器101。
在图1中，密钥管理服务器103经配置以存储使密码密钥124与唯一标识122相关联的数据。
举例来说，密码密钥124可经配置以用于存储器装置130的安全管理器113的操作。安全管理器113可具有在安全设施中制造存储器装置130期间被注册到密钥管理服务器103中的唯一装置秘密(UDS)。证实存储器装置130拥有唯一装置秘密(UDS)的密码操作可被视为确认存储器装置130是真实的。
存储于密钥管理服务器103中的用于存储器装置130的密码密钥124可包含唯一装置秘密(UDS)。此外，密码密钥124可包含可与唯一装置秘密(UDS)组合以生成经导出密码密钥124的数据。用于生成经导出密码密钥124的此类数据可包含非秘密数据，例如从将密码散列函数应用到存储于或将存储于存储器装置130中的一组数据及/或指令获得的散列值。密码密钥124可包含使用唯一装置秘密(UDS)及非秘密数据生成的经导出密码密钥124。存储器装置130及密钥管理服务器103经配置以基于唯一装置秘密(UDS)及其它数据(例如，非秘密数据)生成相同经导出密码密钥124。因为存储器装置130及密钥管理服务器103可独立生成相同经导出密钥，因此在存储器装置130及密钥管理服务器103外不执行唯一装置秘密(UDS)的传递以认证存储器装置130的标识。此布置改进安全性。
存储器装置130可通过展示其具有至少部分基于存储器装置130的唯一装置秘密(UDS)导出的秘密密码密钥124来证实其拥有密钥管理服务器103已知的唯一装置秘密(UDS)。举例来说，秘密密码密钥可用于生成应用于消息上的数字签名；且密钥管理服务器103可使用对应密钥验证数字签名使用从存储器装置130的唯一装置秘密(UDS)导出的秘密密码密钥应用。对应密钥可为使用对称密码学的相同秘密密码密钥124或对应于使用非对称密码学的秘密私密密钥的公共密钥。数字签名可呈基于散列的消息认证码(HMAC)的形式或呈被签名的消息的经加密散列的形式。
一般来说，秘密密钥可为用于对称密码学中的对称密码密钥，其中加密及解密两者经配置以使用相同密钥。替代地，秘密密钥可为用于非对称密码学中的一对密钥中的一者，其中使用一个密钥执行的加密将使用另一密钥解密但不能使用用于加密的相同密钥解密；从所述对中的一个密钥确定另一密钥通常是不切实际的。因此，密钥对中的一者可用作秘密且因此用作私密密钥；且另一密钥可揭露为公共密钥。使用公共密钥，没有私密密钥的实体可验证密文文本是否是使用对应私密密钥生成。
存储器装置130可包含从群体中的其它存储器装置唯一识别存储器装置130的唯一标识(UID)122。举例来说，存储器装置130的唯一标识(UID)122可包含存储器装置130的制造商部件号(MPN)及/或存储器装置130的序列号。举例来说，存储器装置130的唯一标识(UID)122可包含至少部分基于唯一装置秘密生成的一对非对称密码密钥中的公共密钥。
在存储器装置130连接到客户端计算机系统105之后，客户端计算机系统105可启动依赖于存储于密钥管理服务器103中的与存储器装置130的唯一标识(UID)122相关联的密码密钥124的一或多个操作。
举例来说，客户端计算机系统105可请求验证由存储器装置130的唯一装置秘密(UDS)或秘密密钥所表示的存储器装置130的标识。客户端计算机系统105可请求存储器装置130提供包含存储器装置130的唯一标识(UID)122的标识数据及使用存储器装置130的秘密密钥应用于包含于标识数据中的消息上的数字签名。举例来说，消息可包含唯一标识(UID)122、密码随机数及计数器值。标识数据可传输到密钥管理服务器103以使用与存储器装置130的唯一标识(UID)122相关联的对应密码密钥124进行认证。
在图1的系统中，存取控制服务器101经配置于客户端计算机系统105与密钥管理服务器103之间。存取控制服务器101存储客户端特权数据127及存储器装置权限数据129。
举例来说，客户端特权数据127可包含被允许存取密钥管理服务器103的功能性的客户端计算机系统(例如，105、…、106)的因特网协议(IP)地址的白名单。当不在白名单上的计算机系统向存取控制服务器101发送请求时，存取控制服务器101可丢弃或忽略所述请求。存取控制服务器101可经配置以防止对密钥管理服务器103的拒绝服务(DoS)攻击。
图1说明经配置以允许一组客户端计算机系统(例如，105、…、106)使用密钥管理服务器103的功能性的一个存取控制服务器101的使用。一般来说，多个存取控制服务器101可经配置以允许若干组不同客户端计算机系统存取密钥管理服务器103。在一些实施方案中，客户端计算机系统105可使用多个存取控制服务器(例如，101)中的一或多者存取密钥管理服务器103的功能性。
存取控制服务器101与客户端计算机系统105可经由非安全通信媒体(例如因特网)建立安全认证连接201。举例来说，存取控制服务器101经配置以基于客户端计算机系统105的证书121认证客户端计算机系统105的标识；且客户端计算机系统105经配置以基于存取控制服务器101的证书123认证存取控制服务器101的标识。举例来说，存取控制服务器101的公共密钥可由客户端计算机系统105用于验证存取控制服务器101拥有与公共密钥相关联的私密密钥；且客户端计算机系统105的公共密钥可由存取控制服务器101用于验证客户端计算机系统105拥有与公共密钥相关联的私密密钥。客户端计算机系统105及存取控制服务器101可协商用于加密在通信会话期间在客户端计算机系统105与存取控制服务器101之间传输的消息的会话密钥。
存储于存取控制系统101中的存储器装置权限数据129指示客户端计算机系统105是否具有正当理由针对通过其唯一标识(UID)122识别的存储器装置130存取密钥管理服务器103。任选地，权限数据129指示在未通过存储器装置(例如，130)的唯一标识明确及/或个别识别其相应存储器装置(例如，130)的情况下客户端计算机系统105是否具有正当理由针对一或多个存储器装置(例如，130)存取密钥管理服务器103。在一些实施方案中，权限数据129指示客户端计算机系统105是否具有正当理由针对使用批标识或群组标识识别的一批特定或一群组特定存储器装置(例如，130)存取密钥管理服务器103。
举例来说，如果存储器装置130被操作客户端计算机系统105的实体购买，那么存储器装置权限数据129指示操作存储器装置130的拥有特权可经由客户端计算机系统105转移给一实体。因此，对存储器装置130操作的请求可使用密钥管理服务器103的功能性接受及服务。举例来说，可作出此请求以验证存储器装置130的真实性、激活存储器装置130的安全特征、替换密码密钥124中的一些及/或将其安装于存储器装置130中、存取存储器装置130的存储器单元107的安全部分等。然而，如果存储器装置130的唯一标识(UID)122在存储器装置权限数据129中与客户端计算机系统105不相关联，那么可丢弃或拒绝请求。
在一些实施方案中，密钥管理服务器103及存取控制服务器101也可经由非安全通信媒体(例如因特网)通信。密钥管理服务器103及存取控制服务器101可使用其相应证书(例如，123及125)建立安全认证连接203。
任选地，密钥管理服务器103及存取控制服务器101可使用专用通信连接连接及/或经配置以改进内联网内的安全性。
存取控制服务器101可请求密钥管理服务器103确定来自存储器装置130的数字签名是否是使用从存储器装置130的UID 122的唯一装置秘密导出的密码密钥124签名。
任选地，存取控制服务器101可请求密钥管理服务器103在消息或命令上生成数字签名。
举例来说，密钥管理服务器103可存储表示操作存储器装置130的特权的当前持有者的私密密钥；且在验证存储器装置130是真实的且客户端计算机系统105有资格请求特权转移之后，存取控制服务器101可请求密钥管理服务器103使用表示特权的当前持有者的私密密钥对命令进行签名，例如配置存储器装置130的安全操作的特权。命令可经配置以改变或替换用于存储器装置130中的数据的部分以生成存储器装置130的标识数据、改变或更新权限的持有者的公共密钥、添加或改变授权用户的公共密钥以在存储器单元107的区段中执行受限制的操作。受限制的操作的实例包含读取、写入、擦除及/或更新存储器装置130中的存储器单元107的区段中的数据。
