CN116136907A - 包括计算单元的装置和操作这样的装置的方法 - Google Patents

Abstract

一种用于操作包括计算单元的装置的方法，例如计算机实现的方法，该方法包括：在可由该装置访问的存储器单元中提供加密存储装置，并且可选地，在加密存储装置中至少暂时存储至少一个密码对象。

Description

包括计算单元的装置和操作这样的装置的方法

背景技术

本公开涉及一种用于操作包括计算单元的装置的方法。

本公开进一步涉及一种包括计算单元的装置。

发明内容

示例性实施例涉及一种用于操作包括计算单元的装置的方法，例如计算机实现的方法，该方法包括：在可由该装置访问的存储器单元中提供加密存储装置，以及可选地，在加密存储装置中至少暂时存储至少一个密码对象。这使得能够提供例如密码对象的安全存储装置，例如供装置使用，并且使得能够认证例如密码对象和/或其组件。

根据进一步的示例性实施例，所述至少一个密码对象可以由以下元素中的至少一个来表征：a）对象标识，例如“槽标识符”或“槽ID”，例如整数，例如使得能够标识密码对象的例如唯一索引，b）表征与所述至少一个密码对象相关联的元数据的对象元数据，例如以整数的形式，c）表征与所述至少一个密码对象相关联的安全性方面的安全性属性，d）表征所述至少一个密码对象是否可以被更新（或表征更新限制，例如密码对象允许的最大更新次数），和/或是否允许密码对象的导出的对象保护信息，e）表征密码对象所属的域和/或例如唯一的被允许访问密码对象的用户的访问控制信息。

根据进一步的示例性实施例，加密存储装置可以包括或者可以以一个或多个可以包括数据的加密容器的形式来组织。

根据进一步的示例性实施例，计算单元是微处理器或者包括至少一个微处理器。

根据进一步的示例性实施例，该装置是片上系统SoC，例如包括至少一个微处理器。

根据进一步的示例性实施例，该方法进一步包括：使用第一密码密钥从非易失性密钥存储装置获得第一密码密钥，例如用于提供加密存储装置。根据进一步的示例性实施例，这使得能够基于第一密码密钥来提供加密存储装置，在一些实施例中，这可以由现有的非易失性密钥存储装置来提供。

根据进一步的示例性实施例，第一密钥与对称密码系统相关联。作为示例，第一密码密钥可以由（例如，现有的）非易失性密钥存储装置提供，其中使用第一（即，对称）密码密钥可以使得能够根据示例性实施例提供加密存储装置，从而使得能够灵活地扩展安全（加密）存储装置，例如超出非易失性密钥存储装置，因此例如也克服了非易失性密钥存储装置的潜在限制。

根据进一步的示例性实施例，非易失性密钥存储装置是或形成硬件扩展模块（例如安全硬件扩展、SHE、模块或SHE兼容的硬件模块）的一部分。

根据进一步的示例性实施例，非易失性密钥存储装置是或形成硬件安全性模块的一部分。

根据进一步的示例性实施例，第一密码密钥存储在非易失性密钥存储装置的安全存储器中，例如SHE或SHE兼容硬件模块或硬件安全性模块。

根据进一步的示例性实施例，该方法进一步包括：访问一或所述安全硬件扩展SHE模块，其中SHE模块被配置为提供与一或所述对称密码系统相关联的第一密码原语，并且可选地，使用和/或执行第一密码原语中的至少一个。

根据进一步的示例性实施例，该方法进一步包括：例如在易失性存储器（例如RAM（随机存取存储器））中加密至少一个密码对象，其中获得加密的密码对象，并且可选地，例如在非易失性存储器（例如闪速存储器）中至少暂时存储加密的密码对象。

根据进一步的示例性实施例，该方法进一步包括：例如从一或所述非易失性存储器加载加密的密码对象，并且可选地，解密加密的密码对象。

根据进一步的示例性实施例，该方法进一步包括：至少暂时使用与对称密码系统相关联的密码密钥（例如如例如由可选的SHE模块提供的第一密钥）用于加密步骤和/或用于解密步骤。

根据进一步的示例性实施例，该方法进一步包括：首先，使用与对称密码系统相关联的密码密钥用于加密步骤和/或用于解密步骤，并且在步骤之后，至少暂时使用与非对称密码系统相关联的密码密钥用于加密步骤和/或用于解密步骤。这种方式，由于可能使用非对称密码系统密钥，可以增加操作安全性。

