CN116185847A - 一种支持芯片安全调试的控制方法 - Google Patents

Abstract

本发明涉及芯片安全领域，提供了一种支持芯片安全调试的控制方法，包括输入安全控制单元，安全调试认证单元，访问控制授权单元和权限状态存储单元，通过鉴权技术实现访问认证和授权控制等。在未获得授权的情况下，芯片不能进入调试状态，使得非授权者不能使用调试接口，保护重要数据不被肆意窃取。

Description

一种支持芯片安全调试的控制方法

技术领域

本发明涉及芯片安全领域，主要涉及一种支持安全调试的控制方法。

背景技术

随着集成电路及微电子技术的发展，芯片作为信息的载体应用在各种领域，大家对其的关注度日益增加，安全性正变得日益重要。调试接口为芯片的系统测试和片上调试提供了行之有效的方法，然而也可能为应用中的芯片或设备甚至系统带来安全风险。

在芯片产品的全生命周期中，各阶段的功能需求和面临的安全威胁，共同决定了当前阶段对安全机制的需求。芯片通常都会集成的调试接口，在芯片生产测试和应用开发实现阶段，用于芯片测试及系统调试，用户可以通过调试接口进行应用程序开发，或者使用烧录器下载用户程序；在产品管理维护阶段，调试接口还可用于问题芯片进行返厂分析。但是提供方便之余，也带来了安全隐患。人们可以通过对调试接口施加特定的激励，实现获取和修改芯片内部资源以及存储器数据、获取芯片内部的敏感数据和安全固件敏感区域的执行状态等目的。调试接口的安全对于芯片、设备及系统的安全性是至关重要的。

因此，在芯片生命周期中，如何为调试接口提供安全控制方法，以提高芯片安全性，成为本领域技术人员亟待解决的一个重要技术问题。

发明内容

为解决上述问题，本发明提供了一种芯片安全调试的控制方法，通过鉴权控制，使用密码技术进行访问认证和授权控制等。在未获得授权的情况下，芯片不能进入调试状态，目的是使得非授权者不能使用调试接口，保护重要数据不被肆意窃取。

本发明采用的技术方案公开了一种芯片安全调试的控制方法，包括：

输入安全控制单元，根据芯片专有特征信息，通过专有算法实时生成特定位长的本征专有序列；同时监测进入调试接口的外部输入序列。当外部输入序列与本征专有序列相匹配，则进入后续安全调试认证阶段，否则拒绝外部输入。

安全调试认证单元，实现鉴权协议，认证通过则接通调试开关，连接硬件调试通道或使能调试逻辑，并进入后续访问控制授权阶段；认证失败则断开调试开关，切断硬件调试通道或禁止调试逻辑。

所述安全调试认证单元的验证内容，包括：

调试请求权限(Debug Request)信息，即调试者请求的调试权限，包括但不仅限于将调试功能根据功能需求划分的安全级别，选择调试单元的调试方式等。

芯片授予权限(Chip Authority)信息，即芯片所有者允许的调试权限，权限定义与调试请求权限信息保持一致。芯片所有者可以通过取消权限信息的控制位来撤销调试者的相应授权。

调试访问签名DASig(Debug Access Signature)信息，基于共享密钥或公开密钥体系，即对挑战数据(Challenge)、调试请求权限信息和芯片授予权限信息进行数字签名得到的响应数据(Response)。挑战数据可以包括但不仅限于芯片专有特征信息如芯片唯一序列码UID、认证协议版本、密钥等信息。

访问控制授权单元，根据安全调试认证结果，基于调试请求权限信息和芯片授予权限信息，进行授权操作，实现对芯片资源的访问授权和控制授权，包括但不仅限于调试功能安全级别的调整，选择调试单元的调试方式等。

权限状态存储单元，保存调试功能安全级别、访问控制权限等敏感状态信息，实现权限状态的单向性和持久化。

附图说明

图1是本发明一实施例的安全调试技术方案示意图；

图2是本发明一实施例的调试功能安全级别定义；

图3是本发明一实施例的安全调试访问控制权限信息。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例的附图，对本发明实施例中的技术方案进行清晰描述。显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

下面结合附图，对本发明的一些实施方式进行详细描述。在不冲突的情况下，下述的实施例及实施例中的特征可以相互组合。在此使用的术语“调试”是指非常宽泛的含义，可以包括仿真和测试功能，或是其他类似的需要受控使用的功能单元。

图1是本发明的一个实施例提供的一种安全调试技术方案示意图。该方法应用于安全芯片，如图1所示，该方案包括输入安全控制单元、安全调试认证单元、访问控制授权单元、权限状态存储单元，以及调试开关和调试单元。

具体的，所述输入安全控制单元，在一个实施例中，根据芯片唯一序列码(UniqueID，UID)，通过SM3哈希算法生成256位长的本征专有序列；同时监测进入调试接口的外部输入序列，进行安全识别；当外部输入序列与本征专有序列相匹配，则进入后续安全调试认证阶段，否则拒绝外部输入。在一个实施例中，基于芯片物理不可克隆功能(PhysicalUnclonable Function，PUF)生成芯片专有特征信息。芯片的本征专有序列，具有“一芯一密”安全特性，加大了非法用户滥用调试接口的难度。

所述安全调试认证单元，在一个实施例中，基于SM3算法的HMAC实现鉴权协议，如果质询/响应验证通过则接通调试开关，打开所述调试接口到调试单元之间的通道，连接硬件调试通道，或使能调试逻辑，并进入后续访问控制授权阶段；如果质询/响应验证失败则断开调试开关，关闭所述调试接口到调试单元之间的通道，切断硬件调试通道或禁止调试逻辑。