存储器装置130可用作主机系统的存储装置及/或存储器模块。下文结合图2描述存储装置及存储器模块的实例。一般来说，主机系统可利用包含例如存储数据的存储器装置130的一或多个组件的存储器子系统。主机系统可提供将存储在存储器子系统处的数据且可请求将从存储器子系统检索的数据。
图2说明根据本公开的一些实施例的包含存储器子系统110的实例计算系统100。存储器子系统110可包含媒体，例如一或多个易失性存储器装置(例如，存储器装置140)、一或多个非易失性存储器装置(例如，存储器装置130)或此类事物的组合。
存储器子系统110可为存储装置、存储器模块或存储装置与存储器模块的混合体。存储装置的实例包含固态驱动器(SSD)、快闪驱动器、通用串行总线(USB)快闪驱动器、嵌入式多媒体控制器(eMMC)驱动器、通用快闪存储(UFS)驱动器、安全数字(SD)卡及硬盘驱动器(HDD)。存储器模块的实例包含双列直插式存储器模块(DIMM)、小形DIMM(SO-DIMM)及各种类型的非易失性双列直插式存储器模块(NVDIMM)。
计算系统100可为计算装置，例如台式计算机、膝上型计算机、网络服务器、移动装置、运载工具(例如，飞机、无人机、火车、汽车或其它运输工具)、物联网(IoT)启用装置、嵌入式计算机(例如，包含于运载工具、工业设备或联网商用装置中的嵌入式计算机)或包含存储器及处理装置的此计算装置。
计算系统100可包含耦合到一或多个存储器子系统110的主机系统120。图3说明耦合到一个存储器子系统110的主机系统120的一个实例。如本文中使用，“耦合到”或“与…耦合”一般是指组件之间的连接，其可为间接通信连接或直接通信连接(例如，没有中介组件)，无论是有线还是无线，包含例如电连接、光学连接、磁性连接等的连接。
主机系统120可包含处理器芯片组(例如，处理装置118)及由处理器芯片组执行的软件堆叠。处理器芯片组可包含一或多个核心、一或多个高速缓存、存储器控制器(例如，控制器116)(例如，NVDIMM控制器)及存储协议控制器(例如，PCIe控制器、SATA控制器)。主机系统120使用存储器子系统110例如将数据写入到存储器子系统110及从存储器子系统110读取数据。
主机系统120可经由物理主机接口耦合到存储器子系统110。物理主机接口的实例包含(但不限于)串行高级技术附件(SATA)接口、外围组件互连高速(PCIe)接口、通用串行总线(USB)接口、光纤通道、串行附接SCSI(SAS)接口、双倍数据速率(DDR)存储器总线接口、小计算机系统接口(SCSI)、双列直插式存储器模块(DIMM)接口(例如，支持双倍数据速率(DDR)的DIMM套接字接口))、开放NAND快闪接口(ONFI)、双倍数据速率(DDR)接口、低功耗双倍数据速率(LPDDR)接口或任何其它接口。物理主机接口可用于在主机系统120与存储器子系统110之间传输数据。当存储器子系统110通过PCIe接口与主机系统120耦合时，主机系统120可进一步利用NVM高速(NVMe)接口存取组件(例如，存储器装置130)。物理主机接口可提供用于在存储器子系统110与主机系统120之间传递控制、地址、数据及其它信号的接口。图2将存储器子系统110说明为实例。一般来说，主机系统120可经由相同通信连接、多个单独通信连接及/或通信连接的组合存取多个存储器子系统。
主机系统120的处理装置118可为(例如)微处理器、中央处理单元(CPU)、处理器的处理器核心、执行部件等。在一些例子中，控制器116可称为存储器控制器、存储器管理部件及/或启动器。在一个实例中，控制器116控制经由耦合于主机系统120与存储器子系统110之间的总线的通信。一般来说，控制器116可将命令或请求发送到存储器子系统110以对存储器装置130、140进行所期望存取。控制器116可进一步包含用以与存储器子系统110通信的接口电路系统。接口电路系统可将从存储器子系统110接收的响应转换成用于主机系统120的信息。
主机系统120的控制器116可与存储器子系统110的控制器115通信以执行例如在存储器装置130、140处读取数据、写入数据或擦除数据的操作以及其它此类操作。在一些例子中，控制器116经集成于处理装置118的相同封装内。在其它例子中，控制器116与处理装置118的封装分离。控制器116及/或处理装置118可包含硬件，例如一或多个集成电路(IC)及/或离散组件、缓冲器存储器、高速缓存存储器或其组合。控制器116及/或处理装置118可为微控制器、专用逻辑电路系统(例如，现场可编程门阵列(FPGA)、专用集成电路(ASIC)等)或另一合适的处理器。
存储器装置130、140可包含不同类型的非易失性存储器组件及/或易失性存储器组件的任何组合。易失性存储器装置(例如，存储器装置140)可为(但不限于)随机存取存储器(RAM)，例如动态随机存取存储器(DRAM)及同步动态随机存取存储器(SDRAM)。
非易失性存储器组件的一些实例包含“与非”(或NOT AND)(NAND)型快闪存储器及原位写入存储器，例如三维交叉点(“3D交叉点”)存储器。非易失性存储器交叉点阵列可基于体电阻变化结合堆叠式交叉网格式数据存取阵列执行位存储。另外，与许多基于快闪的存储器相比，交叉点非易失性存储器可执行原位写入操作，其中可在无需事先擦除非易失性存储器单元的情况下对非易失性存储器单元进行编程。NAND型快闪存储器包含例如二维NAND(2D NAND)及三维NAND(3D NAND)。
存储器装置130中的每一者可包含一或多个存储器单元阵列。例如单电平单元(SLC)的一种类型的存储器单元可每单元存储一个位。例如多电平单元(MLC)、三电平单元(TLC)及四电平单元(QLC)及五电平单元(PLC)的其它类型的存储器单元可每单元存储多个位。在一些实施例中，存储器装置130中的每一者可包含一或多个存储器单元阵列，例如SLC、MLC、TLC、QLC、PLC或此类的任何组合。在一些实施例中，特定存储器装置可包含存储器单元的SLC部分、MLC部分、TLC部分、QLC部分及/或PLC部分。存储器装置130的存储器单元可经分组为页面，其可指代用于存储数据的存储器装置的逻辑单位。对于一些类型的存储器(例如，NAND)，页面可经分组以形成块。
尽管描述了例如3D交叉点类型及NAND类型存储器(例如，2D NAND、3D NAND)的非易失性存储器装置，但存储器装置130可基于任何其它类型的非易失性存储器，例如只读存储器(ROM)、相变存储器(PCM)、自选择存储器、其它基于硫属化物的存储器、铁电晶体管随机存取存储器(FeTRAM)、铁电随机存取存储器(FeRAM)、磁随机存取存储器(MRAM)、自旋转移力矩(STT)-MRAM、导电桥接RAM(CBRAM)、电阻性随机存取存储器(RRAM)、基于氧化物的RRAM(OxRAM)、“或非”(NOR)快闪存储器及电可擦除可编程只读存储器(EEPROM)。
存储器子系统控制器115(或为了简化起见，控制器115)可与存储器装置130通信以执行例如在存储器装置130处读取数据、写入数据或擦除数据的操作及其它此类操作(例如，响应于由控制器116在命令总线上调度的命令)。控制器115可包含例如一或多个集成电路(IC)及/或离散组件、缓冲器存储器或其组合的硬件。硬件可包含具有用于执行本文中描述的操作的专用(例如，硬编码)逻辑的数字电路系统。控制器115可为微控制器、专用逻辑电路系统(例如，现场可编程门阵列(FPGA)、专用集成电路(ASIC)等)或另一合适的处理器。
控制器115可包含经配置以执行存储于本地存储器119中的指令的处理装置117(例如，处理器)。在所说明实例中，控制器115的本地存储器119包含经配置以存储用于执行控制存储器子系统110的操作的各种过程、操作、逻辑流及例程的指令的嵌入式存储器，包含处置存储器子系统110与主机系统120之间的通信。