进一步的示例性实施例涉及一种包括计算单元的装置，其中所述装置被配置为施行根据实施例的方法。

根据进一步的示例性实施例，该装置可以形成例如用于诸如例如机动车辆之类的车辆的电子控制单元ECU的一部分。

根据进一步的示例性实施例，a）计算单元是微处理器或者包括至少一个微处理器，和/或b）装置是片上系统SoC。

根据进一步的示例性实施例，该装置包括非易失性密钥存储装置，其中例如所述非易失性密钥存储装置是或形成安全硬件扩展SHE模块的一部分。

根据进一步的示例性实施例，SHE模块集成在SoC中，例如与SoC的另外的组件布置在相同的管芯上。

进一步的示例性实施例涉及一种包括指令的计算机程序，当程序由计算机执行时，使计算机实行根据实施例的方法。

进一步的示例性实施例涉及包括指令的计算机可读存储介质，当由计算机执行时，所述指令使计算机实行根据实施例的方法。

进一步的示例性实施例涉及携带和/或表征根据实施例的计算机程序的数据载体信号。

进一步的示例性实施例涉及根据实施例的方法和/或根据实施例的装置和/或根据实施例的计算机程序和/或根据实施例的计算机可读存储介质和/或根据实施例的数据载体信号的使用，用于以下中的至少一个：a）在加密存储装置中至少暂时存储至少一个密码对象，b）扩展主信任根，其例如与一或所述非易失性密钥存储装置和/或一或所述安全硬件扩展SHE模块相关联，c）使得能够使用基于非易失性密钥存储装置和/或安全硬件扩展SHE模块的非对称密码系统，其被配置为提供与对称密码系统相关联的至少一个密钥，d）使用、例如选择性地使用与对称密码系统和/或非对称密码系统相关联的密码（kryptographic）密钥和/或密码原语，e）扩展现有的计算单元和/或SoC和/或非易失性密钥存储装置（例如SHE模块），例如扩展被配置为（例如仅）存储对称密码密钥的现有SHE模块。

附图说明

现在将参考附图描述一些示例性实施例，其中：

图1示意性地描绘了根据示例性实施例的方法的简化流程图，

图2示意性地描绘了根据进一步示例性实施例的方法的简化流程图，

图3示意性地描绘了根据进一步示例性实施例的方法的简化流程图，

图4示意性地描绘了根据进一步示例性实施例的方法的简化流程图，

图5示意性地描绘了根据进一步示例性实施例的方法的简化流程图，

图6示意性地描绘了根据进一步示例性实施例的方法的简化流程图，

图7示意性地描绘了根据进一步示例性实施例的装置的简化框图，

图8示意性地描绘了根据进一步示例性实施例的简化框图，以及

图9示意性地描绘了根据进一步示例性实施例的使用方面。

具体实施方式

参见例如图1的简化流程图，示例性实施例涉及一种用于操作装置200（参见图7）的方法，例如计算机实现的方法，该装置200包括计算单元202（“处理器”），该方法包括：在可由装置200访问的存储器单元204中提供100（图1）加密存储装置205（也参见图7），并且可选地，在加密存储装置205中至少暂时存储110（图1）至少一个密码对象CO（图7）。这使得能够提供例如密码对象CO和/或其它数据的安全存储装置，例如供装置200使用。

根据进一步的示例性实施例，存储器单元204可以形成装置200的一部分，例如可以集成到装置200。根据进一步的示例性实施例，存储器单元204不形成装置200的一部分，但是可由装置200访问，例如经由至少一个总线系统（未示出）。作为示例，存储器单元204可以是外部存储器单元，例如包括外部随机存取存储器（RAM）。

根据进一步的示例性实施例，至少一个密码对象CO（图7）可以由以下元素中的至少一个来表征：a）对象标识，例如“槽标识符”或“槽ID”，例如整数，例如能够标识密码对象CO的例如唯一索引，b）表征与至少一个密码对象CO相关联的元数据的对象元数据，例如以整数的形式，c）表征与至少一个密码对象CO相关联的安全性方面的安全性属性，d）表征至少一个密码对象CO是否可以被更新（和/或表征更新限制，例如密码对象CO允许的最大更新次数），和/或是否允许密码对象CO的导出的对象保护信息，e）表征密码对象CO所属的域和/或例如唯一的被允许访问密码对象CO的用户的访问控制信息。