所述安全调试认证单元的验证内容，在一个实施例中，调试请求权限(DebugRequest)信息，即调试者请求的调试权限，包括但不仅限于将调试功能根据功能需求划分的安全级别(如图2所示)，选择调试单元的调试方式，是否清除用户敏感数据，是否擦除全片数据，是否开启测试通道，是否关闭特定安全功能等(如图3所示)。

所述安全调试认证单元的验证内容，在一个实施例中，芯片授予权限(ChipAuthority)信息，即芯片所有者允许的调试权限，权限定义与调试请求权限信息保持一致。芯片所有者可以通过取消权限信息的控制位来撤销调试者的相应授权(如图3所示)。

所述安全调试认证单元的验证内容，在一个实施例中，调试访问签名DASig(DebugAccess Signature)信息，可以基于共享密钥，对质询挑战数据(Challenge)、调试请求权限信息和芯片授予权限信息计算SM3-HMAC数字签名，得到响应数据(Response)。所述共享秘密是芯片所有者与调试申请者共享的固定秘密信息。

所述安全调试认证单元，在一个实施例中，基于公开密钥体系，调试者使用其私钥对调试请求权限信息进行签名获得的信息，连同调试者的公钥和芯片唯一序列码UID、认证协议版本、调试请求权限等信息，经由芯片所有者附加授予权限信息并生成调试访问签名DASig(Debug Access Signature)信息，附加到一个签名链。安全调试认证单元对签名链执行验签操作，从而允许使用调试者的公钥可以进行必要的认证和调试操作。

访问控制授权单元，根据安全调试认证结果，基于调试请求权限信息和芯片授予权限信息，进行授权操作，实现对芯片资源的访问授权和控制授权，包括但不仅限于调试功能安全级别的调整，选择调试单元的调试方式，清除用户敏感数据，擦除全片数据，开启测试通道，关闭特定安全功能等(如图3所示)，从而为芯片产品生命周期的不同阶段实施灵活配置，按需提供与不同功能需求相适应的安全保障，例如通过调试认证将器件设置为“故障分析”模式，以便开展失效分析。

所述权限状态存储单元，在一个实施例中，使用一次性编程电路，诸如一次性编程(OTP)存储单元eFuse，保存调试功能安全级别、访问控制权限等敏感状态信息(如图2、图3)，实现权限状态的单向性和持久化，进一步提高了权限状态的安全性。eFuse(电子可编程熔丝)是一次性可编程存储单元，通过熔丝可以在芯片上编程并存储信息(将任何比特位由0改为1，而且这个熔断过程是不可逆的，无法将其恢复到原始状态)。

综上所述，本发明的安全调试控制方法实施例，能够实现调试接口的安全授权访问，加大了非法用户滥用调试接口的难度，可以有效防止非法获取和修改芯片内部资源以及存储器数据。

在上述说明书中，已经参考特定实施例描述了本发明。然而，本领域的普通技术人员意识到在不背离权利要求中所述的本发明的范围的情况下，可以做出各种改进和改变。例如，调试接口可以包括实现一个或多个标准调试、仿真或测试接口和协议，诸如JTAG和SWD接口和协议的电路。

因此，以上实施例仅用以说明本发明的技术方案，而非对其限制，应当理解本发明的保护范围并不受具体实施方式的限制。尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明实施例技术方案的精神和范围。

Claims (9)

1.一种支持芯片安全调试的控制方法，其特征在于，包括：

输入安全控制单元对外部输入进行安全识别；

安全调试认证单元对调试请求实施鉴权验证；

访问控制授权单元实现对芯片资源的访问授权和控制授权；

权限状态存储单元保存敏感状态信息。

2.根据权利要求1所述的控制方法,其特征在于，所述输入安全控制单元对外部输入进行安全识别：根据芯片专有特征信息生成本征专有序列；同时监测外部输入序列，如果与本征专有序列不匹配，则拒绝外部输入。

3.根据权利要求1所述的控制方法,其特征在于，所述安全调试认证单元对调试请求实施鉴权验证：安全调试认证单元实现鉴权协议，认证通过则接通调试开关，连接硬件调试通道或使能调试逻辑；认证失败则断开调试开关，切断硬件调试通道或禁止调试逻辑。

4.根据权利要求3所述的控制方法,其特征在于，所述安全调试认证单元的验证内容，包括调试请求权限信息。

5.根据权利要求3所述的控制方法,其特征在于，所述安全调试认证单元的验证内容，还包括芯片授予权限信息，芯片所有者可以通过取消授予权限信息的控制位来撤销调试者的相应授权。

6.根据权利要求3所述的控制方法,其特征在于，所述安全调试认证单元的验证内容，还包括对挑战数据、调试请求权限信息和芯片授予权限信息进行数字签名得到的响应数据。

7.根据权利要求6所述的控制方法,其特征在于，所述挑战数据，包括但不仅限于芯片专有特征信息如芯片唯一序列码UID、认证协议版本、密钥信息。

8.根据权利要求1所述的控制方法,其特征在于，所述访问控制授权单元根据安全调试认证单元的验证结果，基于调试请求权限信息和芯片授予权限信息，进行授权操作，实现对芯片资源的访问授权和控制授权。

9.根据权利要求1所述的控制方法,其特征在于，所述权限状态存储单元保存调试功能安全级别、访问控制权限等敏感状态信息，实现权限状态的单向性和持久化。

Images