在一些实施例中，本地存储器119可包含存储存储器指针、经提取数据等的存储器寄存器。本地存储器119还可包含用于存储微代码的只读存储器(ROM)。虽然已将图2中的实例存储器子系统110说明为包含控制器115，但在本公开的另一实施例中，存储器子系统110不包含控制器115，且可代替地依赖于外部控制(例如，由外部主机提供、或由与存储器子系统分离的处理器或控制器提供)。
一般来说，控制器115可从主机系统120接收命令或操作且可将所述命令或操作转换成指令或适当命令以实现对存储器装置130的所期望存取。控制器115可负责其它操作，例如损耗均衡操作、废料收集操作、错误检测及错误校正码(ECC)操作、加密操作、高速缓存操作及与存储器装置130相关联的逻辑地址(例如，逻辑块地址(LBA)、命名空间)与物理地址(例如，物理块地址)之间的地址转译。控制器115可进一步包含用以经由物理主机接口与主机系统120通信的主机接口电路系统。所述主机接口电路系统可将从主机系统接收的命令转换成命令指令以存取存储器装置130，且还将与存储器装置130相关联的响应转换成用于主机系统120的信息。
存储器子系统110还可包含未说明的额外电路系统或组件。在一些实施例中，存储器子系统110可包含高速缓存或缓冲器(例如，DRAM)及地址电路系统(例如，行解码器及列解码器)，其可从控制器115接收地址且解码所述地址以存取存储器装置130。
在一些实施例中，存储器装置130包含本地媒体控制器150，其结合存储器子系统控制器115操作以对存储器装置130的一或多个存储器单元执行操作。外部控制器(例如，存储器子系统控制器115)可在外部管理存储器装置130(例如，对存储器装置130执行媒体管理操作)。在一些实施例中，存储器装置130是受管理的存储器装置，其是与用于同一存储器装置封装内的媒体管理的本地控制器(例如，本地媒体控制器150)组合的原始存储器装置。受管理的存储器装置的实例是受管理的NAND(MNAND)装置。
控制器115及/或存储器装置130可包含经配置以控制对存储器装置130中的存储器单元107的存取的安全管理器113。在一些实施例中，存储器子系统110中的控制器115及/或本地媒体控制器150可包含安全管理器113的至少一部分。在其它实施例中，或组合地，主机系统120中的控制器116及/或处理装置118可包含安全管理器113的至少一部分。举例来说，控制器115、控制器116及/或处理装置118可包含实施安全管理器113的逻辑电路系统。举例来说，控制器115或主机系统120的处理装置118(例如，处理器)可经配置以执行存储于存储器中的用于执行本文中描述的安全管理器113的操作的指令。在一些实施例中，安全管理器113经实施于安置于存储器子系统110中的集成电路芯片中。在其它实施例中，安全管理器113可为存储器子系统110的固件、主机系统120的操作系统、装置驱动程序或应用程序或其中的任何组合的部分。
举例来说，当存储器装置130最初从存储器装置的制造商运出时，存储器装置130经配置有制造商的密码密钥以向制造商提供配置存储器装置130的安全操作的特权。为了促进存储器装置130安装于其中的图2的计算系统100的组装，可将特权提供给或转移到计算系统100的制造商。转移可包含在认证存储器装置130的标识之后经由存取控制服务器101激活存储器装置130的安全特征。任选地，特权可通过替换控制配置存储器装置130的安全操作的特权的密码密钥转移到计算系统100的制造商。在激活之后，安全管理器113可控制安装于存储器装置130中的软件/固件来操作计算系统100，且生成不仅表示存储器装置130而且表示具有存储器装置130及其它软件/硬件组件的计算系统100的标识数据。
安全管理器113可不仅基于其唯一装置秘密(UDS)而且基于存储于存储器装置130中的由主机系统120的处理装置118执行的指令建立存储器装置130的标识。举例来说，安全管理器113可确定将在计算系统100启动时期间执行的一组指令的密码散列值。安全管理器113可通过比较在启动时计算的散列值与预计算的散列值检查一组指令的完整性。如果两个散列值彼此一致，那么所述组指令可被视作尚未被篡改及/或损坏。因此，所述组指令可在计算系统100中执行以进一步实施安全管理器113的安全操作及/或计算系统100的启动操作。任选地，散列值的验证可为使用通过在计算系统100的启动时期间执行一组指令的至少一部分生成的证书进行的作为端点的计算系统100的认证的部分。
举例来说，存储器装置130的标识符可至少部分基于一组指令的散列值生成。因此，当存储器装置130的标识符通过使用证书进行的认证验证时，所述组指令的散列值可被视作已被验证为正确的；且用于生成证书及启动计算系统100的所述组指令尚未被篡改及/或损坏。
在计算系统100中执行一组指令致使计算系统100确定计算系统100的其它组件的标识，例如处理装置118的标识符、控制器116的标识符、存储器子系统控制器115的标识符、存储器装置140的标识符及/或软件程序(例如，操作系统、装置驱动程序、应用程序等)的标识符。具有存储器装置130的计算系统100中的组件的一组标识符(包含存储器装置130的标识符)可经组合以生成用于对证书进行签名的密码密钥。证书是基于单调递增的计数器值，其在计算系统100每次启动及/或存储器装置130每次执行安全操作时增加。任选地，证书可展示用于生成用于对证书进行的密码密钥的一些标识符。证书还可包含在启动时生成的DICE别名公共密钥。
证书可经由计算机网络传递到远程计算机(例如，存取控制服务器101)以进行认证。当证书被认证时，可推断用于生成证书的一组指令的完整性是完整的，且计算系统100具有与由用于生成用于对证书进行签名的密码密钥的标识符表示的一组组件相关联的存储器装置130。另外，包含于证书中的单调计数器值允许其接收者验证其是最近生成的，且因此其可被信任。证书拥有DICE别名公共密钥，其可与DICE别名公共密钥(例如，存储于远程计算机上或响应于证书及时计算以供使用)作比较。如果两个密钥匹配，那么远程计算机可信任由端点发送且用DICE别名私密密钥签名的另外消息。
图3说明根据一个实施例的具有安全管理器的集成电路存储器装置。举例来说，图2的存储器子系统110中的存储器装置130及/或图1中连接到客户端计算机系统105的存储器装置130可使用图3的集成电路存储器装置130实施。
集成电路存储器装置130可经围封于单个集成电路封装中。集成电路存储器装置130包含可经形成于一或多个集成电路裸片中的多个存储器区域131、…、133。存储器区域131、…、133中的典型存储器单元可经编程以存储一或多个数据位。
本地媒体控制器150可包含经配置以控制对存储器区域131、…、133中的至少一者的存取的安全管理器113的至少一部分。
举例来说，安全管理器113可使用存取控制密钥153实施一种类型操作的特权。当在集成电路存储器装置130中接收到对此类型的操作的请求时，安全管理器113可使用存取控制密钥153验证请求是否使用对应密码密钥数字地签名。举例来说，请求者可使用密码密钥对请求或质询消息进行数字签名使得数字签名可使用存取控制密钥153进行验证。经请求操作在使用存取控制密钥153执行的数字签名验证成功时由存储器装置130执行。否则，请求可被拒绝或忽略。
举例来说，特权可为将数据写入于存储器区域(例如，131)中以防止存储于存储器区域(例如计算系统100的启动加载程序171)中的数据、计算系统100的固件/软件/操作系统、存储器装置130的安全设置等被篡改的权限。
存储器装置130可具有识别存储器装置130的唯一标识151及证实具有唯一标识151的存储器装置130的真实性的秘密密码密钥155。举例来说，密码密钥155可从存储器装置130的唯一装置秘密(UDS)及其它数据(例如存储于存储器区域(例如，131)中的非秘密数据的信息及/或计算系统100的其它组件的信息)生成。