根据进一步的示例性实施例，至少一个密码对象CO可以例如包括至少一个密码密钥，例如不对称或对称密码系统或任何其它类型的密码系统的密钥，和/或至少一个证书，例如X509证书和/或卡可验证证书CVC。

根据进一步的示例性实施例，加密存储装置205（图7）可以包括或可以以一个或多个加密容器的形式组织，所述加密容器可以例如包括要保护的信息，例如密码密钥或诸如此类。

根据进一步的示例性实施例，加密存储装置205或其（一个或多个）容器可以分别至少暂时布置在例如存储器单元204的易失性存储器204a和/或例如存储器单元204的非易失性存储器204b中。

根据进一步的示例性实施例，其它数据DAT也可以至少暂时存储到易失性存储器204a。根据进一步的示例性实施例，另外的数据或至少一个计算机程序PRG也可以至少暂时存储到非易失性存储器204b，例如根据示例性实施例控制装置200的操作的计算机程序。

根据进一步的示例性实施例，计算单元202是微处理器或者包括至少一个微处理器。

根据进一步的示例性实施例，装置200是片上系统SoC，例如包括至少一个微处理器202。

根据进一步的示例性实施例，参见图2，该方法进一步包括：从非易失性密钥存储装置206获得100a第一密码密钥K1，使用100b（图2）第一密码密钥K1，例如用于提供100（图1）加密存储装置205。根据进一步的示例性实施例，这使得能够基于第一密码密钥K1来提供加密存储装置205，在一些实施例中，第一密码密钥K1可以由现有的非易失性密钥存储装置206来提供。

根据进一步的示例性实施例，第一密码密钥K1与对称密码系统CS1相关联，这在图7中由虚线矩形示例性地描绘。作为示例，第一密码密钥K1可以由一/一个（例如，现有的）非易失性密钥存储装置206提供，其中根据示例性实施例，使用第一（即，对称的）密码密钥K1可以使得能够提供加密存储装置205，从而使得能够灵活地扩展安全（加密的）存储装置，例如超出非易失性密钥存储装置206，从而例如也克服了非易失性密钥存储装置206的潜在限制。

根据进一步的示例性实施例，非易失性密钥存储装置206是或形成安全硬件扩展SHE模块206’的一部分。根据进一步的示例性实施例，SHE模块206’可以集成到装置200中。

根据进一步的示例性实施例，参见图3，该方法进一步包括：访问120一或所述安全硬件扩展SHE模块206’（图7），其中SHE模块206’被配置为提供与一或所述对称密码系统CS1相关联的第一密码原语CP1，并且可选地，使用122（图3）和/或执行第一密码原语CP1中的至少一个。

根据进一步的示例性实施例，参见图4，该方法进一步包括：例如在易失性存储器204a（图7）、例如RAM（随机存取存储器）中加密130至少一个密码对象CO，其中获得加密的密码对象CO’，并且可选地，在例如非易失性存储器204b（图7）、例如闪速存储器中至少暂时存储132（图4）加密的密码对象CO’。

根据进一步的示例性实施例，参见图5，该方法进一步包括：例如从一或所述非易失性存储器204a加载140加密的密码对象CO’，并且可选地，解密142加密的密码对象CO’，其中例如可以获得（解密的）密码对象CO。

根据进一步的示例性实施例，参见图6，该方法进一步包括：至少暂时使用150与对称密码系统CS1相关联的密码密钥K1（图7）（例如如例如由可选的SHE模块206’提供的第一密码密钥K1）用于加密步骤130（图4）和/或用于解密步骤142。

根据进一步的示例性实施例，该方法进一步包括：首先，使用150与对称密码系统CS1相关联的密码密钥K1用于加密步骤130和/或用于解密步骤140，并且可选地，在此之后（即，在步骤150之后），至少暂时使用152与不对称密码系统CS2相关联的密码密钥K3（图7）用于加密步骤130和/或解密步骤142。这种方式，由于可能使用非对称密码系统密钥K3，可以增加操作安全性。