集成电路存储器装置130具有通信接口147以从存储器子系统110的控制器115接收具有地址135的命令。响应于地址135识别需要存取控制的存储器区域131，安全管理器113使用存取控制密钥153执行密码操作，以验证请求是来自具有表示存取的授权的对应密码密钥的请求者。在验证对存取的授权、权限或特权之后，存储器装置130可使用地址解码器141提供从存储器区域131检索的存储器数据。集成电路存储器装置130的地址解码器141将地址135转换成控制信号以选择集成电路存储器装置130中的一群组存储器单元；且集成电路存储器装置130的本地媒体控制器150执行操作以确定在地址135处存储在存储器单元中的存储器数据。
存储器区域131可存储启动加载程序171。在启动时，安全管理器113可通过计算启动加载程序171的密码散列值测量启动加载程序171。启动加载程序171的密码散列值可用于生成集成电路存储器装置130及/或计算系统100的标识数据。启动加载程序171(及/或操作系统或装置驱动程序、或安全应用程序)可包含用于实施安全管理器113的部分的指令。在启动时期间，指令可确定集成电路存储器装置130作为其组件的计算系统100的配置。
举例来说，图2的计算系统100的配置可包含存储器子系统110的软件/固件组件。软件/固件可经存储于其它存储器装置(例如，140)中或在存储器装置130中存储在存储器区域133中。举例来说，集成电路存储器装置130中的存储器区域133中的指令173可包含计算系统100的操作系统、装置驱动程序、固件及/或软件应用程序。存储器子系统110的主要软件/固件组件中的一些可存储于在安全管理器113的存取控制下的存储器区域外及/或存储在集成电路存储器装置130外。软件/固件组件的标识符可包含软件/固件组件的组件标识、版本号、序列号及/或密码散列值。
图2的计算系统100的配置可包含存储器子系统110的硬件组件，例如处理装置118及/或控制器116。主机系统120可进一步包含外围装置，例如网络接口卡、通信装置、另一存储器子系统等。硬件组件的标识符可包含序列号、地址、标识号等。
计算系统100的配置信息，包含唯一标识151，可用于生成秘密密码密钥155以对使用来自单调计数器的至少所述值生成的证书进行签名。证书识别计数器值、存储器装置130的唯一标识151及/或存储器装置130安装于其中的计算系统100的唯一标识。
密钥管理服务器103可用于确认证书的真实性，因为密钥管理服务器103具有唯一装置秘密(UDS)且可生成由存储器装置130生成的相同密码密钥(例如，155)，而无需在制造存储器装置130之后经由通信通道传递秘密。
在用于控制存储器装置的方法的一个实施例中，第一计算机系统(例如，存取控制服务器101)与客户端计算机系统105建立安全认证连接201。
举例来说，为了建立安全认证连接201，存取控制服务器101从客户端计算机系统105接收第一证书121。第一证书121指示客户端计算机系统105的标识；且存取控制服务器101确认第一证书121。举例来说，存取控制服务器101可存储客户端计算机系统105的公共密钥且使用所述公共密钥确认第一证书是使用对应于公共密钥的私密密钥进行签名。
类似地，为了建立安全认证连接201，存取控制服务器101提供第二证书123指示存取控制服务器101的标识。客户端计算机系统105经配置以在安全认证连接201建立之前确认第二证书123。
安全认证连接201的建立可包含建立会话密钥来加密经由安全认证连接201传输的数据。
为了减小拒绝服务(DoS)攻击对存取控制服务器101的性能的影响，存取控制服务器101可存储客户端计算机系统(例如，105、…、106)的因特网协议(IP)地址的列表。存取控制服务器101可至少部分基于客户端计算机系统105的地址是否在列表中确定是否建立安全认证连接201。
第一计算机系统(例如，存取控制服务器101)经由连接201从客户端计算机系统105接收关于存储器装置130的请求。
请求可包含存储器装置130的标识数据。
第一计算机系统(例如，存取控制服务器101)基于存储于第一计算机系统中的数据确定客户端计算机系统105有资格操作存储器装置130。
举例来说，数据可包含指示客户端计算机系统105的操作者是存储器装置130的新的所有者的客户端特权数据127。
举例来说，数据可包含指示客户端计算机系统105的操作者是否已购买使用存储器装置130的安全特征的特权的存储器装置权限数据129。
响应于确定客户端计算机系统105有资格操作或控制存储器装置130，第一计算机系统(例如，存取控制服务器101)与第二计算机系统(例如，密钥管理服务器103)通信以生成对请求的响应。响应使用存储在第二计算系统(例如，密钥管理服务器103)中的与存储器装置130的唯一标识122相关联的至少一密码密钥124生成。响应经由第二计算机系统(例如，密钥管理服务器103)使用密码密钥124执行操作来生成，而无需在第二计算机系统(例如，密钥管理服务器103)外传输密码密钥124。举例来说，密钥管理服务器103可具有硬件安全模块(HSM)以确保密码密钥124在其在密钥管理服务器103中存储及使用时的安全性。因为密码密钥124未提供给存取控制服务器101，因此为了密码密钥124的安全性，硬件安全模块(HSM)不必在存取控制服务器101中。替代地，存取控制服务器101及密钥管理服务器103可经实施于相同计算机系统中。
举例来说，从客户端计算机系统105接收的请求可包含存储器装置130的标识数据；且响应可包含根据密码密钥124存储器装置130是否是真实的指示。
举例来说，密码密钥124可为由第二计算机系统(例如，密钥管理服务器103)及由存储器装置130基于存储器装置130的唯一装置秘密独立且单独生成的秘密密钥。存储器装置130的唯一装置秘密在存储器装置130制造期间被注册且存储于第二计算机系统(例如，密钥管理服务器103)中。随后，存储器装置130的唯一装置秘密作为秘密分别被保持于存储器装置130内及密钥管理服务器103内且为了改进安全性不传递到储器装置130及密钥管理服务器103外/向存储器装置130及密钥管理服务器103外透露。
任选地，第一计算机系统(例如，存取控制服务器101)与第二计算机系统(例如，密钥管理服务器103)通信以在其间建立单独安全认证连接203以生成响应。举例来说，存取控制服务器101可请求密钥管理服务器103确定存储器装置130的标识数据是否通过密码计算从存储器装置130的唯一装置秘密导出。
举例来说，响应可包含可在存储器装置130中执行以将特权转移给客户端计算机系统106的操作者及/或激活存储器装置130的至少一个安全特征的命令。举例来说，命令包含使用特权的当前持有者的密码密钥应用于命令上的数字签名；且命令可在数字签名由存储器装置130确认之后在存储器装置130中执行。
举例来说，响应可包含密码密钥，其可用于将数字签名应用于命令上使得命令可在存储器装置130中确认数字签名之后由存储器装置130执行。当命令不具有有效数字签名时，存储器装置130可拒绝或忽略命令。
上文论述的服务器系统102可用于向客户端计算机系统105提供控制存储器装置130的安全方面的特权，而无需在存储器装置130及密钥管理服务器103外以明文中暴露秘密密码密钥124且无需在保护秘密密码密钥124时信任客户端计算机系统105。
图4说明根据一个实施例的用于认证存储器装置的技术。举例来说，通过认证操作，会话密钥可经建立以保护密钥管理服务器103与存储器装置130之间的通信，而无需在处理安全性以保护存储器装置130的秘密时信任客户端计算机系统105。
在图4中，客户端计算机系统105可将对存储器装置130的标识数据的请求发送到存储器装置130。
请求231可包含密码随机数227。举例来说，密码随机数227可由服务器系统102响应于来自客户端计算机系统105的请求生成或由客户端计算机系统105生成且与用于请求231的服务器系统102共享。替代地，存储器装置130可响应于请求231生成密码随机数227且提供包含密码随机数227的对应响应233。
响应于对存储器装置130的标识数据的请求231，存储器装置130提供包含识别存储器装置130的唯一标识(UID)122的消息的响应233。