根据进一步的示例性实施例，密码密钥K3可以例如至少暂时存储在根据示例性实施例的加密存储装置205（图7）中。

参见图7，进一步的示例性实施例涉及包括计算单元202的装置200，其中装置200被配置为施行根据实施例的方法。

根据进一步的示例性实施例，装置200可以形成例如用于诸如机动车辆之类的车辆的电子控制单元ECU（未示出）的一部分。

根据进一步的示例性实施例，a）计算单元202是微处理器或者包括至少一个微处理器，和/或b）装置200是片上系统SoC。

根据进一步的示例性实施例，装置200包括非易失性密钥存储装置206，其中例如非易失性密钥存储装置206是或形成安全硬件扩展SHE模块206’的一部分。

根据进一步的示例性实施例，非易失性密钥存储装置206可以存储一个或多个密码密钥K1、K2，诸如例如与对称密码系统CS1相关联的密码密钥K1、K2。

根据进一步的示例性实施例，SHE模块206’集成在SoC 200中，例如与SoC 200的另外的组件202（可选的204）布置在同一管芯（未示出）上。

进一步的示例性实施例涉及包括指令的计算机程序PRG，当程序PRG由计算机202执行时，该指令使计算机202实行根据实施例的方法。

进一步的示例性实施例涉及包括指令PRG’的计算机可读存储介质SM，当由计算机202执行时，该指令PRG’使计算机202实行根据实施例的方法。

进一步的示例性实施例涉及携带和/或表征根据实施例的计算机程序PRG、PRG’的数据载体信号DCS。数据载体信号DCS可以例如经由可选的接口208接收。

图8示意性地描绘了根据进一步示例性实施例的简化框图。框206’象征可选的SHE模块，该SHE模块可以表示（例如基于硬件的或硬件的）信任根，例如主信任根，SHE模块206’例如提供一个或多个密码密钥K1、K2和/或一个或多个密码原语CP1。

在一些实施例中，例如，第一密码密钥K1可以在主信任根206’中提供，例如通过在制造过程期间、例如在安全环境中，将密钥K1存储在主信任根206’中。

框205’象征扩展信任根，其可以根据示例性实施例基于（硬件）信任根或SHE模块206’来获得，例如根据进一步的示例性实施例的主信任根206’，参见框箭头A1。在一些实施例中，该星座（constellation）可以被认为是信任锚A1（“信任锚”），其基于主信任根206’。

根据进一步的示例性实施例，扩展信任根205’可以例如由加密存储装置205和/或根据示例性实施例获得的加密存储装置205中包括的至少一个数据容器来表示。

根据进一步的示例性实施例，至少一个密码对象CO（图7）可以至少暂时存储到加密存储装置205，即存储到扩展信任根205’，其中至少一个密码对象CO可以例如包括一个或多个证书CERT1（例如X509证书）、CERT2（例如卡可验证证书，CVC）和/或例如与非对称密码系统CS2相关联的（一个或多个）密码密钥K3。

因此，根据进一步的示例性实施例，例如现有的例如基于硬件的信任根206’可以被扩展信任根205’扩展，从而至少在一些示例性实施例中和/或暂时增加操作灵活性和/或安全性。

参考图9，进一步的示例性实施例涉及根据实施例的方法和/或根据实施例的装置和/或根据实施例的计算机程序和/或根据实施例的计算机可读存储介质和/或根据实施例的数据载体信号的使用300，用于以下中的至少一个：a）在加密存储装置205中至少暂时存储302至少一个密码对象CO，b）扩展304主信任根206’，其例如与一或所述非易失性密钥存储装置206和/或一或所述安全硬件扩展SHE模块206’相关联，c）使得能够306使用基于非易失性密钥存储装置和/或安全硬件扩展SHE模块的非对称密码系统CS2，其被配置为提供与对称密码系统相关联的至少一个密钥，d）使用308、例如选择性地使用密码密钥K1，K2，K3和/或与对称密码系统CS1和/或非对称密码系统CS2相关联的密码原语，e）扩展310现有的计算单元和/或SoC和/或非易失性密钥存储装置（例如SHE模块），例如将被配置为（例如仅）存储对称密码密钥的现有SHE模块扩展到现有SHE模块206’与扩展信任根205’的组合，如例如图8示例性描绘的。

根据进一步的示例性实施例，装置200被配置为施行以下中的至少一个：a）证书管理，b）签名生成，c）签名验证，d）TLS（传输层安全性）操作，e）另外的密码原语或函数，根据进一步的示例性实施例，其可以例如（至少部分地）以计算机程序PRG、PRG’的形式实现，和/或其可以——至少暂时——使用SHE模块206’和/或加密存储装置205和/或可以至少暂时存储在其中的至少一个密码对象CO。

Claims (19)

1.一种用于操作包括计算单元（202）的装置（200）的方法，例如计算机实现的方法，所述方法包括：在可由装置（200）访问的存储器单元（204）中提供（100）加密存储装置（205），并且可选地，在加密存储装置（205）中至少暂时存储至少一个密码对象（CO）。