数字签名229使用存储器装置130的秘密密码密钥124应用到提供于响应中的消息。秘密密码密钥124是存储器装置130是真实的证据。举例来说，数字签名229可包含使用包含于响应233中的消息及密码密钥124生成的基于散列的消息认证码(HMAC)。举例来说，密码密钥124可用于生成两个密钥来生成基于散列的消息认证码(HMAC)。在将两个密钥中的一者与消息组合以生成由密钥修改的消息之后，存储器装置130可将密码散列函数应用到密钥修改的消息以生成散列值、将另一密钥与散列值组合以生成另一消息及将密码散列函数(或另一密码散列函数)应用到另一消息以生成基于散列的消息认证码(HMAC)。替代地，数字签名229可使用其它技术基于密码散列函数及使用密码密钥124执行的加密生成，其中加密可通常使用对称密码学或非对称密码学。
为了使响应233及/或数字签名229免受安全攻击(例如，重用响应233及/或尝试还原秘密密码密钥124)，数字签名229在包含唯一标识(UID)122、计数器值225及密码随机数227的消息上生成。计数器值225从存储器装置130中的计数器221获得。计数器221的值单调递增。举例来说，计数器221可用于存储表示接收到的对标识数据及/或与安全性相关的其它数据项或操作的请求的计数的值。因此，含有低于先前看到的计数器值的计数器值225的响应可被视作是无效的。密码随机数227用于生成响应233一次且被存储器装置130丢弃。当密码随机数227先前已提供给服务器系统102或由服务器系统102生成时，响应233不必在响应233中显式地包含密码随机数227。
客户端计算机系统105将响应233转发给服务器系统102以请求认证存储器装置130。使用提供于响应233中的唯一标识122，服务器系统102可定位与密钥管理服务器103中的唯一标识122相关联的秘密密码密钥124(或当使用非对称密码学时为对应公共密钥)。数字签名229可使用密码密钥124(或当使用非对称密码学时为对应公共密钥)确认。
举例来说，服务器系统102可独立计算应用到响应233中所含的消息的基于散列的消息认证码(HMAC)且将计算得到的结果与提供于数字签名229中的对应结果作比较。如果结果相同，那么服务器系统102可推断存储器装置130具有秘密密码密钥124且因此存储器装置130是真实的。否则，存储器装置130不是真实的。
基于数字签名229的确认，服务器系统102将真实性指示符235提供给客户端计算机105。真实性指示符235指示存储器装置130是否是真实的。
通过认证存储器装置130，存储器装置130及服务器系统102可建立会话密钥223以在后续通信会话中彼此通信。会话可受响应233或数字签名229的确认之后的预定长度的时段限制。在所述时段之后，会话密钥223到期且因此可被销毁或被丢弃。此外，对标识数据的后续请求可终止由对识别数据的先前请求开始的先前会话。
会话密钥223可至少部分基于在服务器系统102与存储器装置130之间已知但不可用于服务器系统102与存储器装置130之间的通信通道的秘密生成。
举例来说，会话密钥223可至少部分基于秘密密码密钥124导出。此外，会话密钥223可至少部分基于计数器值225及/或密码随机数227。任选地，会话密钥223可至少部分基于数字签名229。举例来说，数字签名229及密码密钥124可经组合以生成会话密钥223。
在一些实施方案中，会话密钥223独立于数字签名229；且数字签名229可使用从密码密钥124导出的会话密钥223(或服务器系统102与存储器装置130之间已知的另一秘密)生成。
图5说明根据一个实施例的用于生成控制存储器装置的安全操作的命令的技术。
举例来说，在使用客户端特权数据127及存储器装置权限数据129验证客户端计算机系统105向存储器装置130发出命令239的特权之后，客户端计算机系统105可请求服务器系统102提供用于命令239的数字签名243。
在客户端计算机系统105发送识别命令239及存储器装置130的请求241之后，如果客户端计算机系统105被确定为具有使用命令239控制或操作存储器装置130的特权，那么服务器系统102可生成用于命令239的数字签名243。请求241可包含命令239将在其中执行的存储器装置130的唯一标识122。举例来说，唯一标识122可由客户端计算机系统105从对存储器装置130的标识数据及/或由服务器系统102提供的真实性指示符235的请求231的响应233提取。
类似于标识数据的数字签名229，命令239的数字签名243可包含从将在请求245中提供到存储器装置130的消息及与存储器装置130的唯一标识122相关联的密钥生成的基于散列的消息认证码(HMAC)。密钥可为图4中所说明的会话密钥223或密码密钥124或用于控制命令239在存储器装置130中的执行的另一密码密钥。当数字签名243是基于会话密钥223时，数字签名243在会话密钥223到期时到期，这防止在超出其中会话密钥223是有效的会话的情况下重用数字签名243。
替代地，数字签名243可基于密码散列函数及使用对称或非对称密码学执行的加密生成。举例来说，数字签名243可为散列值的密文文本。散列值通过将密码散列函数应用到消息生成；且密文文本通过使用秘密密码密钥124加密散列值生成。当使用对称密码学时，密文文本将使用相同秘密密码密钥124解密以由存储器装置130确认(或密文文本由存储器装置130根据要确认的接收到的消息的散列值独立地重建)。当使用非对称密码学时，密文文本将使用对应于私密密码密钥124的公共密码密钥解密以由存储器装置130确认。
举例来说，提供于请求245中的消息可包含命令239及密码随机数247。密码随机数247经布置用于命令239/请求245且因此不同于用于传输存储器装置130的标识数据的密码随机数227。
举例来说，响应于请求241，服务器系统102可生成密码随机数247且将其用于生成数字签名243。密码随机数247可与数字签名243一起提供给客户端计算机系统105以生成请求245。替代地，客户端计算机系统105可生成密码随机数247且用请求241将其提供给服务器102。替代地，为了生成请求241，客户端计算机系统105可从服务器系统102请求密码随机数247。
在客户端计算机系统105发送具有从服务器系统102获得的数字签名243的请求245之后，存储器装置130使用对应密钥确认包含于请求245中的消息的数字签名243。如果数字签名243是有效的，那么存储器装置130执行命令239；否则，请求245及/或命令239可被拒绝或忽略。
举例来说，命令239可经配置以激活存储器装置130的安全特征。
举例来说，命令239可经配置以替换与唯一标识122相关联的秘密密钥124。举例来说，新的密码密钥124可使用在存储器装置130安装于其中的计算装置的制造期间提供但在存储器装置130被制造时不可用的额外非秘密数据生成。
在执行命令239之后，存储器装置130提供可由客户端计算机系统105转发给服务器系统102的响应249。服务器系统102可确定响应249是否是正确的。举例来说，存储器装置130可使用会话密钥223对响应进行签名以由服务器系统102确认。
在一些实施方案中，用于替换密钥124的替换密码密钥由存储器装置130及服务器系统102根据秘密(例如，唯一装置秘密)及通过客户端计算机系统105交换的额外数据独立生成。额外数据可通过使用会话密钥223执行的加密进行保护。
在一些实施方案中，替换密码密钥124以使用会话密钥223生成的密文文本的形式从存储器装置130传递给服务器系统102。
图6展示根据一个实施例的用于控制存储器装置的方法。图6的方法可由处理逻辑执行，所述处理逻辑可包含硬件(例如，处理装置、电路系统、专用逻辑、可编程逻辑、微代码、装置的硬件、集成电路等)、软件/固件(例如，运行或执行于处理装置上的指令)或其组合。在一些实施例中，图6的方法至少部分由图1、图4及/或图5的服务器系统102执行。尽管以特定顺序或次序展示，但除非另外指定，否则过程的次序是可修改的。因此，所说明实施例应被理解为仅作为实例，且所说明过程可以不同次序执行，且一些过程可并行执行。另外，在各个实施例中，可省略一或多个过程。因此，并非在每个实施例中都需要所有过程。其它过程流是可能的。
在框301，服务器系统102与客户端计算机系统105建立安全认证连接201。
在框303，服务器系统102经由连接201从客户端计算机系统105接收识别存储器装置130的请求。
举例来说，服务器系统102经由客户端计算机系统105从存储器装置130接收存储器装置130的标识数据。服务器系统102基于存储于服务器系统102中的存储器装置130的秘密确认标识数据。基于标识数据的确认，建立服务器系统102及存储器装置130已知的会话密钥223。
举例来说，标识数据可包含第二消息及使用存储器装置130的秘密密码密钥124应用于第二消息上的第二数字签名229。第二消息可具有存储器装置130的唯一标识122、来自配置于存储器装置130中的计数器221的值225及第二密码随机数227。
举例来说，会话密钥223可经配置以在从标识数据的确认开始的预定长度的时段中到期。预定长度可经配置以允许在存储器装置130与服务器系统102之间进行几次往返消息交换。此外，对标识数据的后续请求可终止当前会话且以新会话密钥开始新会话。在一些实施方案中，会话密钥的使用期限是基于存储器装置130中的电力循环事件。当存储器装置130从掉电状态加电时，生成新的会话密钥；且会话密钥可为有效的直到在掉电及加电之后生成下一会话密钥为止。任选地，命令可发送到存储器装置130以指示存储器装置130生成新的会话密钥。
在框305，服务器系统102基于存储于服务器系统102中的数据确定客户端计算机系统105有资格控制存储器装置130。举例来说，客户端特权数据127及存储器装置权限数据129可用于确定客户端计算机系统105是否有资格控制存储器装置130。
在框307，服务器系统102使用存储于服务器系统中的与存储器装置130相关联的至少一密码密钥124生成用于命令239的第一数字签名243。
举例来说，第一数字签名243经应用到从客户端计算机系统105到存储器装置130的请求245中的第一消息。第一消息包含命令239及不同于第二密码随机数227的第一密码随机数247。
举例来说，第一数字签名243可包含从第一消息及存储于存储器装置130及服务器系统102两者中的密码密钥124(或会话密钥223)生成的基于散列的消息认证码(HMAC)。
一般来说，第一数字签名243可使用会话密钥223、存储于服务器系统102中的与存储器装置130的唯一标识122相关联的密码密钥124或另一密钥或使用对称密码学或非对称密码学的其任何组合、或基于散列的消息认证码(HMAC)生成。
在框309，服务器系统102经由连接201将第一数字签名243传输到客户端计算机系统105。
在框311，客户端计算机系统105将具有第一数字签名243的命令239提交给存储器装置130。
在框313，存储器装置130在执行命令239之前确认第一数字签名243。
举例来说，当执行于存储器装置130中时，命令239致使存储器装置130激活存储器装置130的安全特征。
举例来说，当执行于存储器装置130中时，命令239致使存储器装置130用第二密码密钥替换第一密码密钥。
举例来说，第二密码密钥基于存储于存储器装置130及服务器系统102中的唯一装置秘密(UDS)在存储器装置130中生成。服务器系统102可独立于存储器装置130根据存储于服务器系统102中的唯一装置秘密(UDS)生成第二密码密钥且因此避免需要在服务器系统102与存储器装置130之间传输第二密码密钥。替代地，第二密码密钥可以使用会话密钥223生成的密文文本的形式在服务器系统102与存储器装置130之间传输。替代地，第二密码密钥可基于会话密钥223生成。
举例来说，会话密钥223可用于加密经由客户端计算机系统105从服务器系统102传输到存储器装置130以用于命令239的执行的数据的至少一部分。
举例来说，会话密钥223可用于解密从命令239的执行生成且经由客户端计算机系统105从存储器装置130传输到服务器系统102的响应的至少一部分。
举例来说，服务器系统102可生成命令239的第一密码随机数247及标识数据的第二密码随机数227。第一密码随机数247及第二密码随机数227可经由客户端计算机系统105提供给存储器装置130。替代地，客户端计算机系统105及/或存储器装置130可生成第一密码随机数247及第二密码随机数227。举例来说，密码随机数(例如，227或247)可使用随机数生成器生成且在一个数字签名(例如，229或243)生成及验证时使用一次。
图7说明用于致使机器执行本文中论述的方法论中的任一或多者的一组指令可在其内执行的计算机系统400的实例机器。在一些实施例中，计算机系统400可对应于服务器系统102(例如，图1的服务器系统102)，服务器系统102包含、耦合到或利用存储器子系统(例如，图2的存储器子系统110)或可用于执行数据控制服务器205的操作(例如，执行指令以执行对应于参考图1到6描述的服务器系统102的操作)。在替代实施例中，机器可连接(例如，联网)到LAN、内联网、外联网及/或因特网中的其它机器。机器可在客户端-服务器网络环境中以服务器或客户端机器的身份操作，在对等(或分布式)网络环境中操作为对等机器，或在云计算基础设施或环境中操作为服务器或客户端机器。
所述机器可为个人计算机(PC)、平板PC、机顶盒(STB)、个人数字助理(PDA)、蜂窝电话、网络设施、服务器、网络路由器、交换机或网桥，或能够执行指定将由那个机器采取的动作的一组指令(循序或其它方式)的机器。此外，虽然说明了单个机器，但术语“机器”也应被视为包含个别或联合执行一组(或多组)指令以执行本文中论述的方法论中的任一或多者的机器的任何集合。
实例计算机系统400包含处理装置402、主存储器404(例如，只读存储器(ROM)、快闪存储器、动态随机存取存储器(DRAM)，例如同步DRAM(SDRAM)或Rambus DRAM(RDRAM)、静态随机存取存储器(SRAM)等)及数据存储器装置418，其经由总线430(其可包含多个总线)彼此通信。
处理装置402表示一或多个通用处理装置，例如微处理器、中央处理单元等等。更特定来说，处理装置可为复杂指令集计算(CISC)微处理器、精简指令集计算(RISC)微处理器、超长指令字(VLIW)微处理器或实施其它指令集的处理器或实施指令集组合的处理器。处理装置402也可为一或多个专用处理装置，例如专用集成电路(ASIC)、现场可编程门阵列(FPGA)、数字信号处理器(DSP)、网络处理器等等。处理装置402经配置以执行用于执行本文中论述的操作及步骤的指令426。计算机系统400可进一步包含网络接口装置408以经过网络420通信。
数据存储系统418可包含在其上存储有体现本文中所描述的任何一或多种方法或功能的一或多组指令426或软件的机器可读媒体424(也被称为计算机可读媒体)。指令426还可在由计算机系统400执行期间完全或至少部分驻存于主存储器404内及/或处理装置402内，主存储器404及处理装置402也构成机器可读存储媒体。机器可读媒体424、数据存储系统418及/或主存储器404可对应于图2的存储器子系统110。
在一个实施例中，指令426包含用于实施对应于存取控制服务器101(例如，参考图1到6描述的存取控制服务器101)的功能性的指令。虽然在实例实施例中将机器可读媒体424展示为单个媒体，但术语“机器可读存储媒体”应被视为包含存储一或多组指令的单个媒体或多个媒体。术语“机器可读存储媒体”也应被视为包含能够存储或编码由机器执行的一组指令且致使机器执行本公开的方法论中的任一或多者的任何媒体。术语“机器可读存储媒体”应相应地理解为包含(但不限于)固态存储器、光学媒体及磁性媒体。
已依据对计算机存储器内的数据位的操作的算法及符号表示呈现前述详细描述的一些部分。这些算法描述及表示是由数据处理领域的技术人员用以向所属领域的其它技术人员最有效地表达其工作实质的方式。算法在本文且通常被设想为导致所期望结果的自相一致的操作序列。操作是需要物理操纵物理量的操作。通常，尽管不是必须的，这些量采取能够被存储、组合、比较及以其它方式操纵的电或磁性信号的形式。已被证明是方便的是，有时出于习惯用法的原因，原则上将这些信号指代为位、值、元素、符号、字符、项、数字等等。