2.根据前述权利要求中至少一项所述的方法，其中所述计算单元（202）是微处理器或包括至少一个微处理器。

3.根据前述权利要求中至少一项所述的方法，其中所述装置（200）是片上系统SoC。

4.根据前述权利要求中至少一项所述的方法，进一步包括：从非易失性密钥存储装置（206）获得（100a）第一密码密钥（K1），使用（100b）第一密码密钥（K1），例如用于提供（100）加密存储装置（205）。

5.根据权利要求4所述的方法，其中所述第一密码密钥（K1）与对称密码系统（CS1）相关联。

6.根据权利要求4至5中至少一项所述的方法，其中所述非易失性密钥存储装置（206）是或形成安全硬件扩展SHE模块（206’）的一部分。

7.根据前述权利要求中至少一项所述的方法，进一步包括：访问（120）一或所述安全硬件扩展SHE模块（206’），其中所述SHE模块（206’）被配置为提供与一或所述对称密码系统（CS1）相关联的第一密码原语（CP1），并且可选地，使用（122）和/或执行第一密码原语（CP1）中的至少一个。

8.根据前述权利要求中至少一项所述的方法，进一步包括：例如在易失性存储器（204a）中加密（130）至少一个密码对象（CO），其中获得加密的密码对象（CO’），并且可选地，例如在非易失性存储器（204b）中至少暂时存储（132）加密的密码对象（CO’）。

9.根据权利要求8所述的方法，进一步包括：例如从一或所述非易失性存储器（204b）加载（140）加密的密码对象（CO’），并且可选地，解密（142）加密的密码对象（CO’）。

10.根据权利要求8至9中至少一项所述的方法，进一步包括：至少暂时使用（150）与对称密码系统（CS1）相关联的密码密钥（K1）用于加密步骤（130）和/或用于解密步骤（142）。

11.根据权利要求8至9中至少一项所述的方法，进一步包括：首先，使用（150）与对称密码系统（CS1）相关联的密码密钥（K1）用于加密步骤（130）和/或用于解密步骤（142），并且在步骤（150）之后，至少暂时使用（152）与非对称密码系统（CS2）相关联的密码密钥（K3）用于加密步骤（130）和/或用于解密步骤（142）。

12.一种包括计算单元（202）的装置（200），其中所述装置（200）被配置为施行根据前述权利要求中至少一项所述的方法。

13.根据权利要求12所述的装置（200），其中a）计算单元（202）是微处理器或者包括至少一个微处理器，和/或其中b）装置（200）是片上系统SoC。

14.根据权利要求12至13中至少一项所述的装置（200），其中所述装置（200）包括非易失性密钥存储装置（206），其中例如所述非易失性密钥存储装置（206）是或形成安全硬件扩展SHE模块（206’）的一部分。

15.根据权利要求14和13所述的装置（200），其中所述SHE模块（206’）集成在SoC（200）中。

16.一种包括指令的计算机程序（PRG），当由计算机（202）执行程序（PRG）时，所述指令使计算机（302）实行根据权利要求1至11中至少一项所述的方法。

17.一种包括指令（PRG’）的计算机可读存储介质（SM），当由计算机（202）执行时，所述指令（PRG’）使计算机（202）实行根据权利要求1至11中至少一项所述的方法。

18.一种携带和/或表征权利要求16的计算机程序（PRG）的数据载体信号（DCS）。

19.根据权利要求1至11中至少一项所述的方法和/或根据权利要求12至15中至少一项所述的装置（200）和/或根据权利要求16所述的计算机程序（PRG）和/或权利要求17所述的计算机可读存储介质（SM）和/或权利要求18所述的数据载体信号（DCS）的使用（300），用于以下中的至少一个：a）在加密存储装置（205）中至少暂时存储（302）至少一个密码对象（CO），b）扩展（304）主信任根，所述主信任根例如与一或所述非易失性密钥存储装置（206）和/或一或所述安全硬件扩展SHE模块（206’）相关联，c）使得能够（306）使用基于非易失性密钥存储装置（206）和/或安全硬件扩展SHE模块的非对称密码系统（CS2），其被配置为提供与对称密码系统（CS1）相关联的至少一个密钥（K1），d）使用（308）、例如选择性地使用与对称密码系统（CS1）和/或非对称密码系统（CS2）相关联的密码密钥和/或密码原语，e）扩展（310）现有的计算单元（202）和/或SoC和/或非易失性密钥存储装置（206）。

Images