然而，应记住，全部这些及类似术语与适当物理量相关联，且仅为应用于这些量的方便标签。本公开可指代计算机系统或类似电子计算装置的动作及过程，所述计算机系统或类似电子计算装置操纵表示为计算机系统的寄存器及存储器内的物理(电子)量的数据并将所述数据转换成类似地表示为计算机系统存储器或寄存器或其它此类信息存储系统内的物理量的其它数据。
本公开还涉及用于执行本文中的操作的设备。此设备可出于预期目的专门构造，或其可包含由存储于计算机中的计算机程序选择性地激活或重新配置的通用计算机。此计算机程序可存储于计算机可读存储媒体中，例如(但不限于)任何类型的磁盘，包含软盘、光盘、CD-ROM及磁光盘、只读存储器(ROM)、随机存取存储器(RAM)、EPROM、EEPROM、磁卡或光卡或适于存储电子指令的任何类型的媒体，每一者都耦合到计算机系统总线。
本文呈现的算法及显示器并不固有地涉及任何特定计算机或其它设备。各种通用系统可结合根据本文的教示的程序使用，或可证明为方便的是构造更专门设备来执行方法。多种这些系统的结构将如下文描述中陈述那样出现。另外，本公开并非是参考任何特定编程语言描述。应了解，多种编程语言可用于实施本文中所描述的本公开的教示。
本公开可经提供为计算机程序产品或软件，其可包含其上存储有指令的机器可读媒体，指令可用于编程计算机系统(或其它电子装置)以执行根据本公开的过程。机器可读媒体包含用于存储呈可由机器(例如计算机)读取的形式的信息的任何机构。在一些实施例中，机器可读(例如计算机可读)媒体包含机器(例如计算机)可读存储媒体，例如只读存储器(“ROM”)、随机存取存储器(“RAM”)、磁盘存储媒体、光学存储媒体、快闪存储器组件等。
在本描述中，各种功能及操作被描述为由计算机指令执行或引起以简化描述。然而，所属领域的技术人员将认识到，此类表达意味着功能因通过一或多个控制器或处理器(例如微处理器)执行计算机指令而产生。替代地，或组合地，功能及操作可在用或不用软件指令的情况下使用专用电路系统实施，例如使用专用集成电路(ASIC)或现场可编程门阵列(FPGA)。实施例可在不使用软件指令的情况下使用硬接线电路系统实施，或结合软件指令实施。因此，技术既不限于硬件电路系统与软件的任何特定组合，也不限于由数据处理系统执行的指令的任何特定来源。
在以上说明中，已参考本公开的特定实例实施例描述其实施例。明显地，可在不背离所附权利要求书中所陈述的本公开的实施例的更宽精神及范围的情况下对本公开做出各种修改。因此，说明书及图式应以说明性意义而非限制性意义来看待。

Claims (20)

1.一种方法，其包括：
由服务器系统与客户端计算机系统建立安全认证连接；
在所述服务器系统中经由所述连接从所述客户端计算机系统接收识别存储器装置的请求；
基于存储于所述服务器系统中的数据确定所述客户端计算机系统有资格控制所述存储器装置；
由所述服务器系统使用存储于所述服务器系统中的与所述存储器装置相关联的至少一密码密钥生成用于命令的第一数字签名；及
经由所述连接将所述第一数字签名从所述服务器系统传输到所述客户端计算机系统，所述客户端计算机系统将具有所述第一数字签名的所述命令提交给所述存储器装置，所述存储器装置在执行所述命令之前确认所述第一数字签名。
2.根据权利要求1所述的方法，其进一步包括：
由所述服务器系统经由所述客户端计算机系统从所述存储器装置接收所述存储器装置的标识数据；
由所述服务器系统基于存储于所述服务器系统中的所述存储器装置的秘密确认所述标识数据；及
基于所述标识数据的确认建立所述服务器系统及所述存储器装置已知的会话密钥。
3.根据权利要求2所述的方法，其中当执行于所述存储器装置中时，所述命令致使所述存储器装置激活所述存储器装置的安全特征。
4.根据权利要求2所述的方法，其中当执行于所述存储器装置中时，所述命令致使所述存储器装置用第二密码密钥替换第一密码密钥。
5.根据权利要求4所述的方法，其中所述第二密码密钥基于存储于所述存储器装置及所述服务器系统中的唯一装置秘密在所述存储器装置中生成；且所述方法进一步包括：
在所述服务器系统中且独立于所述存储器装置从存储于所述服务器系统中的所述唯一装置秘密生成所述第二密码密钥。
6.根据权利要求2所述的方法，其进一步包括：
使用所述会话密钥加密经由所述客户端计算机系统从所述服务器系统传输到所述存储器装置以用于所述命令的所述执行的数据的至少一部分。
7.根据权利要求2所述的方法，其进一步包括：
使用所述会话密钥解密经由所述客户端计算机系统从所述存储器装置传输到所述服务器系统的响应的至少一部分，所述响应响应于所述命令的所述执行。
8.根据权利要求2所述的方法，其中所述标识数据包含第二消息及使用所述存储器装置的秘密密码密钥应用于所述第二消息上的第二数字签名；且所述第二消息包含所述存储器装置的唯一标识、来自配置于所述存储器装置中的计数器的值及第二密码随机数。
9.根据权利要求8所述的方法，其中所述第一数字签名经应用到从所述客户端计算机系统到所述存储器装置的请求中的第一消息；且所述第一消息包含所述命令及第一密码随机数。
10.根据权利要求9所述的方法，其中所述第一数字签名包含从所述第一消息及存储于所述存储器装置及所述服务器系统两者中的密码密钥生成的基于散列的消息认证码HMAC。
11.根据权利要求9所述的方法，其中所述第一数字签名使用所述会话密钥、或存储于所述服务器系统中的与所述存储器装置的所述唯一标识相关联的密码密钥或其任何组合生成。
12.根据权利要求11所述的方法，其中所述会话密钥经配置以在从所述标识数据的确认开始的预定长度的时段中到期。
13.根据权利要求12所述的方法，其进一步包括：
生成所述命令的所述第一密码随机数及所述标识数据的所述第二密码随机数，其中所述第一密码随机数及所述第二密码随机数经由所述客户端计算机系统提供到所述存储器装置。
14.一种计算系统，其包括：
存储器，其存储存储器装置的密码密钥及指示客户端计算机系统控制所述存储器装置的特权的数据；及
至少一个处理器，其经由一组指令配置以：
与客户端计算机系统建立安全认证连接；
经由所述连接从所述客户端计算机系统接收识别存储器装置的请求；
基于存储于所述计算系统中的数据确定所述客户端计算机系统有资格控制所述存储器装置；
使用存储于所述计算机系统中的与所述存储器装置相关联的至少一密码密钥生成用于命令的第一数字签名；及
经由所述连接将所述第一数字签名传输到所述客户端计算机系统，所述客户端计算机系统将具有所述第一数字签名的所述命令提交给所述存储器装置，所述存储器装置在执行所述命令之前确认所述第一数字签名。
15.根据权利要求14所述的计算系统，其中所述至少一个处理器经由所述组指令进一步经配置以：
经由所述客户端计算机系统从所述存储器装置接收所述存储器装置的标识数据；
基于存储于所述计算系统中的所述存储器装置的秘密确认所述标识数据；及
基于所述标识数据的确认建立所述计算系统及所述存储器装置已知的会话密钥；其中当执行于所述存储器装置中时，所述命令致使所述存储器装置激活所述存储器装置的安全特征，或用第二密码密钥替换第一密码密钥，或其任何组合。
16.根据权利要求15所述的计算系统，其中所述标识数据包含第二消息及使用所述存储器装置的秘密密码密钥应用于所述第二消息上的第二数字签名；所述第二消息包含所述存储器装置的唯一标识、来自配置于所述存储器装置中的计数器的值及第二密码随机数；所述第一数字签名经应用到从所述客户端计算机系统到所述存储器装置的请求中的第一消息；且所述第一消息包含所述命令及第一密码随机数。
17.根据权利要求16所述的计算系统，其中所述第一数字签名使用所述会话密钥、或存储于所述计算系统中的与所述存储器装置的所述唯一标识相关联的密码密钥或其任何组合生成；所述会话密钥经配置以在从所述标识数据的确认开始的预定长度的时段中到期。
18.根据权利要求17所述的计算系统，其中所述至少一个处理器经由所述组指令进一步经配置以：
生成所述命令的所述第一密码随机数及所述标识数据的所述第二密码随机数，其中所述第一密码随机数及所述第二密码随机数经由所述客户端计算机系统提供到所述存储器装置。
19.一种非暂时性计算机存储媒体，其存储当由计算系统执行时致使所述计算系统执行一种方法的指令，所述方法包括：
与客户端计算机系统建立安全认证连接；
经由所述连接从所述客户端计算机系统接收识别存储器装置的请求；
基于存储于所述计算系统中的数据确定所述客户端计算机系统有资格控制所述存储器装置；
使用存储于所述计算机系统中的与所述存储器装置相关联的至少一密码密钥生成用于命令的第一数字签名；及
经由所述连接将所述第一数字签名传输到所述客户端计算机系统，所述客户端计算机系统将具有所述第一数字签名的所述命令提交给所述存储器装置，所述存储器装置在执行所述命令之前确认所述第一数字签名。
20.根据权利要求19所述的非暂时性计算机存储媒体，其中所述方法进一步包括：
经由所述客户端计算机系统从所述存储器装置接收所述存储器装置的标识数据；
基于存储于所述计算系统中的所述存储器装置的秘密确认所述标识数据；及
基于所述标识数据的确认建立在所述计算系统与所述存储器装置之间已知的会话密钥；
其中当执行于所述存储器装置中时，所述命令致使所述存储器装置激活所述存储器装置的安全特征，或用第二密码密钥替换第一密码密钥，或其任何组合；
其中所述标识数据包含第二消息及使用所述存储器装置的秘密密码密钥应用于所述第二消息上的第二数字签名；且所述第二消息包含所述存储器装置的唯一标识、来自配置于所述存储器装置中的计数器的值及第二密码随机数；且
其中所述第一数字签名经应用到从所述客户端计算机系统到所述存储器装置的请求中的第一消息；且所述第一消息包含所述命令及第一密码随机数。
CN202210030475.XA 2021-01-15 2022-01-12 通过计算机网络控制存储器装置 Pending CN114764312A (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US17/150,840 2021-01-15
US17/150,840 US20220231858A1 (en) 2021-01-15 2021-01-15 Control of Memory Devices over Computer Networks

Publications (1)

Publication Number Publication Date
CN114764312A true CN114764312A (zh) 2022-07-19

Family

ID=82364588

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210030475.XA Pending CN114764312A (zh) 2021-01-15 2022-01-12 通过计算机网络控制存储器装置

Country Status (2)

Country Link
US (1) US20220231858A1 (zh)
CN (1) CN114764312A (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11483148B2 (en) 2021-01-15 2022-10-25 Micron Technology, Inc. Batch transfer of control of memory devices over computer networks
TWI835296B (zh) * 2022-09-16 2024-03-11 旺宏電子股份有限公司 記憶體操作方法及應用其之記憶體與主控裝置

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8281407B2 (en) * 2008-12-09 2012-10-02 Pitney Bowes Inc. In-line decryption device for securely printing documents
US8959605B2 (en) * 2011-12-14 2015-02-17 Apple Inc. System and method for asset lease management
US11880436B2 (en) * 2018-03-23 2024-01-23 Nanolock Security Inc. Remote access control for digital hardware

Also Published As

Publication number Publication date
US20220231858A1 (en) 2022-07-21

Similar Documents

Publication Publication Date Title
US11784827B2 (en) In-memory signing of messages with a personal identifier
US11783044B2 (en) Endpoint authentication based on boot-time binding of multiple components
US12015706B2 (en) Combined cryptographic key management services for access control and proof of space
US20230188366A1 (en) Identity Validation for Proof of Space
CN114764312A (zh) 通过计算机网络控制存储器装置
US20240146525A1 (en) Batch Transfer of Control of Memory Devices over Computer Networks
US20230057638A1 (en) Session Access to Files in a File System Mounted in a Secure Memory Device
CN114491682A (zh) 虚拟订户识别模块和虚拟智能卡
US20220231838A1 (en) Server System to Control Memory Devices over Computer Networks
US11736453B2 (en) Secure key storage devices
CN115037492A (zh) 基于在存储器装置中实施的安全特征的在线安全服务
US11677560B2 (en) Utilization of a memory device as security token
US11968296B2 (en) Utilization of a memory device for per-user encryption
US12039049B2 (en) Secure identity chaining between components of trusted computing base
US20230370446A1 (en) Track Activities of components in Endpoints having Secure Memory Devices via Identity Validation
US20220405391A1 (en) Secure Identity Chaining between Components of Trusted Computing Base
CN115037495A (zh) 身份验证期间跟踪具有安全存储器装置的端点的活动以用于安全操作
CN115037493A (zh) 监测具有安全存储器装置的端点的完整性以用于身份认证
CN115037496A (zh) 经由在线固件商店的端点定制
CN115021950A (zh) 用于端点的在线服务商店
CN115021949A (zh) 具有被保护用于可靠身份验证的存储器装置的端点的识别管理方法和系